みずほリサーチ＆テクノロジーズ

コンサルティングレポート

vol.5

2023

社会動向レポート

サイバーセキュリティ対策に携わる
人材をめぐる需給ギャップの実態と
今後の展望
デジタルコンサルティング部
上席主任コンサルタント

冨田高樹

独立行政法人情報処理推進機構（IPA）が2012年に「国内で情報セキュリティ人材が8万人不（1）足」という報告書を公表して以来、「サイバーセキュリティに詳しい人材は常に不足しており引く手あまた」というイメージがある。しかし厚生労働省が求職者向けに職業の内容や必要となるスキルに関する情報提供を行っている職業情報提供サイト“jobtag”で「セキュリティエキスパート」を調べてみると、「年収」と「求人倍率」のいずれにしても、情報系の他の職業と比較し（2）てそれほど優遇されているわけでもなく、求人が突出して多いわけでもないことがわかる。本稿では、このようなギャップが生じる背景について分析するとともに、社会におけるサイバーセキュリティ対策をさらに進めていく観点から、これらの対策に携わる人材についてどのように捉え、その育成ならびに能力発揮を促していくべきか、最新の状況をもとに論じる。

1．
セキュリティに携わる人材への注目の始まり

1

強い情報セキュリティよりも、サイバーセキュリティのほうが用語として適切な場合が出てきた。一方で、サイバーセキュリティでは紙媒体本稿の議論を始めるにあたり、「情報セキュリに記録された情報は保護の対象とならないので、ティ」と「サイバーセキュリティ」という2つ紙か電子かを問わず「情報」を保護しなければの用語について説明しておきたい。かつて、「セならない場合等において、情報セキュリティのキュリティ」に関する業務といえば警備や防犯概念は依然として重要である。このように両者に関するものであったが、およそ1980年代以降、が混在する状況の中、警備などのセキュリティ

情報化社会における「情報」を守ることは物理との区別が容易な文脈においては、「情報」も的な侵入を防ぐ警備等の活動とは別の概念であ「サイバー」もつけずに単にセキュリティと呼ぶるとして、「情報セキュリティ」という表現が用ことも多く、本稿でも同様とする。

いられるようになった。それが現在「サイバー日本でセキュリティに携わる人材に社会的なセキュリティ」と言われるようになったのは、注目が高まったのは、概ね2000年前後からであそのほうが格好良いからではなく、それなりのる。ただしそれまでセキュリティ対策を担う人理由がある。すなわち、社会のデジタル化が進材がいなかったわけではない。1980年代前半かんだ結果、情報のみならず「情報をやりとりすら暗号理論分野の研究者コミュニティが存在し、るサイバー空間そのもの」を保護する必要が生ウイルス対策ソフトウェア等の研究開発も、コじたことで、「情報（のみ）を守る」という印象がンピュータウイルスによる被害が生じ始めた頃

サイバーセキュリティ対策に携わる人材をめぐる需給ギャップの実態と今後の展望﻿﻿

から、国内の専門人材により継続的に行われてに行われるようになった。2003年には個人情報いる。そのような中で、2001年に情報処理技術保護法が公布・施行され、一定規模の個人情報者試験においてセキュリティ対策に携わる人材を扱う組織に対し保護すべき情報の漏えい防止に求められる知識を問うものとして、初めて試対策実施が義務づけられた。これにより、多く

験名に「セキュリティ」という言葉を含む「情の企業において個人情報保護責任者又はそれに報セキュリティアドミニストレータ試験」が追相当する役割が規定されたことも、情報を保護加された。これに象徴されるように、それまでするための対策を担う人材の確保・育成を促す

情報システムやネットワークの構築や運用に関きっかけとなった。

する業務の一部として捉えられていたセキュリティ対策が、ひとつの産業分野として注目され始めたのがこの時代である。2000年には日本

2．
セ キュリティに携わる人材に求められる要件の明確化と育成に関する取り組み

ネットワークセキュリティ協会（JNSA）が設立

セキュリティ対策を担うことのできる人材をされるなど、セキュリティの専門家によるコミュその他の人材から識別するには、まずそれがどニティ活動を通じた社会への情報発信も積極的のような人材なのかを明らかにする必要がある。

