セキュリティ人材が不足する本当の理由｜採用・育成・外部活用の現実的な打ち手
サイバー攻撃が「もし起きたら」ではなく「いつ起きるか」の問題になった今、多くの企業が「セキュリティを担える人がいない」という壁に直面しています。
採用しようとしても市場に人がいない、育てようとしても時間がかかる、外部に委託しようとしてもコストが見合わない。その焦りは、決して大企業だけの話ではありません。
実際、中堅・中小企業の現場では「セキュリティ担当者が1人でインシデント対応から社内教育まで兼任している」という状況がいまだ珍しくなく、担当者が退職したとたんに組織のセキュリティ水準が一気に下がるというリスクを抱えた企業も多く存在します。
本記事では、セキュリティ人材不足がここまで深刻化した構造的な背景を整理したうえで、採用・育成・外部活用それぞれで実際に機能している手法を、現場の視点を交えながら解説します。
数字で見るセキュリティ人材不足の現状
まず規模感を把握しておきましょう。ISC2が2025年12月に発表した「サイバーセキュリティ人材調査」によると、世界のサイバーセキュリティ人材の需給ギャップは約400万人に拡大し、過去最大を記録しました。そのうち日本単独でも約11万人が不足しているとされており（東洋経済オンライン報道）、前年比23.8%増という人材供給の伸びをもってしても需要に追いつけていないのが実態です。
「人材は増えているのに、なぜギャップが拡大するのか」と疑問に思うかもしれません。答えはシンプルで、攻撃の高度化とデジタル化の加速によって、必要な人材の絶対数が供給増を上回るペースで膨らんでいるからです。クラウド移行・IoTデバイスの普及・リモートワークの定着が、従来なら存在しなかった攻撃面（アタックサーフェス）を大幅に拡大しました。守るべき範囲が広がれば、それを担う人材の需要も当然増加します。
さらに注目すべき変化があります。同調査では「最大の課題は人員不足からスキル不足へシフトしつつある」と指摘されています。かつては「セキュリティを専任で担う人間が1人もいない」という段階の企業が多かったのに対し、現在は「人員はいるが、クラウドやAIに対応できるスキルセットが追いついていない」という質の問題が前景化しつつあるのです。
国内企業の視点に絞ると、MM総研が2024年に実施した調査では、企業の82%でセキュリティ人材が不足していると回答しています。8割超という数字は、「大半の企業が人材課題を抱えている」という実態をそのまま示しています。また同調査では、26%の企業が外部委託の範囲を拡大しており、不足を内製だけで補えないと判断した企業が外部リソースに活路を見出している傾向が見て取れます。
では、なぜここまで不足が解消されないのでしょうか。
セキュリティ人材が不足する4つの構造的理由
「人材育成のハードル」が異常に高い領域
セキュリティの知識は、一度習得すれば終わりではありません。攻撃手法は日々進化しており、ランサムウェアの展開方法、フィッシングの巧妙化、ゼロデイ脆弱性の悪用など、昨年の常識が今年は通用しない世界です。
他の技術領域との違いを考えると理解しやすいかもしれません。たとえばJavaのフレームワークを習得したエンジニアは、数年間そのスキルを活かし続けられます。セキュリティの場合、昨日まで有効だった防御策が新たな攻撃手法によって翌日には無効になることがあります。常に「攻撃側の最新動向を追いかけながら守り続ける」という非対称な戦いを強いられる点が、他のIT領域と根本的に異なります。
このため、セキュリティエンジニアには継続的なキャッチアップが求められます。資格試験（CISSP・情報処理安全確保支援士など）の取得・維持にも相応の時間と費用が必要で、「一般的なITエンジニアの研修カリキュラム」では代替できません。企業側が中長期の育成ロードマップを描きにくい領域のひとつといえます。
雇用コストが採用の壁になっている
セキュリティエンジニアの市場価格は、一般的なITエンジニアと比較して高めに推移しています。クラウドセキュリティやSOC運用の経験者ともなれば、年収800万〜1,000万円超を提示しなければ転職市場で競合に負けるケースも珍しくありません。
