人手不足だけでは説明できない、セキュリティ人材の変化

不足しているのは「攻撃に詳しい人」だけではない

国内では、サイバーセキュリティ人材が約11万人不足しているとの調査が政策資料でも参照されています。ところが、企業が必要としているのは、マルウェア解析や侵入試験を担う高度専門家だけではありません。アカウントを管理する人、クラウド設定を確認する人、委託先の対策状況を確かめる人、事故発生時に事業部門を動かす人まで不足の対象に入ります。守る対象が増えた結果、専門部署の採用だけでは追いつかず、社内の各職種へセキュリティ業務が広がっています。

境界型の防御から、権限・設定・運用を守る仕事へ

以前は、社内ネットワークの入口に防御機器を置き、社内と社外を分ける考え方が中心でした。現在は、社員が複数のSaaSを使い、クラウド上のシステムへ外部から接続し、委託先も同じ環境を扱います。どこまでが社内かを線で区切りにくくなり、誰が何へアクセスできるか、設定変更が記録されているか、退職者の権限が残っていないかという日常運用が防御力を左右します。セキュリティ人材の仕事は、攻撃を見つける仕事から、企業のIT利用を安全な状態に保つ仕事へ広がっています。

2026年の主要脅威が示す、三つの仕事の増加

ランサム攻撃は、復旧と事業継続の人材を求める

2026年の組織向け主要脅威では、ランサム攻撃が1位になりました。暗号化された端末を直すだけでは対応は終わりません。侵入経路を止め、被害範囲を調べ、バックアップから復旧し、顧客や取引先への説明を進め、再発防止まで動かします。技術調査と同時に、経営、法務、広報、現場部門が動くため、必要になるのは単独の専門家ではなく、復旧を指揮する人と部門間をつなぐ人です。インシデント対応やサイバーレジリエンスの需要が強まる理由は、攻撃件数の多さより、被害が事業停止へ直結する点にあります。

委託先を狙う攻撃は、取引管理をセキュリティ業務へ変える

2位は、サプライチェーンや委託先を狙った攻撃です。発注元が強固でも、開発会社、保守会社、クラウド運用会社、SaaS事業者のいずれかが侵入口になる場合があります。そのため企業は、契約前の確認、利用アカウントの範囲、作業端末、ログの保存、事故時の連絡手順まで確かめるようになります。ここでは、技術検査だけでなく、契約、台帳、証跡、監査、定期確認を続ける人が欠かせません。社内SE、情シス、調達、PMが担ってきた仕事の一部が、明確なセキュリティ業務として扱われ始めます。

AIリスクの初選出は、新しい専門領域の始まりを示す

AIの利用をめぐるサイバーリスクは、2026年に初めて選ばれ、3位になりました。機密情報の入力、誤った出力の業務利用、外部文書に埋め込まれた指示、AIエージェントの過剰な権限、学習データや外部モデルへの依存など、従来のWebシステムだけでは扱いきれない問題が加わっています。AIを導入する企業が増えるほど、利用禁止を決める人ではなく、使える範囲、参照できる情報、外部操作の権限、記録の残し方を決める人が必要になります。

AIはセキュリティ職を減らすのか

定型的な監視と報告は、AIで軽くなる可能性がある

大量のログを要約する、似たアラートをまとめる、過去の事例を探す、報告書の下書きを作るといった作業は、AIによる支援が入りやすい領域です。監視画面から情報を転記し、決められた形式へ並べるだけの仕事は、担当者が一から行う量が減る可能性があります。これはセキュリティ職全体が消えるという意味ではありません。検知後の初期作業が短くなり、人は異常の意味を確かめる仕事へ移ります。業務の価値が、作業量から判断の質へ移る変化と見る方が実態に近くなります。

事故の重大度、業務影響、停止判断は人が引き受ける

同じ不審通信でも、検証環境なら影響は限定され、本番の認証基盤なら全社へ及びます。アカウントを停止するか、サービスを止めるか、顧客へ伝えるかは、ログだけで決まりません。業務内容、契約、法令、顧客影響を踏まえた判断が伴います。AIは候補を出せても、その判断の責任までは引き受けません。今後評価されやすいのは、ツールを操作する人より、技術情報を事業上の判断へ変換し、関係者へ説明できる人です。

AIを守る仕事が増えるため、総量は単純に減らない

企業がAIを組み込むと、入力データ、RAGの参照文書、外部API、モデル、プラグイン、エージェント権限という新しい管理対象が生まれます。プロンプトインジェクションや機密情報の露出を防ぐには、AIモデルだけでなく、その前後にある認証、権限、データ、監視を含めて確認します。AIが既存業務を省力化する一方で、AIシステムを安全に運用する仕事が増えるため、セキュリティ人材の需要は単純な引き算にはなりません。

クラウドで変わる、守る場所と責任の所在

クラウド事業者が守る範囲と、利用企業が守る範囲は別になる

クラウドでは、設備や基盤の保護をクラウド事業者が担いますが、利用企業のデータ、アプリケーション、アカウント、設定まで自動的に守られるわけではありません。利用するサービスによって責任の境界も変わります。サーバーを借りる形ならOS更新やファイアウォール設定まで利用企業が担い、管理型サービスを使う場合でも権限、公開範囲、暗号化、ログの扱いは残ります。「クラウドへ移したから安全」ではなく、何を事業者へ任せ、何を自社で確認するかを把握する人が必要になります。

