セキュリティ関連の仕事の種類

2026年2月10日

＠SOHO編集部

この記事のポイント

✓セキュリティ関連の仕事は監視
✓教育の6系統に分かれます
✓この記事ではセキュリティの仕事の種類を職種ごとに整理し

結論から書きます。セキュリティの仕事は1つの職種ではありません。監視、診断、構築、統制、対応、教育という6つの系統に分かれていて、それぞれ求められるスキルも働き方も年収の伸び方も違います。「セキュリティエンジニア」という1語で検索して混乱するのは当然で、その言葉が指す範囲が広すぎるからです。

検索している人の状況はいくつかに分かれます。インフラやネットワークの実務をしていて、次のキャリアとしてセキュリティを考えている。開発をしていて、セキュリティ寄りに軸を移したい。まったく別の職種から転職を考えている。あるいは学生や求職中で、どの系統に進めばいいのか決めかねている。

この記事では、まず6系統の地図を描きます。そのうえで職種ごとの仕事内容、年収の実情、未経験から入るルート、必要な資格、そして個人や在宅で受けられる案件の形までを扱います。求人票に並ぶ職種名が、実際にどういう作業なのかが分かる状態を目標にします。

セキュリティの仕事は6つの系統に分かれる

まず全体像です。系統ごとに、何を相手にしているかが違います。

第1は監視です。ネットワークやサーバから上がってくるログとアラートを見て、攻撃の兆候を見つけます。SOC（Security Operation Center）と呼ばれる組織で行われる仕事で、24時間のシフト勤務が一般的です。アラートの一次判定、誤検知の切り分け、エスカレーション。地味な作業の積み重ねですが、実際の攻撃を最初に見つけるのはここです。

第2は診断です。システムに弱点がないかを能動的に調べます。Webアプリケーションの脆弱性診断、プラットフォームの診断、そしてペネトレーションテストと呼ばれる実際の攻撃手法を使った侵入試験。ツールを回すだけの作業から、手動で深く掘る作業まで幅があります。

レッドチーム攻撃者役として組織のセキュリティに疑似攻撃を仕掛ける専門チーム。実際のサイバー攻撃に近い方法で脆弱性を突き、守りの穴を検証する。出典: qiita.com

攻める側の視点を持つ人材は需要が高く、単価も上がりやすい系統です。ただし、許可なく他人のシステムを試すことは犯罪なので、学習環境の作り方から慎重さが求められます。

第3は構築です。ファイアウォール、WAF、EDR、認証基盤、ログ収集の仕組みを設計して入れる仕事です。インフラエンジニアの延長線上にあり、ネットワークとクラウドの知識が土台になります。求人票で「セキュリティエンジニア」と書かれている募集の多くは、実質この系統です。

第4は統制です。規程やガイドラインを作り、認証の取得と維持を回し、監査に対応します。GRC（Governance, Risk and Compliance）と呼ばれる領域で、技術よりも文書と交渉の比重が高い。ISMSやプライバシーマークの運用、委託先の管理、リスクアセスメント。地味に見えますが、組織が動くかどうかはここで決まります。

第5は対応です。実際に事故が起きたときに動きます。CSIRTの活動、初動の封じ込め、原因の特定、復旧、報告書の作成。デジタルフォレンジックと呼ばれる証跡の解析も含まれます。事故は予定を無視して起きるので、精神的な負荷が高い仕事です。

第6は教育です。従業員の意識を上げる仕組みを作ります。研修の設計、eラーニングの制作、模擬訓練の実施と結果の分析。技術職と思われていない領域ですが、事故の入口の多くが人にあるので、効果は大きい。訓練の設計と運用の実際は社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドにまとまっていて、引っかかった人を責めない運用の勘所まで扱っています。

職種名と実際の作業の対応

求人票に出てくる職種名を、上の6系統に当てはめます。名前が実態と合っていないことがよくあるので、この対応を頭に入れておくと求人の読み方が変わります。

SOCアナリストは監視系統です。ティア1が一次判定、ティア2が詳細分析、ティア3が高度な調査と検知ルールの改善を担います。入口として最も門戸が広く、未経験からの採用も行われています。夜勤があるかどうかは組織によって違うので、面接で確認します。

セキュリティエンジニアは構築系統が中心ですが、監視の仕組み作りを含むこともあります。求人票の業務内容に「設計」「導入」「運用」と書かれていれば構築系統、「監視」「分析」と書かれていれば監視系統です。

