LASSIC Media らしくメディア
セキュリティエンジニアの採用で確かめておきたい3つのポイント
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- セキュリティエンジニアの採用は、監視・脆弱性診断・設計のどれを任せたいかを先に決めてから要件を書きます。
- 資格は必須の条件にせず知識の目安として扱い、面接では担当した仕事と事故が起きたときの役割を具体的に聞きます。
- 方針づくりと判断は社員が担い、24時間の監視や期間の決まった診断は外部人材に頼む分け方が現実的です。
※ 本記事は2026年10月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
「社内のセキュリティを任せられる人を採りたい」「でも求人票に何を書けばよいのか分からない」——。情報システム部門の責任者や採用担当者の間では、こうした迷いが起こりがちです。本記事でいうセキュリティエンジニアは、情報システムやネットワークを攻撃や不正なアクセスから守る技術職を指します。
ただ、同じセキュリティエンジニアでも、監視、脆弱性診断、設計では求める経験が大きく違います。本記事では、採用を任された担当者に向けて、仕事の切り分け方、資格の見方、社員で採るか外部人材に頼むか、外部に頼むときの確認点を整理します。
セキュリティエンジニアとは
厚生労働省の職業情報提供サイト（job tag）は、セキュリティの専門家を1つの職業にまとめず、仕事ごとに分けて解説しています。監視を担う職業の解説では、セキュリティの仕事として、システムの企画・設計、監査、脆弱性診断、事故の原因調査、導入後の監視と運用を挙げています。*1
| 仕事 | 主な作業 |
|---|---|
| 監視・運用 | システムの記録（ログ）や警告を常に見張り、攻撃や不正なアクセスが起きたら対応する |
| 脆弱性診断 | システムを擬似的に攻撃して、弱点や問題点がないかを調べる |
| 事故の原因調査 | 情報漏えいなどが起きたとき、データを保全して原因を調べる（デジタルフォレンジック）*3 |
| 監査 | 一定の基準に照らして、問題がないかを客観的な立場から点検する |
| 設計 | 攻撃に強いシステムを企画し、設計する |
求人票に「セキュリティエンジニア」とだけ書くと、監視の経験者も診断の経験者も応募してきます。脆弱性診断の解説では、開発を行うエンジニアが仕事の一部として行うことは少なく、多くの場合は診断を専門に行っているとされています。*2 監査は、情報セキュリティやシステムの運用の業務を行ってきたベテランが担うようになった例も多いとされています。*4 どの仕事を任せたいのかを先に決めることが、採用の出発点になります。
担う仕事の切り分け方
経済産業省とIPAの「サイバーセキュリティ体制構築・人材確保の手引き」は、セキュリティの仕事を「自社の要員で対応する分野」「一部業務を外部委託する分野」「自社では対応しない分野」の3種類に大まかに分けると、後の検討が行いやすくなるとしています。*5
- 方針づくりやリスクの判断、インシデント（攻撃や情報漏えいなどの事故）対応の取りまとめは、自社の要員が担う
- 脆弱性診断や監視・運用は、許容できる範囲で外部に委託できる。ただし、分野のすべてを委託することはできない
- 事故の原因調査のような高度な分析は、一般的な企業が自社で要員を確保して行うことはあまりない
採用で最初に決めたいのは、自社の社員が担うべき仕事です。手引きは、外部委託を積極的に使っていても、対策を進める立場の人材を自社の要員として割り当てる必要があるとしています。一方で、この業務を担う人が専任である必要はないとも書いています。*5
job tagも、小規模なシステムでは運用・管理を行う人がセキュリティの監視も行うことが多いと説明しています。情報システム部門の社員が取りまとめ役を兼務し、診断や監視は外部の専門人材に頼む形も選べます。
資格の見方
job tagの監視の解説は、仕事をする上で必須の資格はなく、実績と経験が重視されると書いています。*1 脆弱性診断の解説では、関連資格の欄が「関連する資格はありません」となっています。*2 資格は応募の条件にするより、知識の目安として見るほうが実態に合います。
| 仕事 | job tagに挙がっている関連資格 |
|---|---|
| 監視・運用 | 応用情報技術者、基本情報技術者、情報処理安全確保支援士、情報セキュリティマネジメント試験 |
| 脆弱性診断 | 関連する資格はありません |
