セキュリティコンサル転職の進め方｜未経験からの経路と年収相場

2026年5月8日

＠SOHO編集部

この記事のポイント

✓セキュリティコンサル転職を検討している人向けに
✓求人が実際に求めているスキル
✓未経験から入る4つの経路

結論から書きます。セキュリティコンサルタントへの転職は、完全な未経験から一足飛びに狙うものではなく、「隣接領域の実務経験を1つ持った状態」で挑むのが最短です。インフラ、運用監視、開発、内部監査、情報システム部門。どれか1つで手を動かした経験があれば、扉は開きます。逆に、資格だけを積んで職務経歴が空白のまま応募すると、書類の段階でほぼ通りません。

この記事では、求人が実際に何を見ているのか、年収はどの水準から始まってどう上がるのか、未経験から入るための経路は何通りあるのか、そして在宅勤務は本当に可能なのかを順に整理します。転職エージェントの宣伝文句をそのまま信じる前に、構造を知っておいたほうが判断を間違えません。

セキュリティコンサルタントという職種の輪郭

まず、この職種名が指す範囲はかなり広いという特徴があります。求人票に「セキュリティコンサルタント」と書かれていても、実態は次のいずれかであることが多い。

1つめは、マネジメントシステム系です。ISMS（ISO/IEC 27001）やプライバシーマークの取得支援、規程の整備、内部監査の代行、取引先から届くセキュリティチェックシートへの回答支援。文書と運用が主戦場で、技術的な設定作業はほとんどありません。

2つめは、リスクアセスメント・ガバナンス系です。企業全体の情報資産を棚卸しし、リスクを評価し、経営層に投資判断の材料を出す仕事です。金融機関やグローバル企業の案件が多く、フレームワーク（NISTのサイバーセキュリティフレームワークなど）に沿って現状を評価します。

3つめは、技術診断系です。脆弱性診断、ペネトレーションテスト、セキュリティ設計のレビュー。ここは手を動かす比重が高く、コンサルタントというよりエンジニアに近い働き方になります。

4つめは、インシデント対応・CSIRT構築支援です。事故が起きたときの初動体制を作り、訓練を回し、実際の事故には駆けつける。24時間体制の関与が求められる案件もあります。

応募する前に、自分が狙う求人がこの4つのどれなのかを見極めてください。求められるスキルも、年収の上がり方も、在宅勤務の可否も、ここで大きく変わります。「セキュリティコンサル」という一語で括って比較すると、判断を誤ります。正直なところ、求人サイトの職種分類はこの区別をしていないことが多く、応募者側が業務内容の記述から読み取るしかないのが現状です。

市場がいま人を欲しがっている理由と、その裏側

求人が増えている背景は3つあります。

第一に、取引先からの要求です。大企業が委託先に対してセキュリティ水準の証明を求める動きが定着しました。結果として、証明する側の中堅・中小企業が支援を必要とし、その支援を提供する事業者が人を採る、という連鎖が起きています。

第二に、法令と制度の圧力です。個人情報保護法の改正で漏えい時の報告が義務化され、経済産業省などが公表するガイドライン類も更新が続いています。制度が動くたびに、対応を助ける人が必要になります。

第三に、単純に事故が減っていないことです。ランサムウェアによる業務停止は、製造業や医療機関でも起きています。事故は起きてから外部に頼むことが多く、その結果として復旧支援と再発防止の案件が生まれます。

ただし、需要が多いことと、未経験者が採用されやすいことは別の話です。ここは冷静に見る必要があります。実際、業界の採用事情はこう説明されています。

では、「そんなスーパーマンみたいなコンサルタントはいるのか？」といえば、現状では正直それほど多くはなく、大手コンサルティングファームでは、サイバーセキュリティに関する実務経験者（ファームによってはインフラ実務経験者）の方に、実際のプロジェクトワークを通じて経験を積んでもらい、数年後に第一人者のコンサルタントになってほしい、というスタンスであります。出典: movin.co.jp

この記述は重要です。要するに、採用側は「完成したセキュリティコンサルタント」を探していません。市場にほとんど存在しないからです。探しているのは「育てれば数年で第一人者になれる素地を持った人」です。だから、インフラ実務経験者が歓迎される。この構造を理解すると、応募書類で強調すべきものが変わります。セキュリティの知識を並べるより、「システムの全体像を理解して動いた経験」を示すほうが刺さります。