表

セキュリティに携わる人材に求められる知識・スキルを定義する取り組み事例
雇用側

育成側

『情報セキュリティアドミニストレータ試験』開始（2001年，経済産業省＋JIPDEC）
2000〜『セキュリティ・キャンプ』事業開始（2004年，IPA）
IT スキル標準（ITSS）』公表（経済産業省，2002年）
2004年
情報セキュリティ大学院大学創設（2004年）『情報セキュリティスキルマップ』公表（2003年，IPA）（2）『CISSP 試験』日本語対応（2004年 ,（ISC） ）『テクニカルエンジニア（情報セキュリティ）試験』開始（2006『カリキュラム標準 J07』公表（2008年，情報処理学会）
2005〜 年，経済産業省＋IPA）『情報セキュリティ人財アーキテクチャガイドブック』
2009年 『情報セキュリティスペシャリスト試験』開始（2009年，経公表（2009年，情報セキュリティ教育事業者連絡会）
済産業省＋IPA）『enPiT（成長分野を支える情報技術人材の育成拠点の2010〜形成』開始，2012年，文部科学省）『i コンピテンシディクショナリ（iCD）』公表（2014年，IPA）
2014年『CYDER（実践的サイバー防御演習）』実証実験開始（2013年，総務省＋NICT）『CSIRT 人材の定義と確保』
公表（日本 CSIRT 協議会，2015年）『情報セキュリティマネジメント試験』開始（2016年，経済長崎県立大学に情報システム学部情報セキュリティ学
産業省＋IPA）科を創設（2016年）『セキュリティ知識分野（SecBoK）人材スキルマップ2016年
2015〜『SecHack365』事業開始（2017年，NICT）版』公表（2016年，JNSA）
2019年『大学における情報セキュリティ教育のためのモデル・『産業横断人材定義リファレンス』公表（2016年，産業横断コア・カリキュラム』公表（2017年，文部科学省）
サイバーセキュリティ人材育成検討会）『カリキュラム標準 J17』公表（2018年，情報処理学会）『情報処理安全確保支援士試験』開始（2017年，経済産業省＋IPA）『ITSS＋（セキュリティ分野）』公表（2020年，経済産業省＋IPA）
2020年『プラス・セキュリティ知識補充講座カリキュラム例』『IT 総合能力診断サービス VisuMe』開始（2020年，一般財
以降
公表（2022年，NISC）
団法人日本サイバーセキュリティ人材キャリア支援協会）『デジタルスキル標準』
公表（2022年，経済産業省＋IPA）（資料）各公表資料をもとにみずほリサーチ＆テクノロジーズにて作成

2みずほリサーチ＆テクノロジーズ

コンサルティングレポート

vol.5

2023

そこで人材の雇用側（おもに産業界）と育成側（お人材が活躍することによる効果が必ずしも可視もに教育界）の双方から、セキュリティに携わる化されなくなってしまう。それならばベンダー人材が備えるべき知識やスキルがどのようなも企業で活躍する人材のほうが給与に恵まれていのかを定義する取り組みが実施されてきた。そるかといえば必ずしもそうではなく、給与水準の主な事例を表に示す。このうち、試験制度やの高い業種のユーザー企業でセキュリティ対策教育プログラムは、そのシラバスやカリキュラを担う人材のほうが待遇に恵まれている場合もム等を通じて身につけるべき知識やスキルを明ある。ベンダーの売上がユーザー企業による調らかにする効果ももたらしている。

