Rapid7で働く人の年収の目安｜求められるセキュリティ経験 2026

2026年3月23日

朝比奈蒼

この記事のポイント

✓rapid7 年収を調べている方向けに
✓外資系セキュリティベンダーの給与レンジ
✓基本給とインセンティブの比率

「rapid7 年収」で検索してこのページにたどり着いた方の多くは、転職候補として外資系セキュリティベンダーを検討していて、実際いくらもらえるのか、そして自分の経験で通用するのかを知りたいのだと思います。結論から書きます。外資系セキュリティベンダーの日本法人は、同じ社名の中でも職種によって年収レンジが2倍以上ひらきます。だから「その会社の平均年収」という数字を一つ覚えても、あなたの意思決定にはほとんど役立ちません。役に立つのは、職種ごとのレンジと、基本給とインセンティブの比率と、求人票からその内訳を読み解く手順です。この記事ではその3つを軸に、2026年時点の市場動向をもとに整理します。

特定の一社について「基本給いくら、賞与いくら」と断定的に書くつもりはありません。企業の給与は個別の等級・入社時期・交渉結果で大きく変わりますし、それを推測で書くのは読者に対して不誠実だと考えています。正直なところ、この手のキーワードで検索したときに出てくる「平均年収◯◯万円」という一行だけの記事は、あまり参考にならないと思っています。代わりにこの記事では、あなたが自分で目の前の求人票を評価できるようになるための材料をすべて出します。

Rapid7という会社の立ち位置を理解すると年収の構造が見える

年収の話をする前に、その会社がどこで収益を上げているかを押さえておく必要があります。給与の原資も、評価のKPIも、事業構造から決まるからです。

Rapid7は米国マサチューセッツ州ボストンに本社を置くサイバーセキュリティ企業で、脆弱性管理、エクスポージャー管理、SIEM、MDR（マネージド検知/対応）といった領域の製品とサービスを展開しています。オープンソースのペネトレーションテストフレームワークであるMetasploitの開発を支援してきたことでも知られており、セキュリティエンジニアの間では製品名のほうが先に知られている、というタイプの会社です。日本法人はRapid7 Japan株式会社として国内の企業向けにこれらの製品を提供しています。

ここで重要なのは、収益モデルがサブスクリプション型のプラットフォーム販売とマネージドサービスの組み合わせだという点です。この構造の会社では、社内の職種が大きく4つに分かれます。1つ目が営業（アカウントエグゼクティブ、インサイドセールス）、2つ目が技術営業（セールスエンジニア、ソリューションアーキテクト）、3つ目がデリバリー・運用（SOCアナリスト、カスタマーサクセス、テクニカルサポート）、4つ目が本社直轄の開発・リサーチ職です。日本法人の場合、4つ目の開発職は米国本社側に集約されていることが多く、国内採用は前の3つが中心になります。

なぜこの区分が年収に直結するかというと、報酬の設計思想がまるで違うからです。営業職は基本給と歩合の合算で年収が決まり、達成率次第で上下します。技術営業も歩合の要素は持ちますが、営業よりも変動幅は小さめに設計されるのが一般的です。デリバリー・運用職は原則として固定給が中心で、賞与は会社業績と個人評価の組み合わせになります。「その会社の年収」を一つの数字で語れないのは、この3つがまったく別の給与テーブルで動いているためです。

外資系ベンダーの日本法人という組織形態がもつ特徴

外資系ベンダーの日本法人には、日系企業と比べていくつかはっきりした特徴があります。まず、給与レンジ（サラリーバンド）がグローバルで設計され、日本の水準に合わせて調整されたテーブルとして存在します。ジョブグレードが決まると、その中での上下幅が決まる仕組みです。日系企業の年功的な昇給カーブと違い、同じグレードにとどまる限り給与は横ばいに近く、上がるのはグレードが変わるときです。

次に、昇給のタイミングが会計年度の頭に一度、という会社が多いこと。年に1回のパフォーマンスレビューで評価が決まり、それが翌期のベース給と株式付与に反映されます。ここで日系企業から転職した人がよく戸惑うのが、「入社時に決めた金額が実質的に数年間の基準になる」という点です。入社時の交渉が長期的な収入に与える影響は、日系企業よりずっと大きい構造になっています。