クラウドでは、IAMと設定履歴が防御の中心になる

クラウド環境では、管理者権限の付与、サービスアカウント、秘密情報、外部公開設定、ネットワーク経路が事故の起点になりやすくなります。人が増え、環境が増えるほど、誰がどの権限を持つかは複雑になります。そこで、権限を小さく保つ、変更履歴を残す、異常な操作を検知する、退職や契約終了に合わせて権限を削除する運用が重要になります。インフラ経験者がセキュリティへ移る場合、サーバー知識だけでなくIAM、監査ログ、構成管理を扱った経験が強い接続点になります。

開発工程の中で確認するDevSecOpsが広がる

クラウド上のシステムは、コードと設定を短い間隔で更新します。公開直前に診断して問題を戻す方法だけでは、修正が間に合わない場合があります。そのため、コードの静的解析、依存ライブラリの確認、コンテナイメージの検査、IaC設定の確認を開発工程へ入れる動きが広がります。セキュリティ担当が最後に判定する形から、開発者、SRE、QAが日々の変更の中で確認する形へ移り、セキュリティを理解した開発人材の価値が高まります。

サプライチェーン評価制度が企業の仕事をどう変えるか

2026年度末を目標に、対策状況を共通基準で示す制度が動く

経済産業省と内閣官房は、取引先のセキュリティ対策を共通基準で評価し、可視化するSCS評価制度の方針を公表しています。★3と★4は、2026年度末頃の制度開始を目標としています。これは取引を一律に規制する制度ではなく、発注元が委託先へ求める対策段階を示し、実施状況を双方で確かめる仕組みです。制度の開始時期や詳細は今後変わる可能性がありますが、取引条件の中でセキュリティ対策を説明する流れが強まることは読み取れます。

製品導入より、日常運用を証明できる状態が問われる

制度は、特定製品の導入を条件にするものではありません。求められるのは、アカウント管理、端末管理、バックアップ、脆弱性対応、事故連絡などを継続し、その実施状況を示せる状態です。規程だけを作っても、実際の運用記録がなければ説明は難しくなります。ここで増えるのは、台帳を更新する人、証跡を集める人、社内ルールを現場へ伝える人、委託先へ確認する人、評価対応を支援する外部人材です。高度な攻撃技術とは別の場所でも、セキュリティ人材の需要が生まれます。

中小企業では、兼務人材と外部支援の組み合わせが現実的になる

専任部門を持ちにくい企業では、情シスや総務がセキュリティを兼務する場合があります。制度対応が進むと、担当者だけで抱えるより、社内で日常運用を担う人と、外部から診断や評価を支える専門家を組み合わせる形が増えると考えられます。国の人材施策でも、中小企業を支援できる登録セキスペの活用が掲げられています。今後の市場では、大企業の専門部署だけでなく、中小企業へ実装可能な対策を説明し、現場へ定着させる人材も求められます。

セキュリティ職は一つではない

攻撃を見つけて止める仕事

SOCはログやアラートを監視し、不審な動きを調べます。CSIRTは事故発生後の調査、封じ込め、復旧、社内連絡を進めます。フォレンジックは端末やログから事実関係を追い、レッドチームや脆弱性診断は攻撃者の立場から弱点を探します。この領域では、ネットワーク、OS、認証、ログ、攻撃手法への理解が土台になります。AIによる支援が入りやすい一方、重大度の判定や復旧方針では深い技術知識が残ります。

安全なシステムを作り続ける仕事

アプリケーションセキュリティ、プロダクトセキュリティ、クラウドセキュリティ、DevSecOpsは、事故後の対応より、開発と運用の中へ安全性を入れる仕事です。認証認可、API、依存ライブラリ、クラウド権限、CI/CD、コンテナなどを扱います。開発チームと日常的に会話し、修正可能な形で問題を伝える力も問われます。Webエンジニアやインフラエンジニアの経験が、そのまま入口になりやすい領域です。

ルールと事業判断を支える仕事

GRC、セキュリティ企画、監査、第三者リスク管理は、規程、法令、委託先、リスク評価、証跡、経営報告を扱います。技術設定を自分で行わない場面でも、対策が事業にどう影響するかを説明し、複数部門の合意を作ります。情シス、社内SE、PM、IT企画、内部監査の経験とつながります。セキュリティ人材という言葉を攻撃技術だけで理解すると、この大きな需要を見落とします。

既存のIT職種から、どこへつながるか

インフラ経験者は、クラウド権限とインシデント対応へ進みやすい

サーバー、ネットワーク、監視、障害対応を経験している人は、クラウドセキュリティ、SOC、CSIRTと接点があります。通信経路やOSの状態を理解しているため、不審な挙動の切り分けへ入りやすいからです。そこへIAM、監査ログ、クラウド設定、コンテナ、脆弱性管理を加えると、単なる運用経験ではなく、セキュリティ業務として説明しやすくなります。資格取得より先に、現職で権限棚卸しやログ確認へ関わった事実を作る方が、実務との接続は強くなります。

