セキュリティエンジニア

一言でいうと

情報資産を攻撃と事故から守る職種の総称で、実務の中身は守る対象がプロダクトか社内環境かによって大きく分かれます。

この職種の出自と登場時期

セキュリティ担当を専任で置く実務は1990年代からありますが、職務が体系として整理されたのは2010年代です。米国では NIST が NICE Workforce Framework for Cybersecurity を整備し、セキュリティの業務を役割・タスク・必要な知識の単位で分類しました。この体系が NIST SP 800-181 として文書化されたのが2017年8月で、以降、求人要件と教育課程の共通言語として使われています。

国内では2016年10月に情報処理安全確保支援士（登録セキスペ）が始まり、セキュリティ人材の国家資格が整備されました。求人票で「セキュリティエンジニア」という職種名が一般化したのもこの前後です。ページ上部では国内の年が海外より早く見えますが、これは別系統の出来事が並んでいるためで、誤りではありません。

ただし、この呼称は範囲が広すぎるという問題を抱えています。国内でもプロダクトセキュリティとコーポレートセキュリティの違いが繰り返し解説されており、両者は目的も担い手も異なるにもかかわらず、同じ職種名のまま体制づくりが進む例が指摘されています。本用語集でも、この語は総称として扱い、実務は個別の語で説明します。

ミッション

責任の中心は、守るべき情報資産に対して、想定される攻撃と事故のリスクを許容できる水準まで下げることです。ゼロにはできないため、どのリスクをどこまで受け入れるかを事業側と合意することまでが仕事に含まれます。

平時の成果は見えにくく、インシデントが起きなかったことは証明できません。そのため、脆弱性の検出から修正までの時間、監査指摘の件数、インシデント発生時の検知と復旧の速さといった指標で評価されます。

主な業務範囲

• リスクの評価。守る対象と脅威を洗い出し、対策の優先順位を決める
• 対策の設計と導入。認証・暗号化・アクセス制御・監視の仕組みを組み込む
• 脆弱性の管理。診断の実施または外注、報告された脆弱性の切り分けと修正の推進
• インシデント対応。検知から封じ込め、原因分析、再発防止までを担当する
• 規程と教育。社内ルールの整備、従業員向けの教育、監査対応を行う

求められる能力

技術面では、ネットワーク・OS・Webアプリケーションの仕組みを説明できることが最低ラインです。そのうえで、攻撃側の手口を知っていることが求められます。守るべき箇所を判断するには、どう破られるかを具体的に説明できる必要があります。

非技術面で大きいのは、事業とのバランス感覚です。安全側に倒しすぎた運用は現場で回避され、その時点で対策が形だけになります。実務が成立する範囲で守る設計を提案する力が重く見られます。

この職種に就く人のキャリア経路

入口はインフラエンジニア・ネットワークエンジニア・SOC運用が多くを占めます。監視や運用から始めて、診断や設計へ進む流れが一般的です。開発エンジニアがセキュアコーディングを起点に移るケースもあります。

多くはプロダクトセキュリティ・コーポレートセキュリティ・オフェンシブセキュリティのいずれかへ専門を絞ります。CISO やセキュリティ組織の責任者に就く人もいます。

隣接職種との違い

採用担当の見極めポイント

• 求人票に「セキュリティエンジニア」とだけ書くと、応募者の経験が想定と大きくずれます。プロダクトか社内環境か、設計か運用かを最初に書き分けてください
• 職務経歴書を見るときは、診断ツールを回した経験と、結果を読んで対策を設計した経験を分けて確認してください。同じ「脆弱性診断」という記載でも中身が異なります
• 資格の有無だけで判断しないでください。情報処理安全確保支援士は知識の証明にはなりますが、実務での判断力を保証するものではありません

求人・市場の傾向

セキュリティ人材は国内で不足が続いており、経験者の母集団は薄いままです。特に設計まで担当できる層は限られ、採用競合には金融機関とセキュリティ専業ベンダーが並びます。

自社に既存のセキュリティ担当がいない状態で1人目を採る場合、候補者は前例のない環境で判断を求められます。誰が意思決定するか、予算をどう確保するかを募集前に決めておくと、選考での説明が具体的になります。

関連キーワード

脆弱性診断 / インシデント対応 / ゼロトラスト / 情報処理安全確保支援士 / NICE Framework / リスクアセスメント / SOC / CSIRT