3つ目に、株式報酬（RSU）の存在です。米国本社が上場している企業では、オファーに一定額のRSUが含まれることがあります。これは通常4年程度のベスティング期間で分割して付与され、権利確定した時点の株価で価値が決まります。つまりオファーレターに書かれた「総額」と、実際に手元に入る金額は一致しません。この点は後半で詳しく扱います。

クチコミサイトの年収データをどう読むべきか

「rapid7 年収」で検索すると、上位に転職クチコミサイトの企業ページが並びます。そこには個別の社員が申告した年収の内訳が掲載されています。たとえば次のような形式です。

Rapid7 Japanへの就職・転職を検討されている方が、Rapid7 Japanの実情を把握するための参考情報として、「社員による会社評価・クチコミ情報」（マーケティングマネージャー、マネージャー、在籍3年未満、現職（回答時）、中途入社、女性、Rapid7 Japan）「年収：1412万円年収内訳（基本給：1296万円、残業代：0万円、賞与：0万円、その他：112万円...」を共有しています。就職・転職活動での採用企業リサーチにご活用ください。出典: openwork.jp

このデータの読み方には注意が要ります。ポイントは4つあります。

第1に、これは1件の個別回答であって平均値ではありません。日本法人の従業員規模がそれほど大きくない外資系ベンダーの場合、クチコミの母数は数件から十数件にとどまることが普通です。統計として扱える数ではないので、「この会社の年収は◯◯万円」と一般化するのは無理があります。実際、同じ企業ページでも投稿によって数百万円の差が出ることは珍しくありません。

第2に、職位が明記されている点を必ず見ること。上の例では「マネージャー」職位です。マネージャーとメンバーでは、外資系のジョブグレードで2段階から3段階の差が出ることもあり、そのぶんベース給も変わります。自分が応募しようとしているポジションと職位が一致しているかを確認せずに数字だけ見るのは、まったく意味がありません。

第3に、内訳の構造を見ること。上の例では賞与と残業代がゼロで、基本給が総額の大半を占めています。これは外資系に典型的な設計で、年俸制のため月々の給与に賞与相当分があらかじめ含まれているケースや、裁量労働制で残業代の概念がないケースが該当します。日系企業の「基本給＋賞与4か月」という感覚のまま比較すると、月々のキャッシュフローの印象が実態とずれます。

第4に、投稿時点の情報であること。クチコミには投稿年が付いていますが、数年前のデータがそのまま残り続けます。セキュリティ人材の市場価値はこの数年で明確に上がっており、3年前のデータが現在の水準を正しく表しているとは限りません。

クチコミサイト側もこの限界は認識しており、単一の数字ではなく多角的に見ることを推奨しています。

OpenWorkでは全体の平均年収だけではなく、職種別や年齢別の平均年収も掲載しています。また、基本給、残業代、賞与などの給与内訳や、給与制度、評価制度の詳細も掲載しています。出典: openwork.jp

私自身、転職を検討している知人からクチコミサイトの数字を見せられて意見を求められることが何度かありました。そのたびに最初にやるのは、その投稿の職位・在籍年数・投稿年を一緒に確認することです。数字だけを切り出して見ると期待値が跳ね上がり、実際のオファーを見たときに落胆する、という流れをかなりの頻度で見てきました。数字は必ず属性とセットで読む。これだけで判断の精度がだいぶ変わります。

外資系セキュリティベンダーの職種別レンジをマクロで捉える

個社の断定を避けつつ、カテゴリとしての水準を押さえておきましょう。以下は外資系セキュリティベンダーの日本法人で、中途採用の求人票に提示されることが多いレンジの目安です。企業規模、製品の単価、日本市場での成熟度によって上下します。

