セキュリティエンジニアとは｜種類・仕事内容・採用が難しい理由

初めてセキュリティ人材の採用を任されると、「セキュリティエンジニアを1人」という募集要件のまま動き出してしまうことがあります。

自分の見ている範囲でいちばん多いのは、社内を守る仕事と自社製品を守る仕事が、同じものとして扱われてしまうことです。この2つは求められる経験も、一緒に働く部署も異なります。

もう一つ分かりにくいのが、問題が起きる前に手を打つ仕事と、起きた後に動く仕事の違いです。同じ「セキュリティができる人」という言葉でも、この2つでは持っていてほしい力が変わります。

この記事では、セキュリティエンジニアがどう分かれているのか、なぜ採用が難しいのか、自社に必要なのはどこかまでを、採用する側の視点で整理します。

セキュリティエンジニアは「何を守るか」と「いつ関わるか」で決まる

セキュリティエンジニアはシステムやサービスを攻撃や事故から守る専門職の総称で、守る対象と関わるタイミングの2つで職種の位置が決まります。

「セキュリティエンジニア」という一語は、実態としては複数の専門職をまとめて指す呼び名です。脆弱性を探す人、安全なシステムを設計する人、攻撃を監視する人、事故対応をする人。これらはどれもセキュリティエンジニアと呼ばれますが、求められる経験もスキルも大きく異なります。

採用要件を考えるときは、次の2つの軸で位置を決めると人材像がぶれにくくなります。

会社、社員を守るコーポレートセキュリティ

コーポレートセキュリティは、自社の社内IT環境や従業員、社内に蓄積された情報資産を守る仕事です。社内ネットワークや業務で使う端末の管理、標的型攻撃メールへの対策、社員が使うアカウントの認証基盤、内部不正の防止などが含まれます。守る相手は自社の内側です。

ここで必ず聞かれるのが、情報システム部門（社内のIT環境を整備・運用する部門、情シス）との違いです。線引きは、守ることが目的になっているかどうかにあります。

情シスは社内のIT環境を動かすことが仕事で、その中に安全の確保も含まれます。コーポレートセキュリティは守ること自体が仕事で、脅威の想定から対策の設計、検知の仕組みづくりまでを担います。

小さな組織では、兼務するケースも珍しくありません。ですが、採用となったときには、候補者の主なミッションが何で、どういったことをしてほしいのかを明確に決めておくことで、より適切な候補者に求人が届けられるようになります。

プロダクト、そして顧客を守るプロダクトセキュリティ

プロダクトセキュリティは、自社が顧客に提供するサービスやプロダクトそのものの安全性を守る仕事です。設計や実装の段階から安全性を作り込むこと、リリース前後の脆弱性診断（攻撃を受ける前に弱点を検査する作業）、開発の進め方にセキュリティの観点を組み込むことなどが中心になります。開発チームと近い場所で動くことが多く、守る相手は自社が世に出すものです。

この2つは、必要な人材像も置かれる部署も違います。社内の情報漏えいや不正アクセスを防ぎたいのか、提供しているサービスの脆弱性を減らしたいのか。ここが曖昧なまま「セキュリティエンジニアを1人」と募集すると、応募いただいた方の経験と自社の期待がすれ違います。

企画か、実装・運用か、事故対応か

守る対象と対を成す、もう一つの軸が、「いつ関わるか」です。

• セキュリティ企画・設計：何をどこまで守るかを決めます。方針や社内規程をつくり、投資の優先順位を判断し、対策の順番を引きます。手を動かすより、決めることが中心の仕事です。

• 実装・運用：決まった対策を形にして回します。社内側なら、端末やアカウントの管理、入退社にともなう権限の付け替え、社内規程の浸透や標的型攻撃メールの訓練、認証基盤の運用。製品側なら、セキュアな実装や脆弱性診断。いずれも日々の守りにあたります。

• 事故への対処：事故が起きてから動きます。何が起きたのかを突き止め、被害を止め、再発しないように手当てをします。

この3つは地続きに見えますが、求められる能力は独立しています。方針を描ける人が、深夜のインシデント対応で冷静に指揮を執れるとは限りません。逆に、緊急対応に強い人が、3年先を見た投資計画づくりに向いているとも限りません。

いちばん混ざるのは「起きる前」と「起きた後」

問題が起きる前の仕事と起きた後の仕事は、同じセキュリティという言葉でくくられていても、必要な力が異なります。

起きる前は、成果が「何も起きなかった」という形でしか出ません。手応えがないまま守りを積み上げていけるかどうかが、この仕事の分かれ目になります。

起きた後は、断片的な情報から何が起きたのかを突き止め、被害を止め、社内外への説明を組み立てます。判断を間違えれば被害が広がるという圧力の中で、決め続けることが必要です。

同じ人が両方をこなす場面もありますが、採用では別の経験として見たほうが、面談で聞くことも評価の基準も定まります。

それぞれの職種は何をしているのか

専門職の区分は、公的機関や業界団体が公開している資料を参照すると整理できます。独自の分類を持ち出すより、IPA（情報処理推進機構）やJNSA（日本ネットワークセキュリティ協会）の区分に沿うほうが、社内外で認識をそろえやすくなります。

IPAのITSS+（プラス）セキュリティ領域（IPA）では、セキュリティ関連業務を17分野に整理しています。

ここでは採用要件を考える際に押さえておきたい代表的な職種をまとめます。

ISMS（情報セキュリティマネジメントシステム、組織的な管理の仕組み）の認証取得を担うセキュリティ企画・ガバナンスは、社内と製品の両方にまたがります。上場準備や大企業との取引で必要になることが多く、手を動かす職種とは求められる経験が大きく変わります。