求人が実際に求めているスキルの中身

求人票の要件欄を分解すると、おおむね次の4層に整理できます。

第1層は、技術の土台です。ネットワークの基礎（TCP/IP、ファイアウォール、VPN）、サーバーOSの運用、認証の仕組み、クラウド（AWS、Azure、Google Cloud）の基本構成。深い専門性より、「どこに何があるか」を把握できる広さが求められます。ネットワークの基礎をどこまで押さえればよいかの目安としてはCCNA（シスコ技術者認定）の出題範囲が実務的な基準になります。この範囲を説明できる程度の理解があれば、技術の土台としては足ります。

第2層は、フレームワークと法令の知識です。ISO/IEC 27001、NISTのフレームワーク、個人情報保護法、不正競争防止法の営業秘密。これらは暗記ではなく、「この会社の状況ならどの枠組みを当てるか」を判断できるレベルが要ります。

第3層は、ドキュメントと説明の力です。この職種は、成果物が文書です。現状評価報告書、改善計画、規程案、経営層向けの説明資料。そして、その文書を使って相手を動かします。ここが弱いと、技術力があっても評価されません。正直なところ、技術者からの転身で最も苦労するのがこの層です。

第4層は、プロジェクトを回す力です。複数社の案件を並行して進め、進捗を管理し、顧客の担当者を動かす。コンサルティングファームでの評価は、最終的にここに集約されます。

認証基盤まわりは相談件数が多い領域なので、製品ごとの違いを押さえておくと初回の打ち合わせで差がつきます。多要素認証の導入検討で何が論点になるかはMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版にまとまっています。実際の提案の場では、こうした「よく相談される定番テーマ」に即答できるかどうかが信頼の入口になります。

年収の相場と、上がっていく構造

年収は、先に挙げた4類型と、所属先の種類で決まります。

求人票に出ている水準を整理すると、事業会社の情報システム部門でセキュリティを担当する場合はおおむね550万円から800万円、セキュリティ専業ベンダーのコンサルタント職で600万円から1,000万円、外資系や大手コンサルティングファームのマネージャー以上で1,000万円を超えるレンジが提示されています。未経験から近い領域に入る場合は450万円から600万円あたりが出発点になることが多く、ここから数年でどこまで伸ばせるかという勝負になります。

伸びる構造を分解すると、3つの要素に分かれます。

1つめは、単価の高い案件を任されるかどうかです。ISMS取得支援のような定型化された案件と、事故対応やグローバル拠点を含むリスク評価では、請求額の桁が違います。定型案件だけを回していると、個人の年収も定型のところで止まります。

2つめは、顧客と直接話せるかどうかです。資料を作る人と、経営層に説明する人では、評価がまったく違う。この差は2倍近い年収差として現れることもあります。

3つめは、専門領域を1つ持っているかどうかです。クラウドセキュリティ、OT（工場設備）セキュリティ、医療情報システム、金融の規制対応。狭くてよいので指名される領域があると、単価交渉の立場が変わります。

比較材料として、近接職種の水準も見ておくとよいでしょう。技術寄りのキャリアを維持した場合の相場はソフトウェア作成者の年収・単価相場に職種別のデータがあります。セキュリティコンサルに転じることが、必ずしも収入面で有利とは限りません。自分の得意が技術の深掘りにあるなら、そちらを伸ばす選択も合理的です。

未経験から入る4つの経路

完全未経験からの直接応募が難しいことは前述のとおりです。現実的な経路は4つあります。

経路1は、インフラ・運用からの横移動です。サーバーやネットワークの運用経験がある人が、セキュリティ専業ベンダーの診断部門や運用監視（SOC）に移り、そこから提案・コンサル側に上がる。最も人数が多く、採用側も想定している道です。

経路2は、情報システム部門からの転身です。事業会社で社内のIT全般を見ていた人が、外部の支援側に回るパターンです。「発注する側の気持ちがわかる」ことが強みになります。ISMSやPマークの取得を社内で経験していれば、その実績はそのまま職務経歴になります。

経路3は、監査・法務からの越境です。内部監査やコンプライアンス部門の経験者が、ガバナンス系のセキュリティコンサルに入る道です。技術の土台は後から補う必要がありますが、フレームワークと文書の力はすでにあります。意外と通りやすい経路です。

経路4は、社内での異動を挟む方法です。今の会社でセキュリティ担当を兼務させてもらい、1年から2年の実績を作ってから外に出る。時間はかかりますが、リスクは最も低い。転職活動の書類に「セキュリティ担当として規程改訂と社内教育を主導」と書けるかどうかで、選考の通過率が変わります。

どの経路でも共通して効くのが、隣接分野の実務です。たとえば社内教育の企画を担当した経験は、想像以上に評価されます。訓練の設計と効果測定は実務でよく求められるテーマで、その具体像は社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで扱っています。「教育を回した経験がある」と言える人は、コンサル側に回ったときの立ち上がりが早い。