職種	想定年収レンジ（総支給）	変動給の比率
インサイドセールス	500万円〜800万円	20%前後
アカウントエグゼクティブ（中堅）	900万円〜1,500万円	40〜50%
アカウントエグゼクティブ（エンタープライズ）	1,300万円〜2,200万円	50%
セールスエンジニア	900万円〜1,600万円	15〜25%
ソリューションアーキテクト	1,000万円〜1,800万円	15〜25%
SOCアナリスト（レベル1〜2）	500万円〜800万円	10%以下
SOCアナリスト（レベル3・脅威ハンティング）	800万円〜1,300万円	10〜15%
カスタマーサクセスマネージャー	700万円〜1,200万円	20〜30%
プロフェッショナルサービス（導入コンサル）	800万円〜1,400万円	10〜20%
各職種のマネージャー	1,300万円〜2,000万円超	職種に準拠

この表で注目してほしいのは、右列の変動給の比率です。営業職の場合、提示される「年収1,400万円」のうち700万円が目標達成時のインセンティブ、という構成が普通にあります。目標を60%しか達成できなければ、その年の総支給は1,000万円台前半に落ちます。逆に超過達成すればアクセラレータ（超過分の歩合率を上げる仕組み）が効いて、提示額を大きく超えることもあります。この振れ幅を理解せずに額面だけで転職を決めると、初年度で厳しい思いをします。

一方、技術職とデリバリー職は変動幅が小さく、額面に近い金額が安定的に入ります。年収の絶対値では営業職に届かないケースが多いものの、収入の予測可能性は高い。どちらが良いかは、その人のライフステージと家計の設計次第です。住宅ローンを抱えている段階で変動給50%のポジションに飛び込むのは、リスク許容度の観点から慎重に考えたほうがいいでしょう。

日本のIT人材全体の水準との比較

セキュリティ人材の年収を語るときは、IT人材全体の水準を基準線として置いておくと判断しやすくなります。国内のIT技術者の平均年収は業界統計でおおむね500万円台から600万円台に分布しており、そこから見るとセキュリティ専門職、とりわけ外資系ベンダーのポジションは明確に上振れした領域にあります。労働市場の全体像や職業別の統計は厚生労働省や総務省が公表する調査で確認できます。

上振れする理由は単純で、需要に対して供給が足りていないからです。ランサムウェアやサプライチェーン攻撃の実害が経営課題として認識されるようになり、企業側のセキュリティ投資は増えています。一方で、実務経験を持つセキュリティ人材の育成には時間がかかります。この需給ギャップが、給与のプレミアムとして現れている構図です。

ただし、ここに冷静な補足を入れておきます。プレミアムが付いているのは「実務経験のあるセキュリティ人材」であって、「セキュリティに興味がある人」ではありません。資格を取っただけ、書籍を読んだだけの状態で高年収のポジションに入れるわけではない。この線引きは、求人票の応募要件を見れば明確に書かれています。

なお、より一般的なソフトウェア開発職の単価水準を横並びで見たい場合は、ソフトウェア作成者の年収・単価相場のページが参考になります。職種ごとの相場が整理されているので、セキュリティ職との差分を把握するのに使えます。

求人票から待遇を読み解く実践的な手順

ここからが本題です。クチコミの平均値を探すより、目の前の求人票を正しく読むほうが何倍も有益です。外資系セキュリティベンダーの求人票を評価するときに、私が必ず見る項目を順番に並べます。

手順1：提示レンジがOTEかベース給かを確認する

求人票の年収欄に「900万円〜1,500万円」と書かれていたとき、それがOTE（On Target Earnings、目標達成時の総報酬）なのかベース給なのかで意味がまったく変わります。営業職の求人ではOTE表記が一般的で、その場合はベース給がおおむね半分です。技術職・運用職ではベース給表記が多くなります。

記載が曖昧なら、カジュアル面談の段階で必ず聞いてください。「提示のレンジはOTEでしょうか、ベースでしょうか。ベースとインセンティブの比率を教えてください」という質問は、外資系の採用担当にとってごく普通の質問であり、聞いたことで印象が悪くなることはまずありません。むしろ聞かない候補者のほうが、この業界の給与構造を理解していないと見なされます。