中小・中堅企業にとってはそもそも予算的に難しく、大企業でも「採用できても定着しない」という問題が生じがちです。高い市場価値を持つ人材は常に売り手市場であり、給与水準・キャリアパス・働き方のすべてが競合他社との比較対象になります。
加えて、採用コストそのものも無視できません。求人媒体への掲載費、エージェントへの成功報酬（採用年収の30〜35%が相場）、選考にかかる社内工数。これらを合算すると、1人採用するだけで100〜200万円のコストが発生することも珍しくありません。採用後に早期離職されれば、そのコストは丸ごと無駄になります。
人材育成に本格的に取り組んでいる企業がまだ少ない
採用が難しいならば育成で補うという発想は正しい方向性ですが、実態として社内育成に体系的に取り組んでいる企業は限られています。「セキュリティ担当者が1人で勉強しながらなんとかしている」という状況が、中堅企業では特に多く見られます。
育成の難しさは前述のとおりですが、加えて「指導できるシニアエンジニアがいない」「育成したら転職される」というジレンマも組織的な投資を躊躇させる要因です。ここには日本企業特有のジレンマが潜んでいます。人材をしっかり育成すれば市場価値が上がり、処遇を改善しなければ他社に引き抜かれる。かといって全員の給与を大幅に引き上げることは難しい。その結果、「育てない」という消極的な選択に陥るケースが生まれます。
「日本だけの課題」という構造問題
NRIセキュアの調査では、セキュリティ人材不足を深刻な課題と感じている割合が、日本企業だけ突出して高いという結果が出ています。米国や欧州企業では同じ課題感がそれほど強くない理由を同レポートは分析しており、その差は「セキュリティ業務の外部化・効率化への取り組み姿勢」にあるとしています。
日本企業は従来から「内製化・自前主義」の傾向が強く、外部委託やツールへの投資を「コスト」と見なしがちです。一方、海外先進企業はセキュリティをビジネスリスク管理の一環として位置づけ、専門ベンダーとのパートナーシップを早期から構築してきた経緯があります。自社内に抱えるよりも専門組織に委ねるほうが品質・コストともに優れているという判断が、組織文化として定着しているのです。
この「姿勢の差」が、同じ人材不足という状況下でも日本企業だけが感じる深刻さの違いを生んでいるといえるでしょう。人材が足りないのではなく、足りないと感じる構造そのものに手を打てていないことが、日本の根本的な課題かもしれません。
セキュリティ人材に求められるスキルの実態
「セキュリティ人材」という言葉は幅広く使われますが、実際に企業が求めるスキルセットは、担う役割によって大きく異なります。採用・育成方針を立てる前に、「自社が必要としているのはどのタイプか」を明確にしておくことが出発点です。大きく3種類に整理できます。
技術実務型：脅威を検知・対処する現場力
ファイアウォールやIDS/IPS、SIEMなどのツールを運用し、インシデントが発生した際に迅速に対処できるエンジニアです。SOC（Security Operations Center）要員がこれにあたります。クラウド環境の普及に伴い、AWS・Azure・GCP上のセキュリティ設定を理解できる人材のニーズが急増しています。
この領域の人材は市場でも最も取り合いになっており、実務経験3年以上のクラウドセキュリティエンジニアは、複数社から同時にオファーを受けているケースが多いのが現実です。採用競争に勝つには給与水準の引き上げだけでなく、「どのような環境でどんな経験を積めるか」というキャリア面の訴求も重要になります。
リスク管理・戦略型：経営と現場をつなぐ橋渡し役
CISO（最高情報セキュリティ責任者）やその補佐として、セキュリティポリシーの策定・リスクアセスメント・コンプライアンス対応を担う人材です。MM総研の調査では、「実務より戦略マネジメント領域にニーズが高まっている」と指摘されており、技術力だけでなく経営課題として理解できるビジネスリテラシーが求められています。