資格は必要か、どれから取るべきか

資格の扱いについては、冷静に整理したほうがいいでしょう。結論は「必須ではないが、未経験者ほど効く」です。

国家資格では、情報処理安全確保支援士（登録セキスペ）が最も通りの良い証明になります。試験に合格したあと登録手続きを行い、登録後は毎年のオンライン講習と数年ごとの実践講習が義務付けられています。維持には十数万円規模の費用がかかるため、登録するかどうかは仕事で名乗る必要があるかで判断してください。合格しただけでも職務経歴書には書けます。

国際資格では、CISSPが管理系の定番です。ただしこの資格は、一定年数の実務経験がないと正式な認定を受けられません。未経験者がいきなり狙う資格ではなく、実務を数年積んだ後の選択肢だと考えてください。クラウド系ならAWSやAzureのセキュリティ専門認定が実用的で、案件の技術要件に直結します。

未経験から順番に積むなら、情報セキュリティマネジメント試験、基本情報技術者試験、応用情報技術者試験、情報処理安全確保支援士という国家試験のラインが素直です。加えて、ネットワークの証明としてCCNAを1つ置くと、技術の土台があることを示せます。

一方で、資格だけを並べた職務経歴書は通りません。採用側が見るのは「その知識で何をしたか」です。資格の欄より、業務の欄を厚くしてください。

選考で見られること、職務経歴書の書き方

書類で落ちる人の共通点は、担当した作業を並べているだけという点です。「ファイアウォールの設定変更を担当」では、何も伝わりません。

通る書き方は、課題、判断、結果の3点セットです。たとえば「委託先が増えて管理が追いつかなくなっていたため、委託先の分類基準を作り、リスク区分ごとに確認項目を変える運用に切り替えた。結果として確認作業の対象を絞り込めた」という形です。判断が入っている文章は、コンサル適性の証拠になります。

面接では、3つのことを見られます。1つめは、説明の構造化です。結論から話せるか。2つめは、知らないことへの態度です。わからない論点を「わかりません」と言った上で、どう調べるかを説明できるか。取り繕う人は落ちます。3つめは、顧客の立場に立てるかです。技術的に正しい答えと、その会社が実行できる答えは違います。後者を出せる人が求められます。

中小企業を顧客に持つ場合はとくに、予算の制約を前提にした提案ができるかが問われます。補助金を使った施策設計の実例は中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法に整理されています。面接で「予算が取れない会社にはどう提案しますか」と聞かれたときに、制度を絡めた具体策を出せると評価が変わります。

在宅・リモート勤務の実情

在宅で働けるかは、応募者がとても気にする点なので、実情を書きます。

完全在宅はまだ少数派です。理由は、顧客先での現地確認や会議が業務に組み込まれているからです。ただし、類型によって差があります。マネジメントシステム系の支援は文書中心なので在宅比率が高く、週の大半を自宅で作業する形も成立します。技術診断系も、診断作業自体はリモートで実施できるものが多い。逆に、インシデント対応と現地監査は出社や出張が前提になります。

求人票で「リモート可」と書かれていても、実態は週2日から3日の出社というケースが多いのが現状です。面接の場で、直近半年の実績値を聞いてください。「制度としてある」と「実際に使われている」は別です。

在宅比率を上げたいなら、文書を作る力を磨くのが最短です。報告書と提案資料の質が高い人は、対面の時間を減らしても信頼が落ちません。文書の型を押さえ直したい人にはビジネス文書検定の範囲が参考になります。地味ですが、この職種で最後に効いてくるのはこの力です。

エージェントの使い方と、独立という別ルート

転職エージェントは有効ですが、任せきりにすると持ち駒を絞られます。セキュリティ専門を名乗るエージェントは求人の質が高い一方、紹介先が固定的なことがあります。専門系と総合系を最低1社ずつ併用し、同じ求人を別ルートで応募しないよう管理してください。

エージェント経由の転職体験談は各社が公開していますが、あくまで成功例が選ばれて載っています。

ITコンサル転職成功体験談当社サービスを活用されて見事「ITコンサルタント転職」を成功させた方々からの体験談、転職秘話を一部ご紹介します。出典: movin.co.jp

こうした事例は、経路の存在を知る材料としては有用です。ただし、掲載されるのは成功した人だけなので、通過率の目安にはなりません。参考にするなら「どの前職からどこへ移ったか」という組み合わせだけを読み取ってください。