達に依存し、「利益を産まないセキュリティに過これらの取り組みを通じて人材像がより明確大な投資は避けたい」とどうしても考えがちなになっていく中で、セキュリティに携わる人材ユーザー企業が多数を占める限り、いくら人材の多様さ、すなわちそれぞれの属性に応じた境不足下での採用のために処遇改善が求められて遇や、求められるものの違いが浮き彫りになっも無い袖は振れないという面がある。ていった。例えば、表に示した ITSS+（セキュ（3）リティ領域） では全部で17種類の分野が定義【属性区分2】セキュリティ関連業務の専任か兼されている。具体的にどのような属性があるの務かか理解してもらうため、ここでは次の3点の属性に関する区分を紹介する。

セキュリティに関する業務のみを専任で担当するか、他業務との兼務でセキュリティに関する業務を行うかの相違である。実は、本稿の執【属性区分1】所属企業の業態：ベンダー企業か筆に際して「セキュリティ人材」という表現をユーザー企業か意図的に避けているが、これがこの論点に関係人材がセキュリティ関連の製品やサービスをしている。
「セキュリティ人材」と言うと、どう提供する事業を営むベンダー企業で活躍するのしても「セキュリティに専念している人材」とか、いわゆるユーザー企業で活躍するのかの相いう印象を強く与えてしまうが、実際にはセキュ違である。ベンダー企業におけるセキュリティリティ対策を他業務との兼務で担当している人

関連業務は自社の営利活動の一部であって、優材が圧倒的に多い。したがって、セキュリティ秀な人材が活躍するほど自社の事業に好影響をに携わる人材すべてについて論じたいときに、及ぼすので処遇との連動が生じやすい。実際、「セキュリティ人材」という表現は使いにくいのベンダー企業では高度なセキュリティの専門能である。

力を有する人材を年収3,000万円レベルで優遇す（4）もみられ、冒頭で紹介したセキュリティリティを兼務で担当する人材であるが、その育に携わる人材の高給イメージを生じさせる要因

成は簡単ではない。他業務との兼務である以上、となっている。

セキュリティに関する教育に費やすことのできる例

3

このように、人数的には多数を占めるセキュ

これに対して、ユーザー企業におけるセキュる時間やリソースは専任者に比べると少なくリティ関連業務はあくまで自社の本来業務を成なってしまうため、体系的に専門性を身につけ立させるための手段であり、セキュリティ対策るのに時間がかかる。これが人材不足にもつなが一定水準まで整備されるとそれ以降の取り組がっているが、その解決は容易ではない。サイみが経営上の収益に結び付きにくくなるため、

バーセキュリティに関するインシデント対応をサイバーセキュリティ対策に携わる人材をめぐる需給ギャップの実態と今後の展望﻿﻿

例にとると、実際のところ一部の事業者等を除

題の解決は決して容易ではない。米国等と比較けば深刻なセキュリティインシデントがそれほして我が国のセキュリティ分野で長年にわたっど頻繁に発生するわけではないため、インシデて人材不足が示されているのは、このような背ント対応に備えた担当者を専任で確保すると一景も影響していると考えられている。

見暇に見えてしまうようなこともある。かといって、兼務であれば担当者は他業務を遂行する傍以上で示したような状況から、セキュリティらでセキュリティインシデントにも対応せざるに携わる人材をめぐる現在の状況は、言ってみをえず、報われない状況に陥ることになりがちれば「対策に必要な幅広い知識や能力を身につである。

けていて、程々の処遇で活躍してくれる人材が足りない」に近く、限られた高度な専門性を備【属性区分3】マネジメント系か技術系かえた人材を除くとイメージほどは恵まれていな

サイバーセキュリティに関するリスクは自然いという状況が浮かび上がってくる。最近は人災害や部外者の侵入等、企業活動を取り巻く他工知能（AI）やデータサイエンス関連分野に従事のリスクと比較すると、暗号理論や通信方式等、する人材の不足感も指摘されているが、今後セいわゆる情報通信技術により密接に結びついてキュリティ分野と同様の経過をたどるかどうかいる。そのため、セキュリティに携わるすべては、当該業務に従事する人材への投資が企業活の人材は情報通信技術に関して一定の知見を備動に必須であることを経営層にどこまで認識しえることが望ましい。しかしながら、我が国のてもらえるかに依ることになろう（5）。