経営陣に向けてセキュリティリスクを「ビジネス影響」として翻訳し、投資の優先順位を説明できる人材は、技術的な優秀さとは別次元のスキルセットを持ちます。この「通訳者」的な役割を担える人材はとりわけ希少で、大手企業でも外部から招聘するケースが少なくありません。
セキュリティリテラシー型：組織全体の底上げ
専任エンジニアではないが、フィッシングメールの見分け方・パスワード管理・不審なアクセスへの対処など、基礎的な知識を持ちながら業務を行える従業員を指します。セキュリティインシデントの起因を分析すると、技術的な突破よりも人的ミスや設定ミスが入り口になっているケースが依然として多く存在します。
専門家を1人採用するよりも、組織全員のリテラシーを一段階引き上げるほうが、インシデントの発生頻度を下げる効果が高い場合もあります。両方を並行して進めることが理想ですが、リソースが限られる中小企業では、まず「組織全体のリテラシー向上」に投資するという優先順位もあり得ます。
採用で機能している3つのアプローチ
他領域エンジニアからのキャリアチェンジを前提にした採用
即戦力のセキュリティエンジニアの争奪戦に参加するだけでは採用が難しいのが現実です。近年注目されているのが、Webエンジニアやインフラエンジニアをベースにセキュリティ人材として育成するルートです。
インフラエンジニアはネットワーク構成やサーバー管理の知識があるため、セキュリティエンジニアへの転換が比較的スムーズです。特にファイアウォール設定・VPN管理・ログ分析などは、インフラ経験があれば入口として入りやすい領域です。Webエンジニアの場合はWebアプリケーション脆弱性（SQLインジェクション・XSSなど）に関する実践的な理解が活かせます。
採用の際に「即セキュリティエンジニアとして稼働できる人」ではなく、「インフラ・Web経験があり、セキュリティ志向がある人」を対象にすることで、採用母集団は大きく広がります。ポイントは、入社後のキャリアパスを面接段階で明示することです。「入社から1年間はセキュリティ基礎研修と並行してインフラ業務を担当し、2年目以降は脆弱性診断の実務に入る」といった具体的なロードマップを示せる企業は、キャリアチェンジ希望者から選ばれやすくなります。
副業・兼業人材の活用
セキュリティ人材不足の解消策のひとつとして、本業が別にある副業・兼業人材の活用が増えています。週10〜20時間程度のアドバイザリー契約や、スポット的なリスクアセスメント依頼から始める企業も多く見られます。
特に、セキュリティ経験豊富なフリーランスや、大手企業のセキュリティ部門でキャリアを積んだ人材が副業として関わるケースは、知識移転の観点からも有効です。フルタイム採用が難しい段階でも、組織のセキュリティ水準を底上げするきっかけになり得ます。副業人材に「現状のセキュリティ体制の診断と改善提案」を依頼し、その結果を社内育成の設計に活かすという使い方は、コスト効率が高い手法のひとつです。
採用要件の再定義
「CISSP保有・経験5年以上・英語力不問」のような要件設定が採用難を加速させているケースも少なくありません。本当に必要なスキルと、あると望ましいスキルを峻別し、採用ハードルを戦略的に下げることが重要です。
たとえば「ログ分析ができる」「AWS Securityの基礎知識がある」「情報セキュリティマネジメント試験合格レベルの知識がある」など、測定可能な要件に分解することで、転職市場の実態に即した採用が可能になります。要件を分解するもうひとつのメリットは、採用面接での評価精度が上がることです。「経験5年以上」という曖昧な要件では何を見ればよいか迷いますが、「SIEMツールを使ったログ分析の実務経験がある」という要件であれば、具体的に何を確認すべきかが明確になります。
育成で押さえておくべき現実的なポイント
社内育成は「時間軸」を設計することから始める
育成の最大の課題は時間です。セキュリティエンジニアとして独り立ちできるまでには、概ね2〜3年の実務経験が必要とされます。その期間のコストを投資として許容できる体制と、途中で転職されるリスクへの心理的な準備が必要です。