手順2：インセンティブの支払条件を確認する

営業職の場合、インセンティブがいつ、どの基準で支払われるかを確認します。確認すべき論点は具体的に次のとおりです。

・支払サイクルは四半期ごとか年次か・売上計上のタイミングは受注時か検収時か入金時か・マルチイヤー契約（複数年契約）の扱いは初年度一括カウントか年度按分か・入社初年度のランプアップ期間（目標未達でも一定額を保証する期間）はあるか、何か月か・アクセラレータの発動ラインと倍率

とくに入社初年度のランプアップは重要です。外資系ベンダーでは、入社してすぐにパイプラインを作れないことを前提に、最初の2四半期程度は目標達成率に関わらずインセンティブの一定割合を保証する制度を持つ会社があります。これがあるかないかで、初年度の実収入は数百万円変わります。

手順3：株式報酬の条件を分解する

RSUがオファーに含まれる場合、以下を確認します。

・付与総額はドル建てか円建てか・ベスティングスケジュール（何年かけて、どの頻度で権利確定するか）・クリフ（最初の権利確定までの待機期間）は何か月か・年次のリフレッシュ付与があるか

一般的なのは4年ベスティング、1年クリフという設計です。この場合、入社1年以内に退職すると株式は1株も手に入りません。また、付与額がドル建てで決まっていると、為替の影響を受けます。円安局面では円換算での価値が上がり、円高に振れれば下がります。株価変動と為替変動の2つの変数が乗るため、RSU部分は「確定した年収」として家計に組み込むべきではありません。

手順4：労働時間制度と残業代の扱いを確認する

裁量労働制なのか、みなし残業何時間分が含まれるのか、フレックスのコアタイムはあるのか。SOCアナリストのように24時間365日体制のシフト勤務が絡む職種では、深夜手当やシフト手当の有無が実収入に効いてきます。年収の額面が同じでも、月20時間働く人と月60時間働く人では、時間あたりの報酬が3倍違います。

手順5：福利厚生とその他の金銭的価値を数える

外資系では、日系企業のような住宅手当や家族手当がないことが多い一方、次のような項目が用意されている場合があります。

・確定拠出年金の会社上乗せ拠出・従業員株式購入制度（ESPP、市場価格からのディスカウント購入）・学習・資格取得費用の会社負担・フルリモート勤務の可否と、それに伴う通勤コストの消滅

学習費用の会社負担は、セキュリティ業界では実質的な収入とみなしていい項目です。上位資格の受験料と教材費、更新費用を合わせると年間で数十万円規模になることがあり、これを自費で払うか会社が持つかは可処分所得に直結します。

手順6：オファー額の交渉余地を測る

外資系のジョブグレードには上下幅があり、最初の提示はレンジの中央か中央よりやや下、というのが定石です。つまり交渉余地は構造的に存在します。交渉のときに効くのは、感情ではなく根拠です。現職の年収証明、他社からの競合オファー、そのポジションで求められるスキルのうち自分が満たしている項目の具体的な列挙。この3つを揃えて、レンジの上位を要求する。上げ幅として現実的なのは提示額の5%から15%程度です。

ここでよくある失敗が、ベース給ではなくOTEの引き上げを勝ち取って喜んでしまうケースです。OTEが上がるということは目標額も上がるということで、達成の難易度が上がるだけということもあり得ます。交渉は必ずベース給を軸に行ってください。

職種別に求められるセキュリティ経験の実像

年収レンジの上のほうに入るには、それに見合う経験が要ります。職種ごとに、求人票に書かれる要件の実像を整理します。

セールスエンジニア・ソリューションアーキテクト

この職種は、外資系セキュリティベンダーの中でも技術と対人スキルの両方が必要な、希少性の高いポジションです。求められる経験としては、企業のIT基盤に関する実務理解（ネットワーク、クラウド、認証基盤、エンドポイント）、脆弱性管理やログ分析の実務経験、そして顧客の技術担当者に対して製品の価値を説明しきる力です。

とくに評価されるのが、事業会社の情報システム部門やSOCで「買う側・使う側」を経験していることです。買う側の意思決定プロセスと、導入後に何が面倒になるかを知っている人は、提案の解像度が違います。ネットワークの基礎を体系的に学ぶ入口としてはCCNA（シスコ技術者認定）のような資格が定番で、ここから上位のセキュリティ資格に進むルートが確立されています。