脆弱性診断士とセキュリティテスターは診断系統です。Webアプリ診断の案件は数が多く、外部の専門会社に委託されるのが一般的なので、診断会社に所属する形か業務委託で受ける形になります。

ペネトレーションテスターとレッドチームオペレーターも診断系統ですが、要求される水準が1段上がります。ネットワーク、OS、認証、アプリケーションの全体を横断して攻撃経路を組み立てる力が必要で、経験年数が効きます。

セキュリティコンサルタントは統制系統です。クライアントの現状を評価して、あるべき姿との差分を示し、改善計画を作ります。技術的な知識と、経営層に説明する力の両方が要ります。

CSIRT担当とインシデントレスポンダーは対応系統です。事業会社の社内組織に所属する形が多く、外部のベンダーと連携して動きます。

セキュリティ監査人は統制系統で、内部監査部門か監査法人に所属します。会計監査に近い作業の進め方をします。

プリセールスエンジニアは製品ベンダー側の職種です。製品の技術的な説明と検証を担当し、営業と組んで動きます。技術と対人の両方を使う仕事で、構築系統の経験者が移ることが多い。

年収の実情を公的な数字で見る

年収の話は、求人サイトの提示額だけを見ると実態を見誤ります。公的統計で押さえます。

セキュリティエンジニアの年収はスキルや経験、環境などによって異なります。厚生労働省の「職業情報提供サイト（日本版O-NET）」＜愛称：job tag＞では「セキュリティエンジニア」の紹介はありませんが、近しい職業として「セキュリティエキスパート（オペレーション）」が紹介されており、その平均年収は558.3万円です。年齢別の平均年収を見ると、55～59歳の718.93万円がピークとなっています。出典: skygroup.jp

平均558.3万円という水準は、日本の給与所得者の平均と比べると高い位置にあります。この差の理由を、市場の構造から説明します。

日本の平均年収と比較した場合、100万円以上高く、企業や業界によっては1,000万円を超えるケースもあります。経験年数なども重要な要素となるものの、具体的にどのような業務に関わり、何を行ってきたのかというポイントが重要です。出典: tid.ac.jp

ここで重要なのは、経験年数ではなく「何をやってきたか」が効くという指摘です。セキュリティの領域では、担当した案件の性質が単価に直結します。同じ5年の経験でも、アラートの一次判定だけを5年続けた人と、検知ルールの設計と改善を回した人では評価が変わります。

系統ごとの傾向を書きます。監視系統は入口が広い分、初任の水準は抑えめです。夜勤手当が乗るので実収入は見た目より上がりますが、体力の消耗があります。診断系統は技術力が数字に出やすく、上位の人材は単価が高い。構築系統はインフラエンジニアの相場に上乗せされる形で、クラウドの設計まで見られるなら伸びます。統制系統は、認証取得の実績と業種の知識で評価が決まり、コンサルティング会社では高い水準になります。対応系統は、事故対応の実績がそのまま希少性になります。

年収の目安を掴むうえでは、隣接する職種の相場も見ておくと判断しやすい。開発側の水準はソフトウェア作成者の年収・単価相場に職種別で整理されており、公的統計をもとにした年収帯と時間単価の換算が載っています。セキュリティの案件を業務委託で受ける場合、この時間単価に専門性の分を上乗せした水準が交渉の出発点になります。

未経験から入るルート

正面から書きます。まったくITの経験がない状態から、直接セキュリティの専門職に入るのは難しい。土台が要るからです。

現実的なルートは3つです。

1つめは、インフラ運用から入るルートです。サーバとネットワークの運用監視を担当して、ログの読み方、機器の設定、障害時の切り分けを身につける。ここからSOCや構築系統に移ります。最も人数が多いルートで、求人も多い。

2つめは、開発から入るルートです。Webアプリケーションを作った経験があると、脆弱性診断の理解が速い。どこで入力を受け取り、どう処理して、どこに出力するかが分かっているからです。セキュアコーディングの知識を足して診断系統に移るか、DevSecOpsと呼ばれる開発と運用の間の領域に進みます。開発側の案件の出方はアプリケーション開発のお仕事で確認でき、言語や工程ごとの依頼の傾向が分かります。

3つめは、ヘルプデスクや社内ITから入るルートです。従業員の問い合わせに対応しながら、アカウント管理、端末の設定、資産管理を担当する。ここから社内のセキュリティ担当に移り、統制系統や教育系統に進む形です。技術の深さより、組織を動かす経験が効く系統に向いています。

