SOCアナリストとはどんな仕事か

2026年8月21日

＠SOHO編集部

この記事のポイント

✓SOCアナリストとは何をする職種か
✓Tier1からTier3までの役割の違い
✓未経験からの転職ルート

SOCアナリストという職種名を求人で見かけて、具体的に何をする仕事なのかが掴めずに調べている方が多いと思います。セキュリティエンジニアとの違いがわからない、未経験から入れるのか判断できない、夜勤があると聞いて迷っている。そのあたりを一度に解決します。

結論を先に書きます。SOCアナリストは、組織のネットワークやサーバーから上がってくる警告を監視し、それが本物の攻撃かどうかを切り分け、本物だった場合に初動を打つ職種です。段階が明確に分かれた職種で、入り口のTier1は未経験からでも到達できる一方、Tier3まで進むと市場価値が跳ね上がります。この記事では、各段階の仕事の中身、必要なスキル、資格とその費用、年収の実勢、そして転職の実際の入り方まで書きます。

SOCとは何をする組織なのか

SOCはSecurity Operation Centerの略で、日本語では「セキュリティ監視センター」と訳されます。組織内のIT環境で起きていることを常時見張り、異常があれば見つけて対応する専門部隊です。多くの企業が24時間365日の体制を組んでおり、自社内に置く場合と、専門ベンダーに委託する場合の両方があります。

SOCが見ているものは、大きく三つです。ネットワークを流れる通信、各端末やサーバーで起きている挙動、そしてクラウドサービスの操作ログです。これらから集めた膨大な記録をSIEMという仕組みに集約し、あらかじめ決めたルールに引っかかったものを警告として表示します。この警告のことを現場ではアラートと呼びます。

ここで理解しておくべきなのは、アラートの大半が実害のないものだということです。業務上の正当な操作が検知ルールに引っかかることは日常的に起きます。海外出張中の社員が現地からログインした、開発者が新しいツールを試した、定時のバッチ処理が普段と違う時間に走った。こうした無害なアラートを誤検知と呼び、SOCの仕事の相当な割合がこの仕分けに費やされます。

だからこそ、SOCアナリストの価値は「攻撃を見つける力」だけではありません。「攻撃ではないと言い切る力」も同じくらい重要です。無害なものを事件として扱えば、業務が止まって社内の信頼を失います。逆に本物を見逃せば、その時点から被害が広がります。この二つの誤りのあいだで判断を下し続けるのがこの職種の中核です。

組織の形としては、SOCとCSIRTを分けている企業が多いです。SOCが検知と一次対応を担い、重大な事案はCSIRTという対応チームに引き渡します。このため、SOCアナリストの守備範囲は「見つけて切り分けて、必要なら渡す」までで、事後の広報や法務の対応までは持たないのが一般的です。求人票を読むときは、この境界がどこに引かれているかを必ず確認してください。企業によってはSOCがCSIRTを兼ねており、仕事の性質がまったく変わります。

Tier1からTier3まで、段階で仕事が変わる

SOCアナリストは、経験と権限に応じて段階が分かれています。同じ職種名でも、どの段階の求人かで仕事の中身と年収が別物になるので、ここを押さえるのが最初の一歩です。

Tier1は、アラートの一次確認を担います。上がってきた警告を順番に見て、あらかじめ決められた手順書に従って内容を確認し、無害と判断できるものは記録を残して閉じる。判断がつかないもの、手順書の想定を超えるものは上位に渡します。ここで求められるのは、決められた手順を漏れなく回す正確さと、大量の情報を淡々と処理する持続力です。未経験者の入り口はここになります。

Tier2は、渡された事案を調査して結論を出す段階です。どの端末から始まったのか、他に広がっていないか、何が持ち出された可能性があるか。ログを横断的に追い、必要なら端末を隔離し、対応の方針を決めます。手順書の外に出る判断が日常的に求められるので、ここからは経験が効きます。