高等教育体系ではこれまで「文系」と「理系」

これだけを読むとセキュリティ分野のキャリが明確に区分されがちであったこともあって、アは努力に見合わないようにも思えるが、その米国等と比較するとマネジメント系の業務を一方で専門性獲得のハードルが高いことは、いっ担っている人材のうち、情報通信技術を理解すたん専門的な知識やスキルを習得し現場経験をるための背景的な知識を習得している人材が少積んでしまえば以後のキャリアは競争も少なくない傾向がみられる。セキュリティ対策におい伸ばしやすいことを意味する。サイバー攻撃はてマネジメント系の業務は対策方針（ポリシー）

全世界にあまねく繰り広げられている関係でその策定や対策実施状況の管理、監査等多岐にわの対策が企業によって異なるようなことはあまたることもあり、これらの役割を担うために必りなく、いったん習得したスキルを別の組織で要な知識やスキルを備えた人材の不足が多くのも発揮しやすい。さらに、セキュリティ分野は業種で指摘されるようになった。このような状

国内においてスキル向上を目的とするコミュニ況を打開するため、現実には技術系の人材がマティ活動が盛んな業種のひとつであり、コミュネジメント系の業務まで担当したり、マネジメニティ活動で注目されることが転職のきっかけント系の担当者と共同で対応したりといった対にもつながりやすい。かくして、よりよい仕事応がなされている。ただし、前者では担当者が環境や処遇を求める人材の流動性が高いのもセ「セキュリティ何でも係」のようになって疲弊すキュリティ分野の特徴である。企業のセキュリる、後者ではそれぞれのバックグラウンドが異ティ責任者の方と話をしていると、「若手が育つなることで言葉が通じず、うまくコミュニケーのは喜ばしいが、育ちすぎると出て行ってしまションできないといった問題も生じており、問う」という嘆きを聞くことがある。転職先は本4みずほリサーチ＆テクノロジーズ

コンサルティングレポート

2023

人のキャリア志向によって様々であるが、いずあるが、サービスを組み合わせる中で思わぬセれにしても「育ちすぎる」とはすなわち、当人キュリティ上の盲点を生じさせることがある。の能力に見合う報酬を出せていない状況である

近年クラウドサービスの設定ミスによる情報漏から、残念ながら諦めざるを得ないところであえい事故が多発し、総務省がこの事故に特化しろう。

た対策ガイドライン3．
セキュリティに携わる人材のスコープを拡げる「プラス・セキュリティ」
これまで説明してきた内容は、セキュリティ専任であっても兼務であっても、セキュリティ

5

vol.5

（6）

を公表しているほどであるが、これまで IT 系部門等の専門家を中心に運用されていたクラウドサービスが、事業部門を含めたより幅広い利用者によって運用されるようになったことも、その原因の一つと考えられている。の担当者または責任者として扱われる人材に関そこでこのようなデジタル環境を取り巻く変することであった。ところが、デジタル社会の化に対応する新たなセキュリティの概念として、成熟とともに、「セキュリティ対策はセキュリ

2019年に「プラス・セキュリティ」が提唱

（7）

さ（8）

ティの担当者が行っていればよい」ではうまくれた。経済産業省の資料いかないことが明らかになった。本章ではそのセキュリティとは『自らの業務遂行にあたって背景を示すとともに、セキュリティに携わる人セキュリティを意識し、必要かつ十分なセキュ材の育成に関してどのような見直しがなされた