英語の要件も現実的な論点です。米国本社のプロダクトチームやサポートチームと直接やり取りする場面があるため、読み書きは必須、会議での聞き取りと発言ができるレベルが望ましい、というのが一般的な線です。ただし「英語がネイティブレベルでないと無理」というほどではなく、技術的な話題に限れば専門用語が共通なので、思っているよりハードルは低いという声もよく聞きます。

SOCアナリスト・脅威ハンティング

MDRサービスを提供するベンダーでは、実際に顧客環境の検知と対応を担うアナリストが必要です。レベル1はアラートのトリアージ、レベル2はインシデントの調査と一次対応、レベル3は脅威ハンティングと検知ロジックの作成、という階層構造が一般的です。

年収レンジが大きく変わるのはレベル2からレベル3の間です。レベル1と2はアラート駆動の受動的な業務で、業務プロセスが標準化されているぶん代替可能性が高い。一方レベル3は、仮説を立てて能動的にログを探しにいく仕事であり、攻撃者の手口に関する知識と、それをクエリに落とし込む技術の両方が要ります。ここに到達できるかどうかが、セキュリティ運用職としての年収の分岐点になります。

具体的に評価される経験は、SIEMやEDRの運用経験、検知ルールのチューニング経験、フォレンジック調査の経験、マルウェア解析の基礎、攻撃フレームワークに沿った検知設計の経験などです。

営業職・カスタマーサクセス

営業職で求められるのは、エンタープライズ向けのソフトウェア販売経験、とくに複数の意思決定者を巻き込む長期の商談を回した経験です。セキュリティ製品の商談は情報システム部門だけで決まらず、経営層、リスク管理部門、監査部門が絡むことが多い。この複雑さをマネージできるかが問われます。

セキュリティの技術知識は、営業職でも「まったく不要」ではありません。顧客が抱える課題を聞いて、それがエクスポージャー管理の問題なのか、検知の問題なのか、対応体制の問題なのかを切り分けられる程度の理解は必要です。逆に言えば、そのレベルの理解でよい。深い技術の話はセールスエンジニアが担当する分業体制が組まれています。

カスタマーサクセスは、導入後の定着と更新率に責任を持つポジションです。サブスクリプションモデルの会社では更新率が事業の生命線なので、この職種の重要度は年々上がっています。求められるのは、製品の使いこなしを支援する技術理解と、顧客の社内事情を読んで推進する調整力です。

セキュリティ領域を含む幅広い技術職の仕事内容を俯瞰したい場合は、AI・マーケティング・セキュリティのお仕事のページで、実際にどういう業務が案件として動いているのかを確認できます。企業内のポジションとは別に、外部人材として関わる形の仕事がどう定義されているかを見ておくと、自分のスキルの市場での位置づけが立体的に見えてきます。

年収を上げるために効く資格と実績の積み方

セキュリティ職の年収を押し上げる要素を、効果の大きい順に並べます。

第1が、インシデント対応の実務経験です。実際に侵害が起きた環境で調査と封じ込めを経験した人は、市場で明確に希少です。これは資格では代替できません。

第2が、特定製品カテゴリの深い運用経験です。SIEM、EDR、脆弱性管理プラットフォームなど、企業が実際に投資している領域の製品を使い込んだ経験は、ベンダー側の採用で直接評価されます。ベンダーは自社製品の隣接領域を知っている人を求めているからです。

第3が、資格です。ただし資格単体で年収が上がるというより、書類選考を通過させる機能と、面接で知識の土台を証明する機能が中心になります。セキュリティ領域では上位資格の取得に実務年数の要件が課されるものがあり、それ自体が実務経験の証明として機能する側面もあります。

第4が、アウトプットの実績です。技術ブログ、勉強会での登壇、脆弱性報告、オープンソースへの貢献。これらは採用側から見ると「この人が本当に手を動かしているか」を判断する材料になります。とくにセキュリティ業界は技術コミュニティとの距離が近く、コミュニティでの認知が採用につながることが日常的に起きています。

第5が、英語です。外資系ベンダーでは、英語ができることでアクセスできるポジションの幅が変わります。日本法人内で完結する職種と、APACリージョンや本社と直接連携する職種では、後者のほうがグレードが高く設定されることが多い。