どのルートでも、最初の1年から2年は土台作りに使います。ここを飛ばして資格だけ取っても、面接で作業の話ができません。逆に、土台のある人が資格を取ると評価が上がりやすい。順番が大事です。

学習環境については、自分の手元に検証用の環境を作ることを勧めます。仮想化ソフトで複数のOSを動かし、意図的に脆弱な設定を作って攻撃と防御を両方試す。学習用に公開されている脆弱なアプリケーションを使えば、法的な問題なく手を動かせます。他人のシステムを許可なく試すことは絶対に避けてください。これは倫理の話ではなく、法律の話です。

資格の位置づけと選び方

資格は、知識の体系を確認する道具であり、書類選考を通す道具です。それ以上でも以下でもありません。ただし系統によって効く資格が違うので、選び方を整理します。

土台として効くのはネットワークの資格です。セキュリティの仕組みは、通信の流れを理解していないと設計も診断もできません。CCNA（シスコ技術者認定）は出題範囲がネットワークの基礎を網羅していて、学習期間の目安と受験費用の相場も確認できます。ここを押さえてからセキュリティ専門の資格に進むと、理解が早い。

国内の資格では、情報処理安全確保支援士が知名度と評価の両面で強い。国家資格で、登録すれば名称を使えます。統制系統と構築系統の求人では、評価対象として明示されていることがあります。基本情報技術者と応用情報技術者は、その手前の段階として扱われます。

国際資格では、ベンダーに依存しない知識を測るものが複数あります。入口としては出題範囲が広く浅い資格から入り、実務経験を積んでから経験年数が要件になる上位資格に進む形が一般的です。上位資格は受験費用と維持費用が高いので、会社が負担してくれるかを確認してから計画を立てます。

クラウドのセキュリティ資格も需要が伸びています。オンプレミスの設計とクラウドの設計では、境界の考え方そのものが違います。クラウドの認証と権限管理を理解していないと、設計の議論に入れません。

資格の選び方で失敗しやすいのは、系統を決める前に難関資格を目指すことです。診断系統に進みたいのに統制系統の資格を取っても、面接での評価は限定的です。まず系統を決め、その系統の求人票に書かれている資格を並べて、共通して出てくるものから取ります。求人票が一番正確な情報源です。

個人や在宅で受けられるセキュリティの仕事

会社に所属する形だけがセキュリティの仕事ではありません。業務委託で受けられる案件が増えています。市場の構造から説明します。

中小企業は、セキュリティの専任者を置けません。しかし取引先から対策の状況を問われ、補助金の要件でも対策が求められ、実際に攻撃も受けています。この需給のずれが、外部に委託される仕事を生んでいます。補助金を使った対策の進め方は中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法にまとまっていて、使える制度と申請の順番が確認できます。

個人で受けやすい案件の形を挙げます。

規程とガイドラインの整備は、文書作成の仕事です。情報セキュリティ基本方針、取扱規程、委託先管理の手順、インシデント対応の手順書。既存の雛形を組織の実態に合わせて書き換える作業で、リモートで完結します。

従業員向けの教育コンテンツ制作も需要があります。研修のスライド、eラーニングの原稿、社内向けの注意喚起文。技術の知識と、平易に書く力の両方が要ります。

脆弱性診断の一次スクリーニングは、ツールを回して結果を整理する作業です。深い手動診断は専門会社の領域ですが、定期的なスキャンとレポート作成は外部に出しやすい。

認証取得の支援は、ISMSやプライバシーマークの取得を目指す企業に入って、文書の整備と運用の定着を手伝う仕事です。期間が数か月から1年に及ぶので、継続的な収入になります。

認証基盤の導入支援も増えています。多要素認証の導入は、製品選定から設定、従業員への案内までが1つの案件になります。製品ごとの違いと導入の順番はMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で整理されており、個人でも導入支援ができる方式から並んでいます。

こうした案件がどういう単位で出るかは、募集の実物を見るのが早い。AI・マーケティング・セキュリティのお仕事に依頼の傾向がまとまっていて、求められるスキルの組み合わせと作業の範囲が確認できます。技術だけでなく、文書化と説明の比重が高い案件が多いことに気づくはずです。

向いている人と、続かない人

系統ごとに向き不向きがはっきり分かれる領域です。

監視系統に向いているのは、地味な作業を淡々と続けられる人です。1日に何百件のアラートを見て、そのほとんどが誤検知です。それでも1件を見逃さない集中力が要ります。シフト勤務に体が耐えられるかも重要です。