リティ対策を実現できる能力を身につけること、のかを示す。

あるいは身につけている状態』と定義されていによれば、プラス・デジタルトランスフォーメーション（DX）につる。すなわち、事業部門の事業担当者が自ら取いては、すでにバズワードとしての旬も過ぎ、り組むことで生じうるセキュリティ上のリスク多くの企業においてこれまでの取り組みの成果を認識して対策を講じることのできる能力を身が問われる段階となっている。DX の特徴としにつけることを求めるものである。もちろん、て、それが新事業創成や業態変革等、社外に向これは事業部門の担当者に2．で示したようなけたビジネスに関するものであれば、社内の情ベンダー企業の人材並みのセキュリティ知識・報システム部等の IT 系部門の主導でなく、事スキルを求めるものではない。ベンダーへの委業部門主導で行われる傾向が強いことが挙げら託を活用しつつ、すべてを丸投げするのではなれよう。クラウドコンピューティングサービス

く、当事者意識をもってサイバーリスクをマネや各種のデジタルプラットフォーム等の充実にジメントする能力（例：ベンダーとのコミュニより、デジタルサービスを活用する場合であっケーション、サービスに応じたデジタルリスクても、IT 系部門が保有する技術的な知識やスキの理解等）の獲得を目指すことが適切である。こルよりも、事業部門が有する業務知識のほうがのようなニーズを踏まえ、セキュリティ教育・重要な位置を占め得ることがその背景にある。

研修サービスを提供している事業者から複数の反面、サイバーリスクのマネジメントという観プラス・セキュリティ講座が提供されている。

点から見ると、この事業部門主導の体制には不リテラシーとしてのセキュリティ教育との相違安がある。最近のデジタルサービスは容易に構

点は、リテラシーが全員が習得しておくべき内築でき、適切なサービスを選択することでセキュ容、プラス・セキュリティが担当業務や役割にリティ対策を初めから附随させることも可能で応じて習得すべき内容と整理できる。なお、プサイバーセキュリティ対策に携わる人材をめぐる需給ギャップの実態と今後の展望﻿﻿

ラス・セキュリティの対象者として最も重要ないくようなキャリアも、今後は増えていく可能のは経営者であり、まず経営者がセキュリティ性がある。

を外部に丸投げすれば済むものと考えず、自社もう1点、セキュリティに携わる人材の将来のコーポレートガバナンスやエンタープライズを展望する上で重要なのが、AI（人工知能）活リスクマネジメントにおけるサイバーリスクの用の影響である。2022年に生成 AI が注目され影響について認識し、必要な対策が担保されるる以前から、セキュリティ対策製品においてはようにする必要がある。これらを促すための取サイバー攻撃の検出・識別に AI 技術を用いる（9）

り組みが政府機関において進められている。

4．
セキュリティに携わる人材のこれからものがあった。企業におけるデジタル活用が進む中、それに伴って発生するアクセスログ等のデータは増大の一途にあり、一定規模以上の企「プラス・セキュリティ」の取り組みが進むこ

業において異常の検出を人手で行うのはすでにとで、2．までで論じた「プラス」でないセキュ現実的ではない。AI 技術の発展とともに、それリティに携わる人材の将来はどのようになるのをセキュリティ対策に用いられていくのはほぼだろうか。ベンダー企業で活躍する人材におい必然といえる。そのような状況において、今後はては、これまで主たる交渉相手であったユーザー程度の差はあっても、セキュリティに携わるす企業の IT 部門の人材に加えて、事業部門の人べての人材が AI に関する知識・スキルを保有材とのコミュニケーションの機会が増える。そすることが求められることになろう。特に、「AIのため、デジタルに詳しくない人材とのコミュを使ったサイバー攻撃を受ける可能性」や「AIニケーションや、顧客の業務への理解等、セキュ利用時のセキュリティ上の留意点」といった知リティの本質部分とはやや異なる領域の知識・識はすべての人材に求められるのではないか。

スキルを発揮できる人材が重宝される可能性が本稿では企業でセキュリティに携わる人材の高い。ユーザー企業においては、これまでのセ位置付けと求められる知識やスキルについて、キュリティ担当者が不要になることは考えられこれまでの経緯と展望について整理した。人材ないが、仕事の内容が変わる可能性はある。有の需給バランスが給与に反映されやすい米国等

