職種・体制

SOCアナリスト

（そっくあなりすと／SOC Analyst）

一言でいうと

セキュリティ機器やサーバのログを常時監視し、攻撃の兆候を見つけて一次対応まで担当する職種です。

監視センターの運用自体は2000年代から通信事業者やセキュリティベンダーが提供していました。専門職として整理が進んだのは2010年代です。SIEM による相関分析が普及し、単一の機器のアラートではなく複数のログを突き合わせて判断する仕事になったことが背景にあります。

判断の共通言語になったのが、2013年に MITRE が公開を始めた ATT&CK です。観測した挙動を攻撃者の戦術と技術に対応づけることで、検知ルールの設計と分析の再現性が上がりました。米国の NICE Framework も、防御・分析の職務を独立した役割として分類しています。

国内では2015年前後から、大手企業が自社SOCを設置する動きとMSS（マネージドセキュリティサービス）の普及が同時に進みました。JPCERT コーディネーションセンターが脅威情報の共有と調整の窓口を担っています。

問われるのは、本物の攻撃を見逃さず、同時に誤検知に人手を奪われないことです。アラートの件数を処理することではなく、対応すべき事象へ正しく手を割けているかで評価されます。

成果を測るのは、検知までの時間、一次対応までの時間、誤検知率、そして見逃しの有無です。検知ルールの改善提案まで含めて仕事とする組織が増えています。

実務で問われるのは、ネットワークとOSの基礎、ログの読み方、攻撃手法の理解です。SIEM のクエリを書ける力、スクリプトで調査を効率化する力が加わると、扱える範囲が広がります。

技術以外では、判断を保留せずに切り分ける力が求められます。情報が揃わない状態でも、まず何を止めるかを決める必要があります。24時間体制のシフト勤務を伴う場合が多く、働き方への適性も選考の対象になります。

入口は情報システム部門・ネットワーク運用・ヘルプデスクが多くを占め、未経験からの参入経路が用意されている数少ないセキュリティ職です。監視の実務から始めて調査・分析へ進む流れが一般的です。

その後は、CSIRT担当、脅威ハンティングの専門職、セキュリティエンジニアとして対策の設計側へ移る道、オフェンシブセキュリティへ進む道に分かれます。

職種	責任の中心	SOCアナリストとの違い
CSIRT担当	インシデント発生後の対応の統括	発生後の意思決定と関係者調整が中心。SOCは検知と一次対応を担当する
セキュリティエンジニア	情報資産全般を守る（総称）	対策の設計と導入が中心。SOCアナリストは運用時の監視に特化する
Offensive Security Engineer	攻撃者視点での侵入の実証	攻撃側を模擬する。SOCアナリストは実際の攻撃に反応する
インフラエンジニア	サーバ・ネットワーク基盤の構築と運用	システムの稼働が対象。SOCアナリストは攻撃の兆候が対象

求人票では、シフト勤務の有無と体制を明記してください。24時間監視かどうかは応募判断を最も左右しますし、交替制や深夜勤務は募集時に明示すべき労働条件にあたります。書き方は社内の労務担当と確認してください
職務経歴書を見るときは、アラートの確認だけか、調査まで担当したかを確認してください。手順書に沿った運用しか書かれていないなら、直近で扱ったアラートを1件、時系列で説明してもらってください
内製SOCを立ち上げる場合は、検知基盤とルールの整備状況を伝えてください。監視対象が定義されていない状態では、着任しても仕事が始まりません

母集団はセキュリティ関連職のなかでは比較的厚く、未経験に近い層から分析まで担当する層まで幅があります。未経験に近い層まで同じカテゴリに入るため、媒体の件数をそのまま母集団と読まないでください。

監視対象の規模、使用している製品、シフトの組み方、エスカレーション先。この4つで日々の仕事がほぼ決まります。