Webエンジニアは、認証認可とAIアプリの安全性へ広げられる

Web開発では、認証認可、入力値検証、API権限、セッション、ファイル処理、依存ライブラリが日常的に現れます。これらを安全性の観点から扱った経験は、アプリケーションセキュリティやプロダクトセキュリティへつながります。AI機能を組み込む開発では、RAGの参照権限、外部ツール連携、出力の扱いも加わります。診断ツールの操作だけでなく、なぜその弱点が生まれ、どう直せるかを開発者へ伝えられる人が評価されやすくなります。

情シス・社内SEは、企業内統制と委託先管理へ進みやすい

情シスや社内SEは、アカウント、端末、SaaS、入退社、問い合わせ、ベンダーを日常的に扱っています。これは企業内セキュリティの実行部分そのものです。二要素認証の導入、管理者権限の削減、端末台帳、生成AI利用ルール、事故初動、委託先確認へ担当範囲を広げると、GRCやセキュリティ企画へつながります。派手な技術経験がなくても、ルールを現場で動かし、記録を残した経験は制度対応で強い材料になります。

PM・PLは、要件と事故対応を動かす役割へつながる

PM・PLは、開発日程や予算だけでなく、扱うデータ、権限、ログ、診断時期、委託先責任を決める場面に関わります。事故が起きると、技術者、顧客、法務、広報、経営を同時に動かす役割も生まれます。セキュリティ専門家と同じ深さで攻撃手法を理解するより、どの確認をいつ入れ、誰が責任を持つかを決められることが価値になります。セキュリティを理解したPMは、専門家を事業の中で機能させる人材です。

登録セキスペは増えているが、資格だけでは職務は決まらない

2026年4月時点で26,453人、関東が69.1％を占める

情報処理安全確保支援士、いわゆる登録セキスペは、2026年4月時点で26,453人です。地域別では関東が18,279人で、全体の69.1％を占めます。国は2030年までに登録者を5万人へ増やす目標を掲げています。資格者の増加は、企業が共通言語を持つうえで意味があります。一方、関東には資格者も企業も集中しているため、資格を持つだけで職務が決まる市場ではありません。

評価を分けるのは、資格と実務のつながり方

同じ資格を持っていても、SOCでログを扱った人、クラウド権限を管理した人、Web診断を行った人、委託先監査を担った人では、応募できる職務が変わります。資格は知識の範囲を示しますが、現場で何を任され、どこまで判断したかまでは示しません。資格学習を仕事へつなげるには、現在の職場でセキュリティ関連の業務へ関わる、検証環境で記録を残す、報告書や改善内容を説明できるようにするなど、実務に近い事実が必要になります。

高度専門家だけでなく、外部支援と社内推進の担い手も増やす政策になっている

人材政策では、トップ層の育成に加え、中小企業を支援する外部専門家と、企業内で対策を進める人材の拡大が示されています。これは、資格者をセキュリティベンダーへ集めるだけではなく、地域企業や一般事業会社で活用する方向です。登録セキスペの将来性を見るときも、資格人数の増加だけでなく、どの企業課題へ入り、実施可能な対策へ落とし込めるかを見る方が重要です。

今後減りやすい仕事と、増えやすい仕事

減りやすいのは、手順通りに転記するだけの作業

アラートの転記、既知事例の検索、定型報告の下書き、チェック項目の機械的な確認は、自動化やAI支援が入りやすい仕事です。製品の画面を操作し、結果を別の表へ移すだけでは、人が担う理由が弱くなります。ただし、こうした作業が完全になくなるとは限りません。自動化された結果が正しいかを確かめ、誤検知や見落としを扱う仕事へ変わります。初級職では、作業を覚えるだけでなく、その結果から何を疑うかまで学ぶことが重要になります。

増えやすいのは、権限・復旧・取引・AI利用に責任を持つ仕事

クラウド権限を継続管理する仕事、事故から事業を復旧させる仕事、取引先の対策を確認する仕事、AIの利用範囲を決める仕事は増える可能性があります。いずれも、技術だけでなく、誰にどの影響が出るかを考え、関係者へ説明し、記録を残す責任を伴います。特にサプライチェーンとAIでは、技術部門だけで完結せず、法務、調達、事業部門との連携が欠かせません。専門知識と組織を動かす力の組み合わせが、今後の価値を分けます。

「セキュリティ専門職になる」以外の伸び方が増える

すべての人がSOCや診断会社へ移るわけではありません。開発者が認証認可に強くなる、SREがクラウド権限に強くなる、情シスが委託先管理に強くなる、PMがセキュリティ要件に強くなるという伸び方があります。企業側も、専任部署だけで全システムを確認することは難しくなります。各チームにセキュリティを理解する人がいる状態が必要になるため、既存職種の専門性へ安全性を重ねる道が広がります。

セキュリティ人材の今後は、「不足」より「責任の拡散」で読む