なお、技術職であっても文書作成能力は評価対象です。インシデントレポート、提案書、顧客向けの技術説明資料など、書く仕事は想像以上に多い。基礎的な文書スキルを整えたいならビジネス文書検定のような体系的な学習も無駄になりません。文章がうまい技術者は、そうでない技術者より確実に評価されます。これは20年近くコンテンツの現場を見てきた実感としても、はっきり言えることです。

転職して年収が上がる人と、上がらない人の分岐点

同じ会社の同じポジションに応募しても、オファー額には差がつきます。何が差を作るのかを整理します。

現年収の伝え方で天井が決まってしまう

外資系の採用プロセスでは、比較的早い段階で現年収を聞かれます。ここで額面だけを答えると、それが交渉の基準線になります。伝えるべきは、額面だけでなく、賞与の実績、株式報酬の有無、福利厚生として受け取っている金銭的価値を含めた「総額」です。日系企業から転職する場合、住宅手当や家族手当が年間で数十万円分になっていることがあり、これを申告しないと実質的に減収のオファーを掴まされます。

同時に、希望年収は根拠とセットで伝えます。「現職の総額がこれで、転職によって手放す福利厚生がこれだけあるので、この水準を希望します」という組み立てなら、採用側も社内で稟議を通しやすくなります。

スキルの棚卸しが浅いまま面接に臨む

自分の経験を「脆弱性管理をやっていました」で終わらせるか、「資産数◯◯台の環境でスキャンの運用設計から例外管理、部門調整、経営報告までを回していました」と語れるかで、評価されるグレードが変わります。外資系のジョブグレード判定は職務記述書との突き合わせで行われるため、自分の経験を職務記述書の言葉に翻訳できるかどうかが直接効きます。

転職の理由が「年収を上げたい」だけになっている

これは面接の通過率の話です。年収を上げたいのは当然の動機ですが、それだけを前面に出すと、次にもっと高い提示があれば辞める人だと見なされます。実際、外資系ベンダーの日本法人は組織規模が小さく、採用1人あたりのコストと影響が大きい。定着してくれるかどうかは真剣に見られています。

製品や事業領域への関心、その会社が解こうとしている課題への共感を、具体的な言葉で語れるかどうか。ここは技術力とは別の軸で評価されます。

会社員以外の選択肢としてのセキュリティ人材の働き方

年収を検索している人の中には、そもそも組織に所属する以外の選択肢を検討している方もいると思います。セキュリティ領域は、独立や副業との相性が悪くない分野です。

企業側のニーズとしては、常勤のセキュリティ人材を採用するほどではないが、スポットで専門家の目を入れたいという需要が確実にあります。具体的には、セキュリティ体制の評価、ポリシー・規程の整備、脆弱性診断、インシデント対応の初動支援、経営層向けの説明資料作成、といった業務です。これらは業務委託として切り出しやすい性質を持っています。

同様に、AI導入に伴うセキュリティ・ガバナンスの相談も増えています。生成AIを業務利用する際のデータの取り扱いルール整備は、多くの企業がまさに今取り組んでいるテーマです。この領域の実務はAIコンサル・業務活用支援のお仕事のページで整理されており、技術寄りの人が事業側の課題に関わる入口としても機能します。

独立を考える場合、税務の設計も避けて通れません。年収帯が上がると、個人事業主のままでいるか法人を作るかで手取りが変わります。マイクロ法人か個人事業主か？年収1,200万フリーランスのための徹底比較2026では、その分岐点を数字で比較しています。さらに法人化した後の役員報酬の設定は手取りに直結するテーマで、年収1,500万円フリーランスの「役員報酬」最適額シミュレーションが具体的な計算例を扱っています。

もっとも、独立が常に有利というわけではありません。会社員として得ている社会保険の会社負担分、有給休暇、教育投資、そして何より安定した案件供給。これらを自分で調達するコストは決して小さくない。専門性を持つ職種の転職と独立の判断軸については、薬剤師転職年収のリアル：失敗しないキャリア戦略と稼ぎ方のように、別の専門職の事例を横目で見ると構造の共通点が見えてきます。専門資格を持つ職種は、雇用と独立のどちらでも一定の年収を確保できる一方、独立側の収入の上限は「自分の稼働時間」で決まる、という点が共通しています。