| 事故の原因調査 | 情報処理安全確保支援士 |
| 監査 | 情報処理安全確保支援士、情報セキュリティマネジメント試験、公認情報セキュリティ監査人など |
国家資格の情報処理安全確保支援士は、2026年10月1日時点の登録者が26,424名です。勤務先の業種は情報処理・提供サービス業が35.9%、ソフトウェア業が22.6%で、IT企業に勤める人が約6割を占めます。*6 IT企業以外の会社が採ろうとすると、候補者は限られます。
面接では、資格の有無よりも次の点を具体的に聞きます。
- 担当してきた仕事が、監視・診断・設計のどれだったか
- インシデントが起きたとき、自分がどの役割を担ったか
- セキュリティに詳しくない人に、状況をどう説明してきたか
- 新しい攻撃の手口や対策の情報を、どう集めているか
登録の手続きや確かめ方は「情報処理安全確保支援士の登録と更新」で、スキルの段階を求人票に書く方法は「ITSSのレベルを採用要件に使う方法」で扱っています。
社員で採るか外部人材に頼むか
手引きは、セキュリティ対策の業務経験がある人の中途採用について、条件に見合う人が確保できれば最も短期間で戦力にできる方法としています。ただし、長年にわたって需要が供給を上回っており、社内の処遇体系を相当に上回る待遇を示す必要が生じる可能性にも触れています。*5
監視の仕事は24時間365日続き、勤務は2交代か3交代の交代制が一般的です。*1 社員だけで交代制を組むには人数が要るため、監視は外部に頼み、社員は報告を受けて判断する役に回る分け方が現実的です。手引きも、中小企業などで専門人材を常勤で雇う余裕がない場合、特定の曜日だけの非常勤勤務を使うことが有効としています。*5
| 仕事 | 向いている方法 | 理由 |
|---|---|---|
| 方針づくりと事故の際の取りまとめ | 社員（兼務でもよい） | 自社のリスクの判断に直結する |
| 24時間の監視 | 外部の監視サービスや業務委託 | 交代制の人数を社員だけでそろえるのは負担が大きい |
| 年に1回などの脆弱性診断 | 業務委託 | 期間の決まった作業で、診断を専門にする人が多い |
| 近くで経験者が見つからない | リモートワークの社員採用 | 住む場所を問わずに候補者を探せる |
外部人材に頼むときの確認点
手引きは、脆弱性診断や監視を外部に委託する場合でも、委託仕様の策定や委託先からの報告への対応を担う体制が社内に必要としています。契約の前に、次の点を確かめておきます。
- 任せる作業（診断する対象や監視する範囲）と期間、完了とする条件
- 報告の頻度と形式、報告を受けて判断する社内の担当者
- インシデントが起きたときの連絡先と、誰がどこまで対応するか
- 扱う情報の範囲と、秘密保持の取り決め
- 作業の記録や手順書を残してもらい、社内で引き継げるか
手引きは、情報処理安全確保支援士には法律に基づく秘密保持義務があるため、高いレベルの秘密保持が求められる業務も委託しやすいと説明しています。*5 監視や事故対応の体制ごと任せる方法は「セキュリティ人材不足をCSIRT/SOCの外注で補完する進め方」で、脆弱性対応の分担は「脆弱性対応を外部人材活用で分担する進め方」で扱っています。契約の細かな取り決めは、法務の担当者や専門家に確かめてください。
まとめ：採用で確かめておきたい3つの点
セキュリティエンジニアの採用で確かめておきたい点は3つに整理できます。第一に、監視・脆弱性診断・設計のどれを任せたいかを決め、社員が担う仕事と外部に頼める仕事を分けること。第二に、資格は条件にせず、担当した仕事と事故の際の役割を面接で聞くこと。第三に、24時間の監視や期間の決まった診断は外部人材に頼む分け方を検討することです。この3点を踏まえておけば、「採ったものの、任せたい仕事と経験が合わなかった」という事態を避けやすくなります。社員で採るか外部に頼むかに迷いがあれば、外部の手を借りるのも一つの選択肢です。
よくある質問
セキュリティの未経験者を採用して育ててもよいですか
育てることはできますが、時間を見込んでおく必要があります。job tagの監視の職業解説では、一人前になるまでに3年程度の経験が必要と言われるとしています。*1 育てている間の監視や診断は、外部人材と組み合わせると進めやすくなります。
求人票の職種名はどう書けばよいですか
「セキュリティエンジニア（脆弱性診断）」のように、任せたい仕事を括弧で添えると、合う経験の候補者に伝わりやすくなります。取りまとめ役を採るなら、社内の調整や経営層への報告も担うことを仕事内容に書いておきます。