志企業によるコミュニティ活動である一般社団

ではサイバーセキュリティの求人は IT 系の中

法人サイバーリスク情報センター 産業横断サイでも処遇に優れた業務と位置付けられているの（10）

では、企業内に「セに対し、我が国では残念ながらそれほど恵まれキュリティ統括」機能を設けて、社内のセキュた業務とはみなされていないのが実態である。

リティに関する情報の共有や対策の統括を行う

しかしながら、デジタル活用が続く限り、今後ことを提唱しているが、このような機能はプラ

AI 技術が発展する中でもセキュリティ関連業務ス・セキュリティの進展に伴ってより重要性がへの需要は高まることはあっても低下すること高まるものと考えられる。事業をデジタルビジは考えにくい。専門性を磨く価値のある職種とネスに大きく依存している企業においては、こして、若手人材が長期的なキャリアを考えて選のセキュリティ統括機能と全社のリスクマネジぶ有力な選択肢の一つと言える。今後プラス・メント機能が実質的に共通化することも考えら

セキュリティに関する啓発や実践が進んでいく

れ、デジタル化の進展とともにセキュリティにことで、経営層を筆頭に企業全体でのセキュリ携わる人材がリスクマネジメント業務を担ってティへの理解が深まり、現状よりも処遇が改善

バーセキュリティ検討会

6みずほリサーチ＆テクノロジーズ

コンサルティングレポート

される可能性も期待できる。現在セキュリティ分野で活躍している人材も、そうした期待を抱きつつ、さらなるスキル向上に積極的に取り組んでほしい。
注（1） 『情報セキュリティ人材の育成に関する基礎調査』（独立行政法人情報処理推進機構（IPA），2012年4月）
https://warp.da.ndl.go.jp/info:ndljp/pid/8198317/
www.ipa.go.jp/security/fy23/reports/jinzai/index.
html（国立国会図書館によるアーカイブ）（2） 2023年10月時点でセキュリティエキスパート（オペレーション）の全国平均の年収は534.6万円、有効 求 人 倍 率 は1.82倍 で あ る。（ 出 典： 厚 生 労 働
省職業情報提供サイト jobtag（日本版 O-NET）
https://shigoto.mhlw.go.jp/User）（3） https://www.ipa.go.jp/jinzai/skill-standard/plus-itui/itssplus/security.html（4） 次の記事をはじめとする報道による。
『NTT、サイバー人材に年3000万円も 実力主義で役員並み』（日経産業新聞，2023年7月20日）（5） 経済産業省では「サイバーセキュリティ経営ガイドライン」（2023年3月（第3版））の公表を通じてサイ
バーセキュリティ対策への投資を将来の事業活動・成長に必要な費用であることを訴えている。https://www.meti.go.jp/policy/netsecurity/mng_guide.html（6） 『クラウドサービス利用・提供における適切な設定のためのガイドライン』（総務省，2022年10月）
https://www.soumu.go.jp/main_content/000843318.
pdf（7） 『セキュリティ人材不足の真実と今なすべき対策とは』（一般社団法人日本サイバーセキュリティ・イノ
ベーション委員会（JCIC）平山敏弘・上杉謙二，2019年2月）https://www.j-cic.com/pdf/report/HumanDevelopment-Plus-Security.pdf（8） 『サイバーセキュリティ経営ガイドライン付録 F サ
イバーセキュリティ体制構築・人材確保の手引き』（経済産業省，2022年6月（第2版））（公表 URL は上記「サイバーセキュリティ経営ガイドライン」と同じ）（9） （取り組みの例）『プラス・セキュリティ知識補充講
座カリキュラム例』（内閣サイバーセキュリティセンター，2022年6月）https://security-portal.nisc.
go.jp/dx/pdf/plussecurity_curriculum.pdf（10） https://cyber-risk.or.jp/

7

vol.5

2023