もう1つの道が、雇用ではなく業務委託で入ることです。企業に常駐せず、ISMSの文書整備や社内教育の設計といった切り出しやすい業務を受託する形です。この働き方だと、複数社の案件を並行して持てるため、経験の幅が速く広がります。どういう形で仕事が切り出されるかはAIコンサル・業務活用支援のお仕事に整理されており、コンサルティング業務が委託の形で流通している実態がわかります。セキュリティ単体ではなくAI活用や業務設計と束ねて依頼されるケースも増えています。

委託で入る場合、経験の浅いうちは「文書作成の実行部隊」として関わり、判断は社員側が持つという分担になります。それでも、現場の資料を見られること自体が学習になります。転職の前段として委託で1件経験しておくと、面接で話せる材料ができます。

転職活動のスケジュールと、準備の順番

動き出す前に、順番を決めておくと無駄がありません。おおむね半年を見込んだ組み立て方を示します。

最初の1か月は、棚卸しに使います。これまでの業務の中から、セキュリティに接した場面を全部書き出してください。アカウントの棚卸しを手伝った、退職者の権限削除の手順を作った、取引先のチェックシートに回答した、バックアップの運用を見直した。どれも立派な材料です。自分では「たいしたことをしていない」と思っている作業が、書類では十分に通用します。

2か月目から3か月目は、足りない層を埋める期間です。技術の土台が薄ければネットワークとクラウドの基礎を、フレームワークの知識が薄ければISO/IEC 27001の構造と個人情報保護法の実務対応を押さえます。資格試験を受けるなら、この時期に申し込んで期限を作ってください。通年で受けられる試験が増えているので、勉強の進み具合を見て日程を決められます。

4か月目に、職務経歴書を仕上げます。ここで重要なのは、応募先の類型ごとに書き分けることです。マネジメントシステム系に出す書類と、技術診断系に出す書類は、強調する経験が違います。1通を使い回すと、どちらにも刺さらない書類になります。

5か月目から6か月目が、応募と面接です。並行して進める社数は、多くても5社程度に抑えてください。面接の準備には1社あたり数時間かかりますし、業種ごとの下調べも必要になります。数を打つより、志望度の高い会社の情報を深く集めたほうが通ります。

在職中に進める場合、面接の日程調整が最大の障害になります。オンライン面接に対応する会社が増えているので、一次はオンラインで受けられるかを最初に確認しておくと動きやすくなります。現職の引き継ぎ期間も見込んで、内定から入社まで2か月程度の余裕を持って交渉するのが無難です。

顧客の業種によって、仕事の中身はここまで変わる

同じセキュリティコンサルタントでも、担当する業種で日々の作業はまったく違います。転職先を選ぶときは、その会社がどの業種を主戦場にしているかを必ず確認してください。求人票の「主要顧客」欄や実績紹介ページを見ればおおよそ判別できます。

金融業界を顧客に持つ場合、規制対応の比重が高くなります。金融庁の監督指針や業界団体の安全対策基準に沿って、現状を評価し、差分を埋める計画を作る。文書量が多く、締め切りが硬い。細かい確認作業を厭わない人に向きます。報酬水準は高い一方、手順が細かく決まっているため、裁量は思ったより小さいという特徴があります。

製造業を顧客に持つ場合、工場設備を扱うOTセキュリティが論点になります。ここは一般的な情報システムの常識が通じません。制御機器は簡単に止められず、OSの更新も自由にできない。「脆弱性があるのでパッチを当てましょう」という提案が成立しない世界です。代わりに、ネットワークを分離する、外部からの接続経路を絞る、といった別の手段を組み立てます。この領域は担い手が少なく、専門を持てば指名で仕事が来ます。

医療機関を顧客に持つ場合、厚生労働省が示す医療情報システムの安全管理に関するガイドラインが基準になります。電子カルテの運用を止められないという制約があり、かつ扱う情報の機微性が高い。ランサムウェアの被害が実際に出ている分野なので、事故を前提とした復旧計画の整備が中心課題になります。

中小企業を顧客に持つ場合は、予算と人手が最大の制約です。専任の担当者がいない会社に、実行可能な水準の対策を設計する仕事になります。正直なところ、ここが最も難易度が高いと考えています。理想的な提案を出しても実行されないからです。「この会社が本当に回せる運用」を見極める力が要ります。その代わり、感謝される度合いも大きく、関係が長く続きます。

業種が変わると、必要な周辺知識も変わります。どの業種を選んでも、最初の半年は業界用語と規制の勉強に時間を取られると考えておいてください。それは技術の勉強とは別枠で必要になる時間です。

