2019 年 2 ⽉

セキュリティ⼈材不⾜の真実と今なすべき対策とは~今必要なのは「プラス（＋）
・セキュリティ⼈材」だ~【要旨】
セキュリティ⼈材は、IT ベンダー/セキュリティ関連企業に所属し、セキュリティを主たる業務とする「セキュリティ専⾨⼈
材」と、本来の業務を担いながら IT を利活⽤する中でセキュリティスキルも必要となる「プラス（＋）・セキュリティ⼈材」に⼤別できる。当レポートは、⼈材が⼤きく不⾜しているのは、プラス・セキュリティ⼈材であることを⽰すと共に、今後取るべき対策について提⾔するものである。当レポートを通じて、IT ベンダー／セキュリティ関連企業や関連省庁、およびユーザ企業の経営/総務/⼈事部⾨のマネジメント層に対して「⾃社におけるプラス・セキュリティ⼈材の必要性」への理解を促すと共に、⽇本の企業⽂化を活かした⼈材育成などの新たな取り組みについての提⾔を⾏なっている。なお、
様々な場⾯で「情報セキュリティ⼈材」と「サイバーセキュリティ⼈材」が混在して使⽤している例が散⾒されるが、当レポ
ートにおいては広義の意味で「セキュリティ⼈材」と統⼀して使⽤することとする。
１）「セキュリティ⼈材」は、「セキュリティ専⾨⼈材」と「プラス・セキュリティ⼈材」に⼤別して考える必要がある

図表 1 「IT ⼈材不⾜が深刻化 2030 年には 78.9 万⼈不⾜に」
出典︓経済産業省「IT ⼈材の最新動向と将来推計に関する調査結果」IT ⼈材の需給に関する推計

現在不⾜しているセキュリティ⼈材の多くは、ユーザ企業において、⾃社システムのセキュリティ確保を管理できる⼈材であるが、このような⼈材はセキュリティ専⾨家とは限らない。2016 年の経済産業者からの報告でもユーザ企業でのIT 利活⽤⼈材において、セキュリティがわかる⼈材が⾜りない（12.4 万⼈の不⾜）と報告されている（図表 1 の⾚ページ 1

枠参照）。⼀⽅、IT 企業とユーザ企業の情報システム部⾨に所属するセキュリティ⼈材（当レポートでは「セキュリティ
専⾨⼈材」と定義）の不⾜数は、合計 0.9 万⼈（図表 1 の⻘枠参照）と相対的な不⾜感はそれほどでもない。
セキュリティ⼈材不⾜の解消にはセキュリティに特化した専⾨家育成が急務と考えられていたが、現状は、情報サービ
ス業や情報通信業などの業種よりも、卸売業・⼩売業や医療・福祉業などの業種における不⾜感が⾼いことが報告されている（図表 4 参照）。これらの業種で必要なのは、ホワイトハッカーのようなセキュリティ専⾨⼈材とは限らない。それにもかかわらず、ホワイトハッカーのような⼈材が不⾜していると広く社会⼀般に解釈されているのが現状であり、国も技術寄りの対策を重視していた。しかし、現在⼤幅に不⾜しているのは、ユーザ企業において本来の業務を担いながらIT 利活⽤をする中でセキュリティスキルも必要となる「プラス・セキュリティ⼈材」であり、その育成が重要である。

２）定期的な⼈事異動などを活⽤した「プラス・セキュリティ⼈材」育成が有効
よく「⽇本企業は、2-3 年で異動してしまうので、専⾨家を育成できない」との声を聞く。しかし、セキュリティ担当部⾨に配属になり⼀定のセキュリティスキルを⾝に付けた⼈がまた現場に戻り、また新たな社員がセキュリティ部⾨に配属されるといったローテーションのサイクルが、この⼗数万⼈不⾜といったプラス・セキュリティ⼈材の育成には、まさに好都合であり、現場での「セキュリティ版消防団」構築を推し進めることにつながる。⼈事異動により、セキュリティスキルや経験を⾝に付けた⼈材のユーザ企業におけるキャリアパスを明確化することも重要である（図表 8 および 9 参照）。