第2レベル（Tier 2）のSOCアナリストは、インシデント対応を担当し、セキュリティインシデントの特定、調査、解決を行います。通常、このレベルのアナリストはより経験豊富で、時間的制約がある高度な問題にも対応できるスキルを持つ上級SOCアナリストです。出典: elastic.co

Tier3は、受け身の対応から攻めに転じる段階です。アラートが上がるのを待つのではなく、「この組織のこの部分が狙われているとしたら、どんな痕跡が残るか」という仮説を立てて、自らログを掘りに行きます。この役割は脅威ハンティングと呼ばれ、担当者は脅威ハンターと呼ばれます。

最も経験豊富なSOCアナリストは「脅威ハンター」と呼ばれ、組織のシステムやネットワーク内に潜む脅威を積極的に探索する役割を担います。出典: elastic.co

加えてTier3は、検知ルールそのものを作り変える仕事も持ちます。誤検知が多すぎるルールを調整し、見逃していた攻撃手法の検知を追加する。SOC全体の精度を上げる役割で、ここまで来ると職種名がセキュリティエンジニアやディテクションエンジニアに変わる企業もあります。

求人を見るときは、年収の数字より先に「手順書に従う仕事か、手順書を作る仕事か」を読み取ってください。そこが段階の境目です。

SOCアナリストの一日はどう流れるか

具体的な時間の使い方がわからないと、続けられるかの判断ができません。24時間体制のSOCを例に、典型的な流れを書きます。

シフトは3交代または2交代です。3交代なら日勤、準夜勤、深夜勤の8時間ずつ。2交代なら12時間ずつで、勤務日数が減るぶん一回が長くなります。引き継ぎは各シフトの最初と最後に必ず入り、前の担当者が処理中だった事案、監視系の不具合、注意して見るべき対象を共有します。この引き継ぎの質がSOCの実力を左右します。

勤務中の時間配分は、ざっくり言えば警告の確認に6割、記録の作成と報告に2割、残りが調査や学習です。警告は一定のペースで流れてくるのではなく、波があります。海外からの攻撃キャンペーンが動いた日は数百件が集中し、静かな深夜は数件で終わることもあります。この波を前提に、優先度の高いものから処理する感覚を身につけるのが最初の壁です。

記録の作成は、想像より重い仕事です。「無害と判断した」で終わらせず、なぜそう判断したのか、どのログを見たのか、いつ閉じたのかを残します。あとで同じ現象が起きたときに前回の判断が参照できるかどうかで、チーム全体の処理速度が変わるからです。文章を書くのが苦手だと、この部分がボトルネックになります。

私自身、編集の仕事でセキュリティ部門の方に取材を重ねてきましたが、印象的だったのは「文章力が評価に直結する」と複数の担当者が口をそろえて言ったことです。技術の職種というイメージが強い分野ですが、実際には報告書が読み手に伝わるかどうかで、その人の判断が組織に採用されるかが決まる。ここは意外と知られていない部分だと思います。

夜勤について正直に書きます。生活リズムへの負荷は確実にあります。一方で、夜勤手当が加わるため同じ等級でも手取りが増える、日中の通勤混雑を避けられる、日勤帯より問い合わせが少なく学習の時間が取れる、という面もあります。数年で日勤の管理側やエンジニア職に移る人が多く、ずっと夜勤を続けるキャリアが前提ではありません。

必要なスキルを優先順位をつけて並べる

求人票には多くの技術要素が並びますが、全部を最初から持っている必要はありません。効く順番に並べます。

最優先はネットワークの基礎です。TCP/IPの仕組み、ポートとプロトコルの対応、DNSの動き、HTTPのやりとりの中身。攻撃の痕跡は通信に現れるので、通信が読めなければアラートの意味が理解できません。ここが弱いまま入ると、手順書を機械的になぞるだけの状態から抜け出せません。