これらの職種は地続きではあっても、即戦力として求められる経験はそれぞれ独立しています。診断が得意な方がそのまま事故対応もこなせるとは限りませんし、認証対応に強い方が必ずしも手を動かす設計に向いているわけでもありません。「セキュリティ全般ができる人」をひとりで探そうとすると、この独立性が壁になります。

なぜ採用が難しいのか

そもそも人材の総数が足りていないことが、最大の理由です。

経済産業省が2016年6月に公表した「IT人材の最新動向と将来推計に関する調査結果」では、情報セキュリティ人材が当時すでに不足しており、将来的にも不足が続くと推計されました。

最新の状況はIPAが公開している情報セキュリティ白書2025（IPA・2025年）の「サイバーセキュリティ人材の現状と育成」などで確認できます。いずれの調査でも、セキュリティを担える人材が需要に追いついていない状況は共通しています。

そのうえで、ここまで見てきたように専門職が細かく分かれることが、母集団をさらに小さくします。限られた人材のプールが、コーポレートとプロダクト、企画と実装と事後対応に分かれるため、「自社が必要とする経験を持つ方」だけで見ると候補者はごくわずかになります。

もう一つ、経験を積んだ方がどこにいるかという偏りもあります。セキュリティの実務経験は、脆弱性診断やコンサルティング、監視運用の受託といった支援側の専門会社で蓄積されることが多く、事業会社の中で継続してセキュリティを担ってきた方は、さらに数が絞られます。事業会社で採用するなら、支援側で経験を積まれた方に来ていただく流れになりやすく、そのぶん難しさも増します。

加えて、セキュリティ人材は転職市場に出てきにくい傾向があります。専門性が高く待遇も整っている職種ほど、現職に留まる理由が強くなります。母集団が小さいうえに動きが鈍いという事情が重なり、採用の難易度を押し上げています。

提示水準も上がっています

ロバート・ハーフ・ジャパンが公開している2026年版の年収ガイドを見ると、サイバーセキュリティエンジニアの年収は中央値で800万円です。

ロバート・ハーフ・ジャパン「2026年版年収ガイド」の掲載画像を参考に作成

幅がこれだけ広いのは、同じ職種名でも任せる範囲が違うからです。自分の見ている範囲でも、事業会社が出す提示水準はここ数年で上がっています。予算を先に決めてから要件を考えると、市場と噛み合わないまま募集を出すことになりかねません。どの職種を採用したいかが決まった時点で、その水準を確認しておくと安全です。

自社に必要なのはどの領域の「セキュリティエンジニア」か

事業のフェーズと扱う情報の種別から、どこを優先するかを考えるのが出発点になります。

「全部できる人」を探す前に、自社が今いちばん守りたいものは何か（社内の情報資産なのか、提供しているプロダクトなのか）を言葉にすると、必要な職種がはっきりします。あくまで一般的な目安であり、最終的には自社の事業内容に合わせた判断が必要です。

専任を置かない、という判断もあります。監視は外部のサービスに任せて社内は窓口だけを持つ、診断は外部の専門会社に依頼する、コーポレート側は情シスが兼ねる、といった形です。何を自社で持ち、何を外に任せるかを決めてから、残った部分を募集要件にすると無理がありません。

「セキュリティ全般を1人で」という募集が空回りしやすいのは、必要な職種が定まらないまま間口だけを広げてしまうからです。応募いただく方の専門性はばらつき、面接でも評価の基準が定まりません。1つか2つに絞り込めれば、そのぶん候補者にも「この会社は何を任せたいのか」が伝わりやすくなります。

なお、専任の人事がいない体制でどう採用を進めるかは、人事がいないスタートアップのエンジニア採用戦略でも整理しています。経営の視点で採用体制を考える際はあわせて参照してください。

候補者への期待を明確にする

必要な職種を絞れたら、次はそれを候補者に伝わる言葉にします。伝えるのは次の3つです。

職種名を先に決めるより、任せたい仕事を具体化してから職種名をラベルとして付けたほうが、要件がぶれません。セキュリティの仕事は入社後に隣へ広がっていくことが多いため、広げるつもりがあるなら最初に共有し、ないならそれも先に伝えておいたほうが誠実です。

そのうえで、この3つを選考の最初から最後まで一貫させます。スカウトの文面、求人票、一次面接、最終面接で言っていることが変わると、候補者は自社の本気度を測れなくなります。専門性が高く、他社からも声がかかる方ほど、この一貫性をよく見ています。

まとめ

セキュリティ人材の採用は、「何を守るのか」と「いつ関わってほしいのか」を決めるところから始まります。社内なのか製品なのか、企画なのか実装・運用なのか事後対応なのか。ここが決まれば、必要な職種も、候補者に伝えるべきことも見えてきます。

要点は次の4つです。

• セキュリティエンジニアは総称で、守る対象と関わるタイミングで職能や名称が大きく異なります。 社内を守るコーポレートセキュリティと、自社製品を守るプロダクトセキュリティが起点になります。

• 事故が発生する前と発生した後では、求められる能力が違います。 転じて、求める候補者のペルソナも変化するため、求人はもちろん、面談で聞くことも変わります。

• 採用が難しいのは、総数の不足に加えて人材が支援側に偏っているためです。 提示水準も上がっているため、予算を先に固めてから要件を考えると噛み合わなくなります。

• 必要な職種を絞ったら、何をしてほしいか、どこまで広げてほしいかを一貫して伝えます。 選考の途中で言うことが変わると、候補者は自社の本気度を測れません。

セキュリティ人材の採用に迷ったら、自社が必要とする領域の切り分けからHRdevが一緒に整理できますので、ぜひお気軽にお声がけ下さい。