３）不⾜しているセキュリティ⼈材を把握する術は⽇本にはないのが現状、よって⼈材の⾒える化が重要
⽇経産業新聞 2018 年 8 ⽉ 28 ⽇版に掲載された『セキュリティ⼈材、消えた「19 万⼈不⾜」』との記事では、『情報セキュリティ⼈材の不⾜を指摘する声が多いが、サイバー防衛の現場からは「不⾜感はない」との反論が多い。』と指摘されている。サイバー防衛の現場で必要なのは、セキュリティ専⾨⼈材であるため、このようなコメントが出ていると推測できる。⼀⽅、プラス・セキュリティ⼈材の不⾜感は⾼いままである。ではなぜ「⽇本では本当に⼈材が不⾜しているのか、いないのか。」といった議論がいつまでも続いているのか。その原因の１つが、⽇本においては⼈材の⾒える化ができていないためである。⼈材の⾒える化を推し進めることにより、セキュリティ専⾨⼈材の充⾜度やプラス・セキュリティ⼈
材の不⾜度も明確になり、客観的に判断することが可能となるため、セキュリティ⼈材⾒える化の取り組みも必須である（図表 10 および 11 参照）。

ページ 2

１．はじめに
セキュリティ⼈材が⼤幅に不⾜しており、2020 年に向けてその不⾜⼈数が⼤きく増えると報告されている（図表２）。経済産業省の調査ではセキュリティ⼈材不⾜は⼀過性の問題ではなく 2030 年に向けても不⾜が続くとの予測結果も出ている（図表 1）。それらの調査（図表 1 および
図表 2）によると、IT ⼈材（IT 企業と、ユーザ企業の情報システム部⾨に所属する⼈材の合計）は現在 91.9 万⼈であり、⼈⼝減少と、退職者が就職者を上回ることで2019 年から先は減少に転じるものの、IT 需要の拡⼤により⼈材ギャップは悪化すると予測されている。特に市場拡⼤が⾒込まれるセキュリティ分野については、⼈材不⾜が深刻化すると指摘されている。
図表 2

サイバーセキュリティ⼈材数推移

出典︓経済産業省「今後の情報政策・商務サービス政策の重点について」

セキュリティ分野の⼈材不⾜が深刻化していると⾔われる要因の１つとして、「セキュリティ⼈材の定義」が不明確な点があげられる。セキュリティに携わる⼈材は、最⾼情報セキュリ

ティ責任者である担当役員の CISO（Chief Information Security Officer、以下 CISO）から、セキュリティに特化した⾼度なスキルを有するホワイトハッカーまで様々であるにもかかわらず、セキュリティ⼈材として⼀括りにされている。必要なセキュリティ⼈材の内訳を明確にし、その⼈材に必要なスキルを明確化することで、各⼈材の育成計画が可能になると共に、教育カリキュラムやシラバスに関しても⾝に付けるスキルを意識しながら作成することが可能になる。
また、現在不⾜している⼈材の多くは、ユーザ企業において、⾃社システムのセキュリティ確保を管理できる⼈材であるが、このような⼈材はセキュリティ専⾨家とは限らない。経済産業省もユーザ企業での IT 利活⽤⼈材において、セキュリティがわかる⼈材が⾜りないと報告しているにも関わらず、現状では、ホワイトハッカーのようなセキュリティ専⾨⼈材が不⾜していると⼀般的には解釈されている。セキュリティ⼈材は、IT ベンダー/セキュリティ関連企業に所属し、セキュリテ
ィを主たる業務とする「セキュリティ専⾨⼈材」と、本来の業務を担いながら IT を利活⽤する中でセキュリティスキルも必要となる「プラス・セキュリティ⼈材」に⼤別できる。当レポートは、⼈材が⼤きく不⾜しているのは、プラス・セキュリティ⼈
材であることを⽰すと共に、今後取るべき対策について提⾔するものである。

ページ 3

２．セキュリティ⼈材不⾜の現状の正しい理解と「プラス・セキュリティ⼈材」育成の必要性
セキュリティ⼈材不⾜が問題視され始めたきっかけは、2014 年の独⽴⾏政法⼈情報処理推進機構（以下 IPA）調査「情報セキュリティ⼈材育成に関する基礎調査」の試算が公開されてからである。その後 2016
年の経済産業省からの調査（図表 1 および図表 2）で、さらにセキュリティ⼈材不⾜数が⼤幅に増加していることが報告され、現在に⾄っている。2014 年 IPA の報告（図表 3）では、国内企業においてセキュリティ
⼈材は約 8 万⼈と⼤幅に不⾜しており、さらに情報セ
図表 3

情報セキュリティ⼈材育成に関する基礎調査

出典︓IPA「情報セキュリティ⼈材育成に関する基礎調査」

キュリティに従事している技術者のうち、およそ 6 割に当たる約 16 万⼈がスキル不⾜との調査結果が出る

業 種

(⼈ )