次にOSの挙動です。Windowsのイベントログとプロセスの親子関係、Linuxの認証ログとコマンド履歴。「このプロセスがこのプロセスを起動しているのは不自然だ」と気づけるかどうかは、正常な状態を知っているかどうかで決まります。自宅の環境で普段のログを眺めておくだけでも、感覚は育ちます。

三番目がログ分析とクエリの力です。SIEMの検索構文、正規表現、そして大量の行から必要な部分を抜き出す手順。実務ではここに最も時間を使うので、効率の差がそのまま処理量の差になります。表計算ソフトでの整理も含めて、データを扱う手つきが問われます。

四番目が攻撃手法の知識です。フィッシング、認証情報の窃取、権限昇格、横展開、データの持ち出し。攻撃者の行動を段階で整理した枠組みを一つ覚えておくと、断片的なアラートが「今はこの段階だ」とつながって見えるようになります。

五番目がクラウドの理解です。監視の対象が社内のサーバーだけだった時代は終わり、いまはクラウドサービスの操作ログが調査の中心になることが増えました。各社の権限管理の考え方と、ログの取得方法を知っているだけで担当できる範囲が広がります。この領域の基礎を体系立てて学ぶなら、Google Cloud認定資格（Associate Cloud Engineer）の範囲がそのまま実務の地図になります。クラウド上のリソースがどう構成され、どこに記録が残るのかを先に押さえておくと、調査の初動が速くなります。

最後に、技術以外の二つです。報告を短く正確に書く力と、緊急時に他部署へ働きかける力。事案の最中に「この端末をいま止めてください」と現場の担当者を動かせるかどうかは、技術ではなく伝え方の問題です。

役立つ資格と、かかる費用の目安

資格がなければ就けない職種ではありませんが、未経験から入る場合は学習の証明として明確に効きます。段階別に整理します。

入り口として最も費用対効果が高いのは、ネットワークの基礎を証明する資格です。ベンダー系ではCCNA（シスコ技術者認定）が定番で、出題範囲がそのまま監視業務の前提知識と重なります。受験料は4万円台で、教材費を含めると6万円前後を見ておくと安全です。学習期間は未経験からで3か月から5か月が目安になります。

国家試験の系統では、情報処理技術者試験の基本情報技術者、続いて情報セキュリティマネジメント試験、さらに上位として情報処理安全確保支援士があります。受験料が数千円から1万円台と安く、国内企業の人事評価で通りやすいのが利点です。難易度は上位に行くほど跳ね上がりますが、支援士まで取ると求人の選択肢が明確に増えます。

SOCの実務に直接寄せた民間資格としては、SOCアナリスト向けの認定コースがあります。講義と演習をセットにした形式が多く、費用は受講料と試験料を合わせて数十万円の水準です。企業が研修費として出してくれる場合は取る価値がありますが、自費で無職の状態から払うのは負担が重いので、まずは安価な資格で入り口を通り、就職後に会社の費用で受けるのが合理的です。

クラウドとインフラ寄りに広げるなら、構成管理の考え方を扱うHashiCorp Certified: Terraform Associateも選択肢に入ります。監視対象の環境がどう作られているかを理解している人は、調査のときに当たりをつけるのが速い。SOCの求人票に直接は書かれませんが、Tier2以上に上がる段階で差がつく領域です。

費用の考え方として一つ助言します。資格を並べることが目的になると、手を動かす時間が削られて実力が伸びません。おすすめの順番は、ネットワーク系の資格を一つ取る、自宅に検証環境を作ってログを見る癖をつける、その状態で応募する、入ってから会社の費用で上位資格を取る、という流れです。

年収の相場と、何で評価が上がるのか

金額の話をします。段階によってはっきり差が出る職種です。

Tier1の求人は、未経験可の条件で年収300万円台から400万円前後が中心です。夜勤手当が加わることで、同じ基本給の日勤職より手取りが多くなるケースがあります。ここは長く留まる場所ではなく、2年から3年で次の段階に上がることを前提に設計された等級だと考えてください。

