「セキュリティ人材を採用したいが、市場に人がいない」。採用競争が厳しいことは確かです。しかし、自社はその人に何を任せ、どう評価し、成長を支えるのか。市場を嘆く前に動かせる条件もあります。
人材不足を経営の問題として捉える意味は、精神論で担当者を大切にすることではありません。求める経験、任せる仕事、育成・評価・待遇が整合しているかを見直すことです。
日本を含む採用調査には、初級人材を求めながら、実務経験を前提とする上級資格まで要求している実態も表れています。人材不足の現状と、自社で変えられる採用・育成の条件を整理します。
セキュリティ人材不足の現状｜求人倍率だけでは分からないこと
IPAの情報セキュリティ白書2025は、民間調査を引用し、2024年12月のセキュリティ人材の転職求人倍率が54倍だったと紹介しています。特定の転職市場・時点の数字ですが、経験者の採用競争が激しいことを示す材料です。
サイバー攻撃への備えに加え、クラウド、AI、委託先管理など、必要な知識・役割は広がっています。「セキュリティ担当が一人いれば全部解決する」という募集では、必要な能力が広すぎて候補者が限られます。
人数の不足と、必要な仕事を担えるスキルの不足は関連します。しかし、不足人数をそのまま求人数と捉えたり、すべての業務に高度な専門家が必要と考えたりすると、採用以外の手段が見えにくくなります。
採用調査で見える、企業の要求と初級人材のずれ
入門レベルにCISA・CISSPを求めている
ISC2は2024年12月、日本を含む6か国の採用責任者929人を調査し、2025年6月に結果を公表しました。対象は、入門・初級レベルの人材が在籍し、過去2年にその採用を行った企業です。
| 調査項目 | 回答 |
|---|---|
| 入門レベルの候補者にCISAを要求 | 38％ |
| 入門レベルの候補者にCISSPを要求 | 34％ |
| 入門人材が担当業務を独力で行えるまでの育成期間を4～9か月と回答 | 56％ |
いずれも6か国全体の回答で、日本企業だけの割合ではありません。CISAとCISSPの正式認定には原則実務経験が必要で、代替制度はあるものの、初めて専門職に入る人へ一律に求める条件としては高くなります。
学習した知識を示してほしいのか、豊富な経験を証明してほしいのか。資格名を求人へ加える前に、この違いを整理する余地があります。CISAの仕事内容と認定条件、CISSPの取得条件も、その確認に使えます。
育てる採用にも、任せる仕事の設計がある
育成期間の数字は、未経験者を数か月で全領域の専門家にできるという意味ではありません。対象企業が割り当てた業務を独力で行えるまでの、採用責任者の回答です。
それでも、「完成された経験者が採れるまで何も進められない」以外の方法が、実際に使われていることが分かります。何を初級者に任せ、どこに経験者の判断を残すかが重要です。
人材が育たない環境を、自社でも作っていないか
評価されない兼務、学習時間が取れない体制、専門性を高めても変わらない役割。こうした条件では、その会社でセキュリティの経験を積む理由が弱くなります。
現在の人材不足を、個々の企業の経営だけで説明することはできません。一方、評価・待遇・育成を後回しにしている会社が、経験者を必要な時だけ外から採ろうとすれば、同じ人材を求める競争に入り続けます。
ここで見直せるのは、市場全体ではなく自社の条件です。何を成果として認め、どの専門性を伸ばし、任せる範囲を広げるか。採用広告の表現より、働いた後の実態が重要になります。
「何でもできる一人」を探す前に、仕事を分ける
以下は、業務を分けて考えるための説明例です。実際の割り当ては、情報の重要性や確認体制に合わせて決めます。
| 業務 | 初級者に段階的に任せる例 | 経験者側に残す判断 |
|---|---|---|
| 資産・権限の管理 | 台帳更新、手順に沿う棚卸し、差異の報告 | 例外権限の承認、重要性の判断 |
| 監視・報告 | 定型チェック、記録整理、決めた基準での連絡 | 攻撃の判定、遮断・停止の判断 |
| 教育・取引先への回答 | 教材更新の補助、回答根拠の収集 | 対策方針や回答内容の承認 |
| 脆弱性対応 | 情報収集、該当製品の照合、対応状況の集計 | 優先順位、事業への影響、対処方針 |
すべてを初級者へ任せるわけでも、すべてに熟練者を必要とするわけでもありません。定型作業を切り分けられれば、経験者の時間を判断に集中させる余地が生まれます。
社内に指導できる人がいないなら、育成と高度判断を外部に頼む選択もあります。ただし、誰が日常の相談を受け、どこまで会社として決めるかが曖昧なままでは、採用しても本人が孤立しやすくなります。
採用条件・評価・費用負担をどう見直す？
必須条件と、入社後に身に付ける条件を分ける
例えば、入社直後から事故対応の指揮を任せるなら、その経験を求める理由があります。一方、運用チームの一員として定型確認から始めるなら、基礎知識、報告能力、IT業務の経験などから見極める方法が考えられます。
求人票には、初めに任せる業務と、誰が支援するかまで書けると、候補者も働く姿を判断しやすくなります。難しい資格を並べるだけでは、会社が本当に期待することが伝わりません。
「事故が起きなかった」以外の成果を評価する
対応期限内の改善、重要資産の把握、復旧手順の検証、取引先への説明など、対策を前へ進めた仕事にも成果があります。
事業側が求めた例外を調整した人が、単に「止める人」として評価されるなら、担当者は予防の仕事を続けにくくなります。何を守る役割で、誰が例外を判断するかを経営として共有することが、役割を機能させる土台になります。
資格費用だけでなく、学ぶ時間と役割を用意する
資格の更新費用や研修費を会社が負担することは、専門性への投資を示します。ただし、それだけで市場より低い給与を補えるとは限りません。給与・業務負荷・成長機会を合わせて考えることになります。
学んでも使う仕事がない、研修へ参加すると通常業務が積み上がる状態では、費用負担だけでは十分ではありません。取得後に任せる業務と、学習時間の扱いまで具体化すると、定着の条件が見えます。
セキュリティ人材不足に関するよくある質問
未経験者の採用で解決できますか？
定型業務や補助的な役割から育成する方法はあります。ただし、経験者の判断・指導が必要な領域まで一人で任せる体制では成立しにくくなります。
外部委託すれば社内担当者はいりませんか？
技術的な作業を委託しても、事業の優先順位、停止の許容範囲、社内調整などの判断は残ります。委託先へ何を頼み、結果を誰が判断するかを決めることが重要です。
まとめ｜市場を変えられなくても、自社の募集条件は変えられる
セキュリティ人材不足は、採用担当者だけの問題ではありません。経験者を求める前に、自社が何を任せ、どう評価し、どこから育てられるかを決める経営の問題でもあります。
採用条件、役割、評価、学習支援をつなげることで、応募できる人と、入社後に活躍できる人の範囲を広げられます。市場に人がいないという結論で止まらず、自社で動かせる条件から見直すことが、次の一手になります。
参考資料
- IPA：情報セキュリティ白書2025：3.2「サイバーセキュリティ人材の現状と育成」、2024年12月の転職求人倍率等。
- ISC2：2025 Cybersecurity Hiring Trends：2024年12月調査、日本を含む6か国929人。資格要求・育成期間・採用条件の課題。
- ISACA：CISA認定条件、ISC2：CISSP経験要件：正式認定に必要な経験と代替条件。
本記事の文章・表・図解・グラフは、Skill Business Architecture Labが独自に編集・作成しています。引用・紹介する場合は、引用箇所が分かる形で、記事名・サイト名・記事URLをご記載ください。
コメント