1

農 林 業 ・ ⽔ 産 業 ・ 鉱 業

2

建 設 ・ ⼟ ⽊ ・ ⼯ 業

2,764

256

3

電 ⼦ 部 品 ・ デ バ イ ス ・ 電 ⼦ 回 路 製 造 業

1,403

4

情 報 通 信 機 械 器 具 製 造 業

5

電 気 機 械 器 具 製 造 業

6

そ の 他 製 造 業

605
1,150
15,8537

電 気 ・ ガ ス ・ 熱 供 給 ・ ⽔ 道 業

8

通 信 業

81
683

9

情 報 サ ー ビ ス 業

10

そ の 他 の 情 報 通 信 業

1,885
1,717

11

運 輸 ・ 郵 便 業

6,716

12

卸 売 ・ ⼩ 売 業

14,48013

⾦ 融 ・ 保 険 業

4,957

14

不 動 産 業 ・ 物 品 賃 貸 業

1,547

15

学 術 研 究 ・ 専 ⾨ 技 術 者

1,014

16

宿 泊 業 ・ 飲 ⾷ サ ー ビ ス 業

3,535

17

⽣ 活 関 連 サ ー ビ ス 業 ・ 娯 楽 業

3,301

18

教 育 ・ 学 習 ⽀ 援 業

2,094

19

医 療 ・ 福 祉

8,473

20

複 合 サ ー ビ ス 業

21

そ の 他 サ ー ビ ス 業

614

計

8,462
81,590

図表 4 情報セキュリティ⼈材の不⾜数 8 万⼈の業種別内訳
出典︓IPA「情報セキュリティ⼈材育成に関する基礎調査」など、セキュリティ⼈材の育成は急務であるとの内容であった。しかし、ここには誤解があった。この調査報告書をさらに⾒てみると、セキュリティ⼈材の不⾜数 8 万⼈の業種別内訳（図表 4）も公開されているが、⼀般にはこの内容までは正しく認識されていなかった。これによれば、情報サービス業や情報通信業などのセキュリティ専⾨家が多く所属する業種よりも、卸売業・⼩売業や医療・福祉業などの業種における不⾜感が⾼いことがわかる。従来のセキュリティ⼈材育ページ 4

成は技術重視で進められてきたが、セキュリティ⼈材不⾜を解決するためには、ユーザ企業において活躍できるセキュリ
ティ⼈材、すなわちプラス・セキュリティ⼈材の育成を検討する必要があると考えられる。そのためには、従来のセキュリティ専⾨家が業務を学ぶことに加えて、ユーザ企業での業務担当者がセキュリティを学ぶことが必要になる。
図表 5 は、2020 年に不⾜すると⾔われる 19.3 万⼈のセキュリティ⼈材数とスキルレベルおよび所属先の関係を表したものである。この内訳は、図表 4 の業種内訳より、約 9 割がユーザ企業側、残りの 1 割がセキュリティ企業側での不⾜⼈数と想定したものである。また縦軸は、IPA の IT スキル標準に対応した業務遂⾏レベルであり、円の⼤きさ
は不⾜⼈数を表している。よくある正三⾓形のピラミッドでないのは、不⾜者数が左側でより不⾜していることを表しており、図表 5 左下側にある事業部⾨に所属し、⽇常の業務をこなしながら必要なセキュリティ技術を⾝につけた⼈材である「プラス・セキュリティ⼈材」の⼤量な育成が必要となることがわかる。
右側の主にセキュリティ事業者に所属する、いわゆるセキュリティ専⾨⼈材も不⾜しているが、即戦⼒として争奪戦となっている中間層の⼈材数は約 1500 ⼈と全体から⾒たボリューム的には少なく、その層の⼈材をセキュリティ業界内で取り合っている状況である。セキュリティ事業者間で必要な⼈材にあたる、セキュリティスキルレベルの⾼い 1500 ⼈の
不⾜も⼤きな問題ではあるが、⼗数万⼈不⾜と⽐較しては、数の点では⼤きな問題ではないため、セキュリティ専⾨事業者などにとっては⼈材不⾜数の確保を問題としていないケースもある。

•
•
•
•

取締役
監査役
会計監査⼈
株主

CEO、COO、CFO等

CISO、CIO

約1.2万⼈

約15万⼈

事業部⾨
（営業、製造、開発等）

部⾨⻑
約0.15
万⼈

約2万⼈

レベル3-4
専⾨スキルを駆使し、業務上の課題の発⾒と解決をリードする
レベル
レベル1-2
上位者の指導の下、その⼀部を独⼒で遂⾏するレベル必要となる基本
的知識・技能を有する