Tier2になると、450万円から650万円程度の幅に入ります。インシデント対応の実務経験が数年あり、単独で調査を完結させられる人材です。この段階で転職市場の評価が大きく変わり、複数のオファーを比較できる立場になります。

Tier3、あるいは検知ルールの設計や脅威ハンティングを担う層は、700万円を超える求人が出てきます。外資系のセキュリティベンダーや金融機関では1,000万円台の提示もあります。海外では給与の幅がさらに広く、公開されている統計にはこうした記述があります。

通常、セキュリティアナリストは、ITまたはサイバーセキュリティのエントリーレベル職からキャリアをスタートします。スキルの習得、資格取得、継続的な学習を経て、ジュニア（または第1レベル）セキュリティアナリストへと昇格し、その後、多くは上位のレベルを経てマネジメント職や、セキュリティエンジニアリング、アーキテクチャなどの他のサイバーセキュリティ分野へと進んでいきます。セキュリティアナリストの給与は、役割、責任、業界需要、勤務地、経験により異なります。出典: elastic.co

では、何が評価を上げるのか。処理したアラートの件数ではありません。現場の話を聞いていて共通していたのは、次の三つです。

一つは、誤検知を減らす提案をしたかどうか。「このルールはこう直すべきだ」と根拠つきで出せる人は、自分の作業を減らすだけでなくチーム全体の負荷を下げます。二つは、手順書を書き足したかどうか。自分が調べた内容を次の人が使える形に残した人は、抜けたあとも組織に価値が残ります。三つは、事案の報告が経営層に伝わったかどうか。技術的に正しい報告と、意思決定に使える報告は別物です。

隣接する開発職の報酬水準と比べて判断したい方は、ソフトウェア作成者の年収・単価相場に職種別の分布がまとまっています。SOCから開発寄りに移る人も多いので、両方の相場を知っておくとキャリアの選択肢が見えやすくなります。

SOCで実際に触るツールの見取り図

求人票に並ぶ製品名の意味がわからないと、自分に何が足りないのかも判断できません。役割ごとに整理します。

中心にあるのがSIEMです。各種の記録を一か所に集め、検索とルールによる検知を行う土台で、SOCアナリストが勤務中にもっとも長く見ている画面がこれになります。製品は複数ありますが、どれを使っても考え方は共通です。「どのログがどの形で入っているか」を把握し、必要な条件で絞り込むクエリを書く。この操作に慣れるのが実務の最初の関門です。

次にEDRです。端末で起きている挙動を細かく記録し、不審なプロセスの動きを検知して、必要なら遠隔で端末を隔離できる仕組みです。近年のインシデント対応はここが主戦場になっており、プロセスの親子関係を追う操作は必須の技能になりました。どのプログラムがどのプログラムを起動したかという連鎖を読めるかどうかで、調査の精度が決まります。

三つ目がネットワーク側の検知です。通信内容を監視して既知の攻撃パターンを見つける仕組みと、プロキシやファイアウォールの通信記録があります。どの端末が外部のどこと通信したかという情報は、被害範囲の特定に直結します。

四つ目が脅威インテリジェンスです。既知の悪性のIPアドレス、ドメイン、ファイルの特徴を集めたデータで、検知した対象がすでに知られている攻撃基盤かどうかを照合します。無料で使える照合サービスもあり、学習段階から触っておくと面接で話せる材料になります。

五つ目がチケット管理と自動化です。事案ごとに記録を残し、担当と状態を追う仕組みで、SOCの品質管理の実体はここにあります。近年は定型の確認作業を自動化する仕組みを組み合わせる企業が増えました。単純な照合を自動化できれば、人が判断に使える時間が増えるからです。

学習の順番として推奨したいのは、無料または安価に試せるものから触ることです。仮想環境にLinuxとWindowsを立て、ログを集約する構成を自分で組んでみる。意図的に認証を失敗させ、その記録がどう残るかを確認する。この作業を数週間続けるだけで、求人票の製品名が具体的な操作と結びつくようになります。製品の操作方法そのものは入社後の研修で覚えられますが、ログの意味を読む力は事前に作れます。