診断系統に向いているのは、仕組みを分解したくなる人です。動いているものを見て「どうやって動いているのか」「どこを壊せるのか」を考える癖がある人。手を動かして試すことを楽しめないと続きません。

構築系統に向いているのは、段取りを組める人です。既存のシステムを止めずに新しい仕組みを入れる作業なので、影響範囲の見積もりと手順書の作成が仕事の半分を占めます。

統制系統に向いているのは、人に説明して動かすことができる人です。技術的に正しいことを言うだけでは組織は動きません。現場の手間を理解して、実行可能な形に落とす調整力が要ります。

対応系統に向いているのは、混乱の中で優先順位を決められる人です。情報が不完全なまま判断を求められます。完璧な情報を待ちたい性格の人には負荷が高い。

続かない人の共通点を1つ書きます。攻撃の手法に興味があるだけで、組織の事情に興味がない場合です。セキュリティの仕事の大半は、限られた予算と人員の中で、どこまでやるかを決める仕事です。技術的に最善の対策が採用されないことを、無能の結果ではなく制約の結果だと理解できないと、消耗します。

1日の働き方を系統ごとに見る

職種名だけでは、実際の1日が想像できません。系統ごとの働き方を並べます。ここで自分の生活に合うかどうかを判断してください。

監視系統は、シフト制です。日勤、夜勤、明け、休みを回す形が多く、24時間365日の体制を組んでいます。勤務中はアラートの一次判定が主な作業で、手順書に沿って判断し、判断できないものを上位に上げます。交代のときに引き継ぎ資料を作るのも仕事の一部です。生活のリズムは崩れますが、勤務時間が明確で、終業後に呼び出されることは少ない。学習の時間を確保しやすい働き方です。

診断系統は、案件単位で動きます。診断の期間が決まっていて、その中で対象を調べ、報告書を書きます。報告書の作成に全体の3割から4割の時間を使うのが普通で、手を動かす時間ばかりではありません。案件の合間に次の案件が入るので、繁忙の波があります。納品前は集中して詰める形になり、残業が出やすい。

構築系統は、プロジェクト単位です。要件の整理、設計、検証、導入、運用引き継ぎという流れを数か月かけて進めます。導入の作業は本番システムに影響するので、夜間や休日に行うことがあります。この夜間作業の頻度は、案件の性質と会社の方針で変わるので、面接で確認すべき項目です。

統制系統は、年間のサイクルで動きます。リスクアセスメント、規程の見直し、監査の対応、認証の更新審査。それぞれに時期が決まっているので、繁忙期が予測できます。会議と文書作成が中心で、日中の勤務に収まりやすい。育児や介護と両立しやすい系統でもあります。

対応系統は、予測できません。事故が起きたら、時間を問わず動きます。平時は手順の整備と訓練、ツールの検証を行い、有事に備えます。この待機の性質があるので、オンコール手当が付く組織もあります。負荷は高いが、経験の希少性は最も高い系統です。

教育系統は、研修の実施時期に合わせて動きます。年度の始まりと期の切り替えに集中し、それ以外の時期はコンテンツの制作と改善に使います。比較的落ち着いた働き方ができます。

所属先の種類で変わること

同じ職種でも、どういう会社に所属するかで仕事の中身が変わります。4種類に分けます。

セキュリティの専門ベンダーは、診断と監視のサービスを提供する会社です。案件の数が多く、短期間で多様なシステムを見られるので、技術の蓄積が早い。一方で、1つのシステムに深く関わる期間は短く、改善が実行されるところまで見届けられないことがあります。若いうちに経験を積む場所としては効率的です。

SIerとシステム開発会社は、顧客のシステムを作る中でセキュリティを担当します。設計から運用までを一貫して見られる反面、セキュリティ以外の業務も担当することがあり、専門性の深まり方は配属で左右されます。大規模なシステムの経験が積めるのが利点です。

事業会社の社内セキュリティ部門は、自社のシステムと従業員を守ります。同じ組織を長く見るので、改善の効果を実感できます。予算と人員の制約の中で優先順位を決める仕事が中心になり、技術よりも調整の比重が高い。事業のドメイン知識が資産になるので、転職しにくくなる面もあります。