管理部⾨
IT事業者、IT⼦会社、（総務、⼈事、法務等） セキュリティ事業者

図表 5 セキュリティ⼈材不⾜数の各部⾨とスキルレベルとのマッピング
出典︓JCIC 作成
不⾜⼈数として⼀番問題視されているのが、左側の事業部⾨側で本来の業務を担いながら IT を利活⽤する中で、セキュリティについてのスキルも必要となるプラス・セキュリティ⼈材である。セキュリティ中堅レベルの 1 つの基準となる国家資格情報処理安全確保⽀援⼠について、2018 年 10 ⽉登録に関する IPA 集計結果を⾒ると、登録者の所属
業種は、1 位情報処理、2 位ソフトウェア、6 位コンピュータ関連の 3 業種だけで、登録者数の 70%強を占めている。
12 位卸売・⼩売業では 1%、14 位医療･福祉業ではわずか 0.5%であり、ユーザ企業側のセキュリティ技術者は少ページ 5

ない。現状、情報処理安全確保⽀援⼠登録者の多くが IT 企業の所属であり、ユーザ企業所属の有資格者数が少ない状況であり、図表 4 のユーザ企業側でのセキュリティ⼈材不⾜との関連性は明らかである。

３．セキュリティスキル向上政策からのセキュリティ専⾨⼈材育成への偏重と急務なプラス・セキュリティ⼈材育成
対策
それではなぜセキュリティ⼈材＝セキュリティ専⾨⼈材との考え⽅になってしまったのだろうか。従来セキュリティは暗号化以外においては、⽐較的新しい分野であると共に技術の進歩が⼤変早い分野である。そのためセキュリティスキルの習得こそがセキュリティ⼈材の育成につながるとの⽅針より、セキュリティスキル向上の施策が次々と実施されてきた。当初はこのスキル向上施策により、⼀定レベルのセキュリティスキルの向上とセキュリティ⼈材の輩出が功を奏していた。しかし、スキル習得を中⼼とした施策であったため、結果的にセキュリティ専⾨⼈材中⼼の育成が進められていた。
ところが Society5.0 などの IT を利活⽤して社会を変えようとの時代の流れにおいては、セキュリティを守ることではなく、新たなビジネスを実現するためにセキュリティも必要との考え⽅に移⾏してきている。すなわち、セキュリティスキルに偏重することなく、何々をする⼈というロール（役割）の考え⽅もセキュリティ分野に必要となってきたのである。「内部監査を⾏う」、「経営の中⻑期計画を作成する」といった各ロールを担うには、業務遂⾏のためにビジネスを理解している必要がある。時代の変化やセキュリティの重要性の⾼まりにより、スキル・ロール双⽅を兼ね備えたプラス・セキュリティ⼈
材の必要性が⾼まってきており、不⾜数も年々膨らんできているのがセキュリティ⼈材数の現状である。

図表 6 経済産業省 「現存のセキュリティ⼈材育成施策とターゲットイメージ」
参照 http://www.meti.go.jp/committee/kenkyukai/shoujo/sangyo_cyber/wg_2/pdf/001_04_00.pdf

図表 6 は、経済産業省が公開している既存のセキュリティ⼈材育成のターゲットと現状施策とのマッピングである。これを⾒ると⼀⽬瞭然であるが、右側に多くの施策があることがわかる。右側は技術部⾨となっており、セキュリティを主業務とする IT 事業者やセキュリティ事業者などが当てはまる。⼀⽅、左側は経営戦略部⾨となっているが、いわゆる事業
部⾨やユーザ企業が当てはまる。左側には既存の施策が全くないことが明⽩である。図表 5 で説明した、不⾜数が⼤

ページ 6

きい通常の業務を担いながらセキュリティのスキルも必要な⼈材のエリアとぴったり重なっていることがわかる。また図表７に表しているように、右側のセキュリティ事業者側のセキュリティ専⾨⼈材と左側の事業部⾨やユーザ企業での「プラス・セキュリティ⼈材」では、同じスキルレベルの⼈材であっても、必要とされるスキル（業務・ビジネススキルとセキュリティスキル）の割合が異なる点にも注意が必要である。

図表 7 所属企業・部⾨におけるセキュリティスキルと業務ビジネススキルとの関係イメージ
出典︓JCIC 作成
４．今後取り組むべき対策の⽅向性
セキュリティ⼈材育成の⽅法は、セキュリティ専⾨⼈材とプラス・セキュリティ⼈材を区別して問題解決に臨む必要があることをここまで説明してきた。また育成すべきと声を上げても現在セキュリティに関連してる⼈材だけでは全く⾜りない状
況であるため、図表 8 は、セキュリティ⼈材不⾜対策の⽅向性を⽰したものである。