未経験からSOCアナリストになる現実的なルート

この職種は、IT業界の中では未経験者の入り口が比較的広い領域です。24時間体制を維持するために一定の人数が必要で、しかもTier1の業務は手順書が整備されているため、教育の型ができている企業が多いからです。

もっとも多い入り方は、セキュリティ監視を受託しているベンダーのTier1ポジションです。求人票には「未経験可」「研修3か月」「シフト勤務」と書かれていることが多く、ネットワークの基礎知識と夜勤への適応が条件になります。ここで2年から3年働くと、Tier2の求人に応募できる経験値が溜まります。

もう一つは、社内SEやヘルプデスクからの異動です。すでにその企業のシステムを理解しているという強みがあり、社内SOCの立ち上げに合わせて配置されるケースがあります。現職がIT部門にいるなら、社内で手を挙げるのが最短です。

第三に、インフラエンジニアからの転向です。サーバーやネットワークの構築経験がある人は、Tier1を飛ばしてTier2の入り口に入れることがあります。ログの読み方だけを上乗せすればよいので、教育コストが低いと見られるからです。

応募の準備として、必ずやっておいてほしいことが二つあります。一つは、自宅に検証環境を作って実際にログを見た経験を語れるようにすること。仮想環境にサーバーを立て、意図的に失敗ログを出し、それがどう記録されるかを確認する。この程度でも、面接での説得力は段違いです。もう一つは、公開されている攻撃事例のレポートを読んで、自分の言葉で要約したものを持っていくこと。技術的な内容を読み解いて整理できる人だと示せます。

逆に、避けたほうがよい応募の仕方も書きます。資格の名前だけを並べた職務経歴書、シフト勤務への態度を曖昧にしたままの応募、そして「セキュリティに興味があります」だけの志望動機です。この職種は地味な確認作業の積み上げなので、面接官が知りたいのは「単調な作業を正確に続けられるか」です。派手な興味より、几帳面さを示してください。

この仕事のつらいところを先に知っておく

入ってから辞める人が一定数いる職種なので、負の側面を隠さずに書きます。

最大の負荷は、アラート疲れです。無害なものを含めて大量の警告を延々と処理し続けると、判断が鈍っていきます。「たぶん誤検知だろう」という予測で処理する癖がつくと、本物を取りこぼします。これを防ぐために、多くのSOCは処理の手順を固定し、判断を個人の勘に委ねない設計にしていますが、それでも疲労は蓄積します。

次に、成果が見えにくいことです。何も起きなかった日が良い日という仕事なので、自分の貢献を実感しづらい。事案を防いだとしても「防いだ」という証明は難しく、逆に見逃したときだけ強く記憶されます。この非対称さに耐えられるかは、適性の分かれ目になります。

三つ目に、シフト勤務の生活への影響です。友人や家族と時間が合わない、体調管理に気を使う、連続する夜勤のあとに学習の余力が残らない。ここは個人差が大きく、合わない人は早めに日勤の職種に移るのが正解です。無理に続けて体を壊す話を何度か聞きました。

四つ目に、技術の更新速度です。攻撃手法も防御製品も毎年変わるので、学習を止めると数年で使えない知識になります。業務時間内に学習時間を確保している企業と、そうでない企業で、5年後の実力に大きな差がつきます。求人票の「教育制度」の欄は、この観点で読んでください。

一方で、この職種の強みもはっきりしています。事案の現場を数多く踏むので、実務経験が短期間で厚くなります。セキュリティの他分野、コンサルティング、製品ベンダーの技術職、監査、いずれにも横移動できます。そして人材不足が続いているため、経験があれば職を失うリスクが低い。ここを目的に据えて、Tier1の数年を通過点として設計するなら、投資に見合う職種です。