入社後の最初の1年で実際に起きること

転職先が決まったあと、何が待っているのかも書いておきます。ここを知らずに入ると、想像とのずれで早期離職につながります。

最初の3か月は、ほぼ資料作りです。先輩コンサルタントが顧客と交わした議事録を整理し、報告書のドラフトを書き、過去案件の成果物を読み込む。顧客の前に出る機会は限られます。この期間を「雑用をやらされている」と感じる人がいますが、実際には最短の学習期間です。過去の報告書は、その会社が蓄積した判断の型そのものだからです。

次の3か月から半年で、顧客との打ち合わせに同席し始めます。ここで初めて、教科書と現実の差を知ることになります。規程に書いてある手順が現場で守られていない、担当者が退職して誰も仕組みを知らない、経営層がそもそも関心を持っていない。こうした状況に対して何を言うかが、この職種の本体です。

1年目の後半で、小さな案件を単独で任されます。多くの場合、既存顧客の継続案件です。チェックシート回答の支援や、年次の規程レビューといった、手順が固まっているものから始まります。ここで顧客に「次もこの人に」と思わせられるかどうかが、2年目以降の担当範囲を決めます。

つまずきやすいのは、技術者から転身した人です。正しい答えを出すことに集中しすぎて、顧客が実行できるかを軽視してしまう。実行されない提案は、コンサルティングの成果としてはゼロです。この切り替えに半年から1年かかる人が多いという傾向があります。逆に、営業や管理部門から来た人は、実行可能性の感覚は持っているものの、技術的な裏付けの薄さを指摘されます。どちらから来ても、最初の1年は自分の弱い側を埋める期間になると考えてください。

運営者として市場を見てきた立場からの考察

フリーランスと在宅ワークの市場を20年運営してきた立場から見ると、セキュリティ領域の仕事の流れ方には、他の分野と違う特徴があります。それは、最初の依頼が小さいということです。いきなり全社の体制構築を任されることはほとんどなく、チェックシートの回答支援や規程の一部改訂といった小さな入口から始まります。そして、そこで信頼を得た人に次が来る。

運営者として見てきた限りでは、長く続く人ほど、単発の作業を取りにいっていません。「この領域はこの人に聞けば済む」という状態を作ることに時間を使っています。セキュリティの仕事はこれと相性がいい。規程は改訂され、訓練は毎年あり、法令は変わるからです。一度きりで終わる業務がほとんどないので、最初の一件を丁寧にやると関係が積み上がります。転職を考えている人にも、この構造は知っておいてほしいと思います。社内で任された小さな案件を丁寧に仕上げた記録が、そのまま次のキャリアの材料になります。

もう1つ、額面と手取りの話をしておきます。同じ業務でも、仲介に手数料が乗る経路と依頼者と直接契約する経路では、受け手に残る金額が変わります。手数料0%で直接つながる形では、受け手の手取りが厚くなる一方、依頼者側も同じ予算でより多くを頼めます。両側を見てきて思うのは、これが単なる金額の話ではないということです。手取りが薄いと、受け手は件数をこなすしかなくなり、一件あたりに割ける時間が減ります。セキュリティのように「丁寧さがそのまま品質になる」仕事では、この差が成果物に直接出ます。依頼者にとっても、余裕のある相手に頼むほうが結果が良い。

最後に、転職の進め方をもう一度整理します。狙う類型を1つに決める。自分の職務経歴の中から、その類型に近い経験を探して言語化する。足りない層（技術の土台か、文書か、フレームワークか）を特定して、そこだけを資格や実務で埋める。そして、社内異動か委託案件で「セキュリティ担当としての実績」を1行作る。この順番で進めた人は、書類の通過率がはっきり変わります。焦って応募数を増やすより、通る書類を1通作るほうが速い。市場の構造を見てきた立場から言えることは、それに尽きます。

よくある質問

Q. 完全未経験からセキュリティコンサルタントに転職できますか？

直接応募での採用はかなり難しいのが実情です。採用側はインフラや運用の実務経験者を採って育てる方針を取っていることが多いためです。情報システム部門や運用監視、内部監査など隣接領域を1つ経由するか、今の会社でセキュリティ担当を兼務して実績を1行作ってから応募するほうが確実です。

Q. 年収はどのくらいが相場ですか？

求人票の水準では、事業会社のセキュリティ担当でおおむね550万円から800万円、専業ベンダーのコンサルタント職で600万円から1,000万円、大手ファームのマネージャー以上で1,000万円超のレンジが提示されています。未経験から近い領域に入る場合は450万円から600万円あたりが出発点になることが多いです。