図表 8 セキュリティ⼈材育成へ向けて今後取り組むべき対策の⽅向性
出典︓JCIC 作成

ページ 7

施策分類

施策項⽬

概要

①経営マインド向上のための社会
⼈向けセキュリティ教育

経営やビジネスのわかるセキュリティ責任者の育成も急務で必須であるが、現状⽇本での教育コースがないため、海外ビジネススクール利⽤なども視野に⼊れた検討が必要。

②⽇本型⼈事異動を有効活⽤した
プラス・セキュリティ⼈材育成

プラス・セキュリティ⼈材育成は、セキュリティ部⾨に配属され、⼀定のスキルを⾝に付けた社員が次の⼈事異動で現場に戻り、代わって他の社員がまたセキュリティ部⾨に配属されるといった異動のサイクルが好都合。

③外部養育機関利⽤によるリカレ
ント教育

⾃社だけでセキュリティ教育を実施することは⼤変困難であるため、情報セキュリティ教育分野における短期コースからプロ⼈材育成教育コースなど、幅広い教育コースの利⽤も検討。

④シニアIT⼈材利活⽤によるセキュリティ分野への参⼊業務を深く理解している⼈材に対してセキュリティの必要部分のみを学ばせる⽅が現実的である分野に関しては、シニアIT⼈材利活⽤も有効な⼿段。

⑤理系⽂系問わずの幅広い対象へのプラス・セキュリティ教育

理⼯系⼤学⽣だけでなく、⼤学卒業⽣約55万⼈の全員が対象となる「プラス・セキュリティ⼈材」の育成検討が必要。

⑥セキュリティ専⾨家へのアウト
ソーシング

アウトソーシング可能な部分は外部専⾨機関のセ
キュリティ専⾨家に任せることを検討。

⑦製品・ツールによる⾃動化や⼈⼿の軽減

⼈⼿の対応だけではどれだけ⼈材を育成しても追いつかない状況であるためツール利⽤による⾃動化などの検討が必要。

社会⼈のセキュリティ
スキル向上の施策

⼤学教育などでの⻑期
間をにらんだ学術機関
における対策アウトソーシングを考慮したセキュリティ対策

図表 9 セキュリティ⼈材育成へ向けて取り組む対策の概要
出典︓JCIC 作成
社会⼈のセキュリティスキル向上の施策① 経営マインド向上のための社会⼈向けセキュリティ教育の実施
実態の伴った CISO 数の不⾜が指摘されている⽇本においては、⼈材数の問題だけでなく経営やビジネスのわかる
セキュリティ責任者の育成も急務で必須である。下記は海外での教育事例であるが、⽇本においてもビジネススクールや⼤学院専⾨課程での⾼度⼈材育成も忘れてはいけない重要な育成項⽬である。
・CISO 育成︓カーネギーメロン⼤学エクゼクティブ向けサイバーリーダーシップ認定プログラムなど CISO 育成講座
・ビジネススクール︓海外では、ビジネススクールでのサイバーセキュリティコース設置が当たり前にあるが、⽇本ではほとんどないことからも、経営層のセキュリティスキル向上の取り組みが今後必須である。（MIT スローンコース MBA
科⽬「サイバーセキュリティ」など）
・マスターコースのセキュリティ⼈材育成︓バーモント州にある Norwich ⼤学では、1998 年から⽶国⼟安全保障省と共にサイバーセキュリティの研究を始め、2001 年からは⽶国防総省ともサイバーセキュリティの共同研究をしている。
② ⽇本型⼈事異動を有効活⽤したプラス・セキュリティ⼈材の育成と普及への施策「⽇本企業は、2-3 年で異動してしまうので、特に技術の進歩と変化の激しいセキュリティ専⾨家を育成できない」との声を聞く。しかし、⼀定のセキュリティスキルをセキュリティ部⾨で⾝に付けた社員が次の⼈事異動で現場に戻り、代わって他の社員がまたセキュリティ部⾨に配属されるといった異動のサイクルが、「プラス・セキュリティ⼈材」の増加には逆に