育成プログラムを設計する際には、「半年後に何ができる状態にするか」「1年後に担える業務は何か」という具体的なマイルストーンを設けることが重要です。ゴールが曖昧なままでは、本人のモチベーション維持も難しくなります。マイルストーンを設定する際は、資格取得のような外部評価と、「社内の脆弱性スキャンを単独で実施できる」といった業務能力の両方を含めるとバランスが取れます。
外部研修の選び方：「受けて終わり」にしない工夫
IPAが提供する「情報セキュリティ10大脅威」などの公開資料や、CISAが配布する無償トレーニングリソースは、基礎学習の起点として有効です。実践的なスキルには、CTF（Capture The Flag）形式の演習プラットフォームや、SANS Instituteのコースが参照されます。国内では情報処理推進機構（IPA）が主催するセキュリティキャンプや、各種ベンダーが提供するハンズオン研修も選択肢です。
ただし、研修の受講で「育成完了」と見なす落とし穴には注意が必要です。知識の習得と実務での応用は別物であり、インシデント対応演習や模擬ペネトレーションテストのような「実戦形式の学習機会」をセットで提供することが、スキルの定着には効果的です。研修後に「学んだことを実際に試せる場」を社内で設けることが、研修投資の回収率を大きく左右します。
人材育成制度の構築：見落としがちな「評価・処遇設計」
育成に力を入れても、スキルが上がった人材を適切に評価・処遇する仕組みがなければ離職につながります。セキュリティ資格取得への報奨金制度、取得後の給与改定ルール、キャリアパスの可視化。これらをセットで整備することで、育成への投資が人材定着にもつながります。
多くの企業でセキュリティ人材の「評価軸」が曖昧なままであることが、育成投資を無駄にする一因です。「何ができたら次のステップに進めるか」を言語化することが、育成制度の実効性を高める第一歩です。評価基準を明文化することは、本人のキャリア設計を支援するだけでなく、「この会社でスキルアップできる」という安心感を生み、採用の訴求にも使えます。
外部活用（委託・MSSP）の選択基準
外部委託が有効な業務と、そうでない業務
セキュリティ業務のすべてを内製で賄う必要はありません。ただし、何でも外部に出せばいいわけでもなく、業務の性質によって内製・外部の切り分けを意識することが重要です。
外部委託と親和性が高いのは、24時間365日のSOC監視・脆弱性診断・インシデント発生時のフォレンジック対応などです。これらは専門的な機器・人員・知識を常時保持する必要があり、中堅以下の企業が単独で整備するにはコストが見合わないことが多いです。特にSOC監視は24時間の人員確保が前提になるため、自前で構築すると相応の固定費が発生します。
一方で、自社のリスクアセスメント・セキュリティポリシーの策定・従業員向けの教育設計などは、自社の事業文脈を理解していなければ実効性が低下します。社内に意思決定できる人材を置きながら、実行機能を外部に任せるという役割分担が現実的です。外部委託先との窓口になり、提案内容を評価できる「セキュリティ担当者」を社内に1人は置いておくことが、委託を機能させる前提条件になります。
MSSPを選ぶ際に確認すべきこと
MSSP（Managed Security Service Provider）の選定では、提供サービスの技術水準だけでなく、以下の点を確認しておくことが有効です。
インシデント発生時の対応SLA（初動報告までの時間・エスカレーション先の明確さ・報告書のフォーマット）、国内法規制への対応実績（個人情報保護法・サイバーセキュリティ基本法・業界ごとのガイドライン）、担当エンジニアが入れ替わる際の引き継ぎ体制。これらを契約前に確認しておくことで、委託後の「思っていたのと違う」を防げます。
また、契約形態も重要な検討点です。月額固定のサブスクリプション型か、インシデント発生時のスポット対応型かによって、コスト構造と安心感は大きく異なります。インシデントが起きてから慌てて依頼先を探すのでは遅いため、平常時から関係を構築しておくことに意味があります。MM総研の調査では、国内のサイバーセキュリティベンダーとして利用率・評判ともにNECが首位という結果が出ていますが、自社の規模・業界・課題に合ったベンダー選定が優先です。