コンサルティング会社は、統制系統の中心です。クライアントの経営層に対して評価と提言を行います。報酬水準は高い一方、稼働も高く、資料作成の量が多い。技術の手触りから離れるので、手を動かしたい人には向きません。

もう1つ、規模の話を書きます。大きい組織では役割が細かく分かれているので、担当範囲が狭くなります。小さい組織では1人が複数の系統を兼ねるので、広く浅くなります。自分がいまどちらを必要としているかで選ぶのが合理的です。専門性を深めたい時期は大きい組織、全体を掴みたい時期は小さい組織、という考え方があります。

これから需要が伸びる領域

市場の動きを押さえておくと、学習の投資先を決めやすい。伸びている領域を挙げます。

クラウドの設定管理は、最も需要が伸びています。設定の不備による情報の露出が事故の主要な原因になっており、継続的に設定を点検する仕組みが求められています。オンプレミスの経験しかない人が学び直す価値の高い領域です。

委託先とサプライチェーンの管理も伸びています。自社の対策が万全でも、業務を委託した先から侵入される事例が続いています。委託先の評価基準を作り、チェックを回す仕事は、統制系統の中でも需要が明確です。

生成AIの利用に伴う管理も新しい領域です。従業員が業務データを外部のサービスに入力してしまうリスク、AIが生成したコードの脆弱性、AIを使った攻撃の高度化。ルール作りから技術的な制御まで、まだ答えが定まっていないので、取り組む余地が大きい。

認証の刷新も進んでいます。パスワードに依存しない認証方式への移行は、大企業から順に進んでいます。移行の設計と、従業員への浸透をセットで進められる人材は不足しています。

産業制御システムと組込み機器のセキュリティも需要があります。工場や設備の制御系は、更新が難しい機器が残っており、一般的なIT環境の常識が通じません。この領域の知識を持つ人は少なく、希少性が高い。

逆に、単純なツールの運用だけの仕事は、自動化と外部サービスへの置き換えが進んでいます。アラートの一次判定も、判定の自動化が進む方向です。監視系統から入る場合は、判定作業に留まらず検知ルールの設計まで踏み込むことを早めに意識したほうがいい。

運営者から見た、セキュリティ人材の需給

ここからは、在宅ワークと業務委託の市場を長く見てきた立場からの観察です。

20年この市場を見てきて、セキュリティ領域の依頼が変わったと感じるのは、この数年です。以前は大企業が専門会社に発注する形がほとんどで、個人に回る仕事はありませんでした。いまは従業員数十人の会社から、規程を作ってほしい、研修をしてほしい、この製品の設定を見てほしいという依頼が出ます。取引先から対策状況の確認を求められる流れが下請けまで降りてきたことと、補助金の要件に対策が入ったことが理由だと見ています。

運営者として見てきた限りでは、この領域で継続的に依頼される人には共通点があります。技術的な正しさを主張するより、相手の予算と人員で実行できる案を出すことです。「全部やり直すべきです」と言われて実行できる中小企業はありません。「今年はこの3つだけ、来年これを足しましょう」と言える人に、次の依頼が来ます。セキュリティの専門家に求められているのは、知識の量よりも優先順位を決める力です。

もう1つの観察は、報酬の構造についてです。この領域は専門性が単価に反映されやすい一方、中間に会社が入る案件では手数料が抜かれます。専門性で単価が上がっても、抜かれる割合が同じなら、抜かれる絶対額も増えます。中間マージンが乗らない直接の取引では、依頼する側は同じ予算でより多くを頼めますし、受ける側は手数料0%の環境なら手取りが厚くなります。専門性の高い領域ほど、この構造の差が金額として大きく出ます。

私自身、技術記事の編集でセキュリティ分野を担当したとき、専門家の原稿を読んでも何が重要なのか分からない時期がありました。攻撃手法の名前は覚えても、それが組織にとってどのくらい深刻なのかが判断できない。これを抜けられたのは、実際に事故対応をした人に「そのとき最初に何をしましたか」と聞き続けたからです。手順を聞くと重要度が見えてきます。学習の順番として、手法の名前より対応の手順から入るほうが早いと、いまは考えています。

最後に、これから入る人への実務的な助言を書きます。系統を1つ決めてください。全部をやろうとすると、どの系統でも中途半端になります。決めたら、その系統の求人票を20件集めて、共通して書かれている要件を並べる。そこに書かれていることだけをやります。求人票は市場が求めているものの一覧なので、学習計画の設計図としてこれ以上正確な資料はありません。