ページ 8

好都合である。ここでは⾼度なスキルは求められず、業務で個⼈情報を取り扱う⽅や業務部⾨・管理部⾨で情報管理を担当する⽅に資格取得を推奨している、IPA の情報セキュリティマネジメント資格レベルで⼗分である。結果として、IT を利活⽤し業務を担うセキュリティも知っている「プラス・セキュリティ⼈材」がセキュリティ専⾨部署以外に広がり、現場でのセキュリティインシデントの⽕消し版とも⾔える「セキュリティ版消防団」構築を推し進めることにつながる。セキュリテ
ィ版消防団は、防⽕責任者と同様に⼀定の組織には必ず防⽕責任者のセキュリティ版であるデータ保護安全責任者（仮称）のような⼈材を配置するといった対策である。企業経営の安定には、定期的な⼈事異動などを活⽤した「プラス・セキュリティ⼈材」育成が有効となる。
③ 外部教育機関利⽤による体系だったセキュリティ分野のリカレント教育
⾃社だけでセキュリティ教育を実施することは⼤変困難である。それに対しては、例えば社会⼈を対象として働きながら学び続けることができる取り組みを推進することも検討すべきである。例としては、情報セキュリティ分野における⼈材育成教育コースとして、2018 年 4 ⽉より「enPiT Pro Security（ProSec）」というコースが全国 7 ⼤学で開講されている。その他にも国でもリカレント教育として様々な社会⼈の学び直しを推進している状況である。また IPA では、2017 年 4 ⽉に 産業サイバーセキュリティセンター（Industrial Cyber Security Center of Excellence,
ICSCoE）を発⾜して、模擬プラントを⽤いた演習や、攻撃防御の実践経験、最新のサイバー攻撃情報の調査・分析などを通じて、社会インフラ・産業基盤へのサイバーセキュリティリスクに対応する⼈材育成を実施している。上記の教育コースは、数⽇の⼊⾨編短期コースから数か⽉から 1 年程度の本格的なプロ育成コースまで、幅広く体系的な教育
コースを提供しているので、それぞれの⽬的にあった選択をすることが可能である。セキュリティ⼈材の育成は、技術進歩も早く⾃社での教育だけでは⼤変難しい分野であるため、上記の様な体系だった外部教育などを効果的に利⽤することも⼤変重要である。
④ シニア IT ⼈材利活⽤によるセキュリティ分野への参⼊
セキュリティと⾔えばスピードの変化に対応したスキルが必要なため技術⼀辺倒に思われるケースも多いが、実は管理や監査または調達などといった業務分野の経験やスキルを必要とする部⾨も数多く存在する。このような分野においてはセキュリティに特化したスキルを持つ⼈材に業務を学ばせるより、業務を深く理解している⼈材に対してセキュリティの必要部分を学ばせる⽅が現実的である。またこのような業務経験やスキルは短期間で育成することが難しい分野であるため、候補となる⼈材はシニア世代にも多く存在する。⻑期的には⽇本においての労働⼈⼝減少対策にもつながる
シニア IT ⼈材利活⽤は、セキュリティ専⾨外からの社会⼈学び直し対策も含めて、今後より推進すべき施策の１つであると考える。
⼤学教育などでの⻑期間をにらんだ学術機関における対策⑤ 理系・⽂系問わずに幅広い層からの参⼊による、プラス・セキュリティ⼈材の育成
セキュリティ関連の⼤学研究室に在籍している学⽣の年間輩出数は、わずか約 1200 ⼈であり、そのうち約半数は暗号化関連の研究室である。情報処理業界への新卒就業者は約 2.5 万⼈、理⼯系卒業⽣は約 10 万⼈であり、これだけの学⽣の参⼊だけでは、とてもセキュリティ⼈材不⾜解消はできない。情報処理業界への就業者が全てセキュ
リティに従事することは考えにくいため、理⼯系⼤学⽣だけでなく、⼤学⽣約 55 万⼈の全員が対象となる「プラス・セキ
ュリティ⼈材」の育成を検討する必要がある。特に経済・経営系や法学系については、「経営やビジネスのわかる、プラ
ス・セキュリティ⼈材」候補に⼗分なりえるため、セキュリティは理系といった概念を取り払うことが重要である。