独自データから見た、額面より手取りを見るという発想

在宅ワーク・業務委託の求人データを長く扱ってきた立場から、年収という指標そのものについて少し違う角度の話をします。

在宅ワーク市場を20年運営してきた立場から言えば、収入の満足度を決めているのは額面の大きさではなく、手取りと稼働時間の比率です。同じ年収1,000万円でも、週50時間拘束されている人と週35時間で済んでいる人では、生活の質がまったく違う。そして長く安定して働き続けている人ほど、この時間あたりの効率を意識して仕事を選んでいます。転職の際に額面だけを比較して、みなし残業時間や実際の稼働実態を確認しないまま決めてしまう人が一定数いますが、そういう転職は1年から2年で不満が出てくることが多いというのが、市場を見てきた実感です。

もう一点、中間マージンの構造についても触れておきます。業務委託でセキュリティの仕事を受ける場合、多くのケースでは間に仲介事業者が入り、そこで発注額の一部が手数料として抜かれます。仲介の手数料が乗らない直接取引では、同じ発注予算でも受け手の手取りが厚くなり、依頼側は同じ予算でより多くの依頼ができる。この構造は双方にとって合理的で、実際に長期の関係を築いている発注者と受注者ほど、直接のやり取りに移行しています。手数料0%という条件が効いてくるのは、単発の仕事より、継続的に関係が続く仕事においてです。長く続く人ほど、単発の作業を数多くこなすことよりも、「この人に任せると楽だ」と思ってもらえる関係づくりに時間を使っている。これは20年見てきた中で、ほとんど例外のない傾向でした。

会社員としての年収を考えるときも、同じ発想は使えます。オファーレターの数字は、あなたが受け取る価値の一部でしかありません。税引き後にいくら残るか、そのために何時間を差し出すか、その仕事で獲得できるスキルが3年後の市場価値をどれだけ押し上げるか。この3つを合わせて評価したとき、初めて「そのオファーが良いか悪いか」が判断できます。

具体的な作業としては、次の手順をおすすめします。まず、比較対象となる各オファー（および現職）について、ベース給、確定的な賞与、変動給の期待値（過去の平均達成率で割り引いた額）、株式報酬の年換算額（保守的に見積もる）、福利厚生の金銭価値を縦に並べます。次に、それぞれの想定年間労働時間で割って時間単価を出します。最後に、そのポジションで3年後に到達している職位と、そのときの市場での想定年収を書き添える。この表を作ると、額面が一番高い選択肢が必ずしも最良ではないことが、かなりの確率で見えてきます。

セキュリティ人材の市場は当面のあいだ売り手優位が続くと見られます。だからこそ、目の前の一社の年収を調べることに時間をかけるより、自分の経験を職務記述書の言葉で語れるように整理し、レンジの上位を要求できる根拠を揃えるほうが、結果的に大きなリターンをもたらします。「rapid7 年収」という検索から始まったこの調査が、特定の一社の数字探しで終わらず、あなた自身の市場価値を測り直す作業につながるなら、この記事の目的は果たされたと思います。

なお、技術職と並行して文章による情報発信を武器にしていきたい方は、著述家，記者，編集者の年収・単価相場も一度見ておくと、セキュリティ技術者が技術記事や解説コンテンツで得られる収入の相場感がつかめます。技術ブログでの発信が転職につながる業界だからこそ、書く技術への投資は回収しやすい領域です。

自社の製品を売る、顧客の環境を守る、脅威を追いかける。どの役割を選ぶかによって、年収の水準も、変動のしかたも、求められる経験も変わります。まずは自分がどの職種で戦うのかを決めること。年収の数字を調べるのは、その後で十分間に合います。ソフトウェア開発の周辺領域まで視野を広げたい場合は、アプリケーション開発のお仕事で実際の業務の切り出され方を確認しておくと、キャリアの選択肢がもう一段広がります。