社員の採用と外部人材の活用を並行して進めてもよいですか
並行して進められます。監視や診断を外部人材に頼みながら取りまとめ役の社員を採用し、入社後に報告の受け方や手順書を引き継ぐ形が取れます。
セキュリティエンジニアの確保を相談したいとき
任せたい仕事や守りたいシステムが分かっていれば、そのままご相談いただけます。社員を採るか業務委託で始めるか決めきれていない段階でも構いません。
Remoguとリラシクなら、リモートワークで働く社員の候補者も、業務委託で開発に加わる専門人材も探せます。
Remoguは、リモート前提で全国から即戦力のITプロ人材を調達するサービスです。リラシクは、扱う求人がすべてリモートワークのITエンジニア専門転職エージェントです。どちらもLASSICが運営しています。
出典
- *1 参考：厚生労働省 職業情報提供サイト（job tag）「セキュリティエキスパート（オペレーション）」（https://shigoto.mhlw.go.jp/User/Occupation/Detail/321）。出典：厚生労働省 職業情報提供サイト（job tag）職業詳細。どんな仕事？（情報セキュリティ関係の仕事の種類、小規模なシステムでは運用・管理を行う者が監視も行うこと）、就業するには？（必須の資格はなく実績・経験が重視されること、一人前になるのに3年程度の経験）、関連資格、労働条件の特徴（24時間365日の監視・2交代か3交代の交代制）を参照（確認日2026年10月16日）（2026年10月確認）
- *2 参考：厚生労働省 職業情報提供サイト（job tag）「セキュリティエキスパート（脆弱性診断）」（https://shigoto.mhlw.go.jp/User/Occupation/Detail/520）。出典：厚生労働省 職業情報提供サイト（job tag）職業詳細。どんな仕事？、就業するには？（開発を行うエンジニア等が仕事の一部として行っていることは少なく、多くの場合は脆弱性診断を専門に行っていること）、関連資格（関連する資格はありません）を参照（確認日2026年10月16日）（2026年10月確認）
- *3 参考：厚生労働省 職業情報提供サイト（job tag）「セキュリティエキスパート（デジタルフォレンジック）」（https://shigoto.mhlw.go.jp/User/Occupation/Detail/533）。出典：厚生労働省 職業情報提供サイト（job tag）職業詳細。どんな仕事？、関連資格を参照（確認日2026年10月16日）（2026年10月確認）
- *4 参考：厚生労働省 職業情報提供サイト（job tag）「セキュリティエキスパート（情報セキュリティ監査）」（https://shigoto.mhlw.go.jp/User/Occupation/Detail/534）。出典：厚生労働省 職業情報提供サイト（job tag）職業詳細。どんな仕事？、就業するには？（ベテランが監査を行うようになったことも多く若年者の比率は高くないこと）、関連資格を参照（確認日2026年10月16日）（2026年10月確認）
- *5 参考：経済産業省・IPA「サイバーセキュリティ体制構築・人材確保の手引き（第2版）」（https://www.meti.go.jp/policy/netsecurity/mng_guide.html）。出典：経済産業省 商務情報政策局 サイバーセキュリティ課・独立行政法人情報処理推進機構「サイバーセキュリティ経営ガイドライン Ver2.0 付録F サイバーセキュリティ体制構築・人材確保の手引き 第2版」（2022年6月・PDF）。STEP3(4) 自社実施と外部委託の切り分けの検討（図表15・16・17）、STEP4 セキュリティを主たる業務とする人材の確保（図表21）、STEP6(3) 試験・資格の活用を参照（確認日2026年10月16日）（2026年10月確認）
- *6 参考：IPA「情報処理安全確保支援士登録者について（2026年10月1日時点）」（公開日2026年10月15日）（https://www.ipa.go.jp/jinzai/riss/reports/data/20261001allriss.html）。出典：独立行政法人情報処理推進機構。登録者総数26,424名、業種別内訳（情報処理・提供サービス業8,376名・35.9%、ソフトウェア業5,278名・22.6%）を参照（確認日2026年10月16日）（2026年10月確認）