業務委託や在宅でセキュリティに関わる道

ここまでは正社員としてのSOCアナリストの話でしたが、常勤や夜勤という条件が合わない方もいると思います。実は、この分野の周辺には在宅で完結する業務委託の仕事が広がっています。

フリーランスと在宅ワークの市場を20年運営してきた立場から言えば、ここ数年で明確に増えたのは「監視そのもの」ではなく「監視の前後」の業務です。具体的には、社内向けのセキュリティ教育資料の作成、フィッシング訓練の企画と結果のとりまとめ、インシデント対応手順書の整備、脆弱性診断の報告書の執筆、製品比較の技術資料づくり。いずれも24時間の拘束を伴わず、成果物で納品できる仕事です。

企業側の事情を説明すると、セキュリティ部門は常に人手が足りず、しかも文章を書ける人材が特に足りません。技術的に正しくて、かつ社内の非エンジニアに伝わる文書を作れる人は、数が少ないのです。SOCの実務経験がある人がこの領域に出ると、単価の高い仕事として成立します。

どんな案件があるかの具体像は、セキュリティとAI関連の業務がどう発注されているかがまとまったAI・マーケティング・セキュリティのお仕事を見るとつかめます。求められる成果物の形と、進め方の型が書かれているので、自分の経験がどこに当てはまるかを照らし合わせやすいと思います。

実務のイメージを具体化したい方には、二つの記事が参考になります。認証の強化がどう検討され、どの製品がどう比較されているかを追ったMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版は、技術資料の書き方の見本として読めます。企業が実際に予算をどう使っているかを知りたいなら、補助金を絡めた対策の進め方をまとめた中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法が発注側の事情を理解する材料になります。

運営者として長く見てきて感じるのは、この市場で単価が上がるのは技術が最も高い人ではなく、「任せると自分の仕事が減る」と思わせた人だということです。SOCで報告書を書き続けた経験は、まさにその能力の証明になります。アラートを閉じた記録を淡々と書いていた日々が、外に出たときに最も値段のつく技能だった、という話を何度も聞きました。

もう一点、手取りの構造について書いておきます。仲介の中間マージンが乗らない手数料0%の直接取引では、依頼する側は同じ予算でより多くを頼めて、受ける側は手元に残る額が厚くなります。報酬の額面だけを見比べていると気づきにくい差ですが、継続して働く人の年収を決めているのは、額面ではなく手取りと継続の有無です。SOCの経験を持つ人が副業として週末に文書業務を受ける形は、本業の学習にもつながるので相性がよい組み合わせだと思います。

まず今日できることを一つ挙げるなら、直近で担当した事案の報告を、社外の人が読んでもわかる形に書き直してみてください。それができる人は、この職種のどの段階にいても、次の選択肢を自分で作れます。

よくある質問

Q. SOCアナリストは未経験からでもなれますか？

なれます。24時間体制を維持するために人数が必要で、Tier1の業務は手順書が整備されているため、未経験可の求人が定期的に出ます。条件として求められるのはネットワークの基礎知識とシフト勤務への適応で、CCNAのようなネットワーク系の資格を一つ取り、自宅の検証環境でログを見た経験を語れる状態にしておくと通りやすくなります。

Q. セキュリティエンジニアとSOCアナリストの違いは何ですか？

SOCアナリストは稼働中の環境を監視し、異常を検知して切り分け、初動を打つ役割です。セキュリティエンジニアは監視の仕組みそのものや防御の構成を設計して作る役割で、時間軸が違います。SOCのTier3まで進むと検知ルールの設計を担うため、実務上は境界が重なってきます。

Q. SOCアナリストの年収はどのくらいですか？

段階ではっきり分かれます。Tier1の未経験可の求人は300万円台から400万円前後、インシデント対応を単独で回せるTier2で450万円から650万円程度、検知設計や脅威ハンティングを担う層では700万円を超える求人が出ます。夜勤手当が加わるぶん、同等級の日勤職より手取りが多くなる場合があります。