ページ 9

アウトソーシングを考慮したセキュリティ対策
セキュリティ⼈材不⾜の解決を促すため、さらに⾃動化・製品対応による効率化やアウトソーシングの検討など、複合的な対策で対応を進めることも必要である。ただし、すべてを丸投げすることでは解決されず、発注先のユーザ企業や事業部⾨においても的確なベンダー管理や作業品質評価ができるために、最低限のプラス・セキュリティ⼈材の育成を図ることが必要である。
⑥ セキュリティ専⾨家へのアウトソーシング
役割を明確にし、⾃組織で必要な役割を把握して⾃社での⼈材育成と、アウトソーシング可能な部分は外部専⾨
機関の専⾨家に任せることを検討。ただし何を依頼すべきか／依頼しているのかなど、依頼している業務の評価をできることが必要である。
⑦ SIEM・AI などの製品利⽤による⾃動化や⼈⼿の軽減など、効率化を実現
監視・管理すべき情報量の⽇々増⼤するセキュリティ分野においては、⼈⼿の対応だけではどれだけ⼈材を育成しても追いつかない状況である。セキュリティ情報イベント管理（SIEM︓Security Information and EventManagement）や AI によるインシデント分析などを効率よく利⽤することが必要である。ただしツールやサービスの導⼊ありきではなく、役割や機能を明確化し、ツール化すべき部分と⼈⼿で対応しなければならない部分を明確に理解して設計・運⽤することが必要である。
上記で述べたように、今後取り組むべき対策としては、セキュリティ⼈材といった⼀括りではなく、「セキュリティ専⾨⼈材」と「プラス・セキュリティ⼈材」を明確にすると共に、製品やツールを有効活⽤できる分野も明確にすることが必要である。
育成すべき⼈材に関しては、セキュリティ専⾨⼈材の育成分野と業務を理解した上でセキュリティも知っているプラス・セ
キュリティ⼈材分野では育成⽅法も異なるため、どこをターゲットにするかを明確にしなければ効果的な対策に繋がらない。また労働⼒も無限ではなく限られた範囲の中での育成が必要となるので、「セキュリティは理系」「育成は若⼿」といった固定概念ではなく、様々な⼈材がセキュリティ関連の仕事に従事できる可能性があることを理解して、発想の転換を⾏う必要がある。
５．⼈材の⾒える化から、企業のセキュリティレベルの⾒える化、そして安⼼安全な社会の実現へ
多くの企業に IT が利活⽤される現代においては、セキュリティはすべての業務に関わるため、すべての企業での対策が必要である。組織内のセキュリティ問題を扱う、セキュリティインシデントに対応するチームである「CSIRT（Computer Security Incident Response Team）」 に代表されるように、多くの場⾯でチームでの対応が求められ、それを実⾏するセキュリティ⼈材が重要になる。各⼈の保有スキルの⾒える化を実現することで、チームにおいてどの程度の実⼒があるのかも測定することが可能になる。⼈材の⾒える化については、NPO ⽇本ネットワークセキュリティ協会（JNSA）下の情報セキュリティ教育事業者連絡会において、「国内（J）のセキュリティ事業者やユーザー企業
がタッグ（TAG）を組み、セキュリティ⼈材の適切な育成、適職認定を⾏うことで、セキュリティ業務への適任の⼈材配置を⾏う」⽬的の⼈材エコシステム（JTAG）の完成を⽬標として、⼈材の⾒える化や認定制度の実現を進めている。
図表 10 および 11 の例では、セキュリティスキル⾒える化例を⽰す。この例では A さんの総合スコアは、「54 点」であり、
これは 20 分野の総合スキルを点数化したものである。
個⼈総合スコアの積み上げは、企業におけるセキュリティ実⼒の⾒える化を実現することにつながる。その実現により、スコアが個⼈のスキルアップや育成だけの使⽤に留まらず、⾃社や⾃組織のスコアによりセキュリティの実⼒を判断するこ

ページ 10とが可能となる。また⾃社や⾃組織に必要なスキル分野を抜き出し、本当に必要な分野に対する充⾜度を測ることも可能となる。セキュリティ⼈材不⾜が⼀向に解決されない現在、本当に必要な⼈材を明確にし、その育成に重点を置く施策が必要であり、効率よく、かつ確実に成果をあげるためにも⼈材の⾒える化が必要となる。

計算機の構成法/制度・標準
経営・組織・マネジメント
リスクマネジメント

情報セキュリティマネジメ…

事業・戦略

5.0
4.5
4.0
3.5
3.0
2.5
2.0
1.5
1.0
0.5
0.0

システムインテグレーション
ネットワークサーバ

データベース

情報⼯学

ビジネス基礎

ネットワークセキュリティ

デジタルフォレンジック

脆弱性診断（プラット…

マルウェア解析システムセキュリティ

サイバー攻撃⼿法

セキュリティ運⽤

暗号・アクセス制御（認…

図表 10 ⼈材⾒える化 総合スコア例
出典︓NPO ⽇本ネットワークセキュリティ協会・JTAG 作成

計算機の構成5.0

システムインテグレーション

4.0

ネットワーク

5.0

サーバ

3.0

データベース

4.0

情報⼯学

3.0

ネットワークセキュリティ

3.0

脆弱性診断（プラットフォーム、アプリ等共通）

2.0

システムセキュリティ

2.0

セキュリティ運⽤

3.0

暗号・アクセス制御（認証、電⼦署名等）

2.0

サイバー攻撃⼿法

3.0

マルウェア解析2.0

デジタルフォレンジック

2.0

ビジネス基礎

3.0

事業・戦略

1.0

情報セキュリティマネジメント

1.0

図表 11 ⼈材⾒える化 総合スコア

リスクマネジメント

2.0 出典︓NPO ⽇本ネットワークセキュリティ協会・JTAG 作成

経営・組織・マネジメント

2.0

法/制度・標準

2.0

Aさん

54.0

セキュリティスキル総合スコア

ページ 11

６．まとめ当レポートでは、不⾜していると⾔われているセキュリティ⼈材とは、セキュリティ専⾨⼈材ではなくプラス・セキュリティ⼈
材（セキュリティも知っている⼈材）であることを明らかにした。この点については、セキュリティ専⾨家の間では認識されていたが、メディアなどで誤った認識に基づいて報道されることもあり、その結果ホワイトハッカーのようなセキュリティ専⾨
⼈材が⼤幅に⾜りないのかと世間が誤解してしまう。また「消えた 19.3 万⼈」との記事が出れば、セキュリティ⼈材は充⾜していると誤解されるなど、⼀般の⼈々の認識もぶれてしまっているのが現状である。適切なセキュリティ⼈材育成のためには、今後「セキュリティ⼈材の⾒える化」も必須となるため、この点については JCIC でも引き続き調査研究を⾏い次稿で取り上げたい。
当レポートにおいてプラス・セキュリティ⼈材育成施策として⼈事ローテーションの有効活⽤など、従来のセキュリティ専
⾨⼈材の育成⽅法とは異なる提案などを⾏っている。⽇本において特に多くの⼈数が不⾜しているプラス・セキュリティ
⼈材育成は喫緊の課題であるため、安⼼安全な社会の実現に向け、各省庁でのセキュリティ担当やユーザ企業での総務や⼈事などのセキュリティ組織作り担当の⽅々が、今必要なプラス・セキュリティ⼈材の育成施策について意識変
⾰を⾏い、当レポートでの提案を実⾏に移すことが急務である。

以上

ページ 12

参考⽂献
1）情報処理推進機構，「情報セキュリティ⼈材の育成に関する基礎調査」，2014 年 7 ⽉
https://www.ipa.go.jp/security/fy23/reports/jinzai/
2）経済産業省，「IT ⼈材不⾜が深刻化 2030 年には 78.9 万⼈不⾜に」，
http://www.meti.go.jp/press/2016/06/20160610002/20160610002.html
3）経済産業省，「情報セキュリティ分野の⼈材ニーズについて」
http://www.meti.go.jp/committee/sankoushin/shojo/johokeizai/it_jinzai_wg/pdf/002_03_00.pdf
4）経済産業省，平成 24 年度情報セキュリティ対策推進事業、「情報セキュリティ⼈材の育成指標などの策定事業」
事業報告書，2013 年 3 ⽉、http://www.meti.go.jp/policy/it_policy/jinzai/24freport3.pdf
5）⽇本ネットワークセキュリティ協会，「セキュリティ知識分野（SecBoK）⼈材スキルマップ 2016 年版」
http://www.jnsa.org/result/2016/skillmap/6）⽇本シーサート協議会，「CSIRT ⼈材の定義と確保 Ver.1.5」、
http://www.nca.gr.jp/activity/imgs/recruit-hr20170313.pdf
7）平⼭敏弘，「情報セキュリティ⼈材育成におけるセキュリティ知識項⽬（SecBoK）の有効活⽤」，情報処理学会
第 78 回全国⼤会 年会論⽂集， p.3-515-516，2016 年 3 ⽉
8）情報処理学会情報処理教育委員会，「情報専⾨学科におけるカリキュラム標準 J07」，2010 年 6 ⽉
https://www.ipsj.or.jp/12kyoiku/J07/J0720090407.html
9）⽂部科学省，「 ⼯学分野における理⼯系⼈材育成の在り⽅に関する調査研究（情報セキュリティ⼈材育成に関する調査研究）」2017 年 3 ⽉
http://www.mext.go.jp/component/a_menu/education/detail/__icsFiles/afieldfile/2017/06/19/1386824_00
1.pdf
10）平⼭敏弘，「産学共同による産業フィールド知識を活かした情報セキュリティ教育の実証と提⾔」教育情報研
究 : ⽇本教育情報学会学会誌 27（1）, 2011-07-04， P3-10，2011 年 7 ⽉
11）成⻑分野を⽀える情報技術⼈材の育成拠点の形成（enPiT）社会⼈を対象に情報セキュリティリーダ教育 enPiTPRO Security , http://www.seccap.pro/

ページ 13

[本調査に関する照会先]
主任研究員

平⼭敏弘

hirayama@j-cic.com

主任研究員

上杉謙⼆

uesugi@j-cic.com－ ご利⽤に際して －

本資料は、JCIC の会員の協⼒により、作成しております。本資料は、作成時点での信頼できると思われる各種データに基づいて作成されていますが、JCIC はその正確性、完全性を保証するものではありません。



本資料は著作権法により保護されており、これに係る⼀切の権利は特に記載のない限り JCIC に帰属します。引⽤する際は、必ず「出典︓⼀般社団法⼈⽇本サイバーセキュリティ・イノベーション委員会（JCIC）」と明記してください。

[お問い合わせ先] info@j-cic.com

ページ 14