AIはセキュリティ人材不足の解決策になるか
2025年前後から、セキュリティ領域でのAI活用が急速に広がっています。MM総研の調査によると、すでに24%の企業がセキュリティ対策にAIを導入しており、準備・検討中も含めると77%に達します。
AIが有効に機能しているのは、大量のログデータから異常なパターンを検出する作業や、既知の脆弱性情報とシステム構成を照合するプロセスです。人間では処理しきれない量のデータを継続的に監視できる点は、セキュリティ運用の効率化において確かに有効です。SOCアナリストが1日に目視確認できるアラートの件数には限界がありますが、AIを補助的に使うことで優先度の高い事象に集中できるようになります。
ただし、AIは「判断の代替」にはなりません。検知した異常が本当の脅威かどうか、どう対処するかを判断できる人間がいなければ、AIのアラートは「ノイズ」になります。AIを導入することでアラートの総数が増加し、かえって対応コストが膨らんだという事例も実際に起きています。AIの精度向上と並行して、「どのアラートを優先するか」を判断できる人材の育成が不可欠です。
ISC2の2025年版調査でも、AIが新たな競争力の鍵になると同時に、AIを使いこなすスキルを持つ人材の確保競争が生じていることが示されています。セキュリティ文脈でのAI活用は「優秀なアシスタント」として位置づけるのが現実的です。人材育成とAI活用を組み合わせ、少ない人数でより広い範囲をカバーできる体制を作ることが、現状では最も実効性の高いアプローチといえます。
セキュリティ人材不足を放置するリスク
この課題を後回しにしたときに何が起きるかを整理しておきます。
インシデントが発生した際の被害は、金銭的な損失にとどまりません。顧客情報の漏洩が発覚した際の信頼失墜、復旧までの業務停止、その後の監査対応コストなど、有形無形の損害が積み重なります。ランサムウェア被害の場合、暗号化されたシステムの復旧に数週間から数カ月を要するケースも報告されており、その間の機会損失は算定が難しいほど大きくなることがあります。
さらに、サプライチェーンにおけるセキュリティ要件の厳格化が着実に進んでいます。取引先から「セキュリティ診断の実施証明」や「情報セキュリティポリシーの提出」を求められるケースが増えており、対応できない中小企業が大手との取引機会を失うという事態も現実に起きています。経済産業省が策定した「サイバーセキュリティ経営ガイドライン」では、大企業が取引先のセキュリティ対策状況を確認することを推奨しており、今後この流れはさらに強まると見られます。
加えて、個人情報保護法の2022年改正によって、個人情報漏洩時の報告義務と本人通知が義務化されました。法的な対応コストや報告窓口の整備という観点でも、最低限の体制整備は経営リスクの観点から避けられません。
人材不足はすぐに解消できる課題ではありませんが、「何もできていない」から「一部でも動ける状態」への移行は、今日から着手できます。まず1人でもセキュリティを主担当として任命し、外部研修や副業人材の活用を組み合わせながら体制を少しずつ積み上げていくことが、現実的な第一歩です。
まとめ
セキュリティ人材不足の背景には、育成コストの高さ・採用競争の激化・組織的な投資不足・日本特有の内製主義など、複数の構造的要因が絡み合っています。「採用が難しい」という表面的な課題の奥には、そもそも育成の仕組みがない・評価制度が整っていない・外部活用を検討したことがないという根本的な課題が潜んでいることが多いです。
対処のアプローチは一つではありません。即戦力採用が難しければ他領域からのキャリアチェンジ人材を育成する、社内育成が難しければ外部委託と役割分担する、人員が限られるならAIで効率化するという複数の手段を状況に応じて組み合わせることが現実的です。どれか一つを選ぶのではなく、自社の規模・フェーズ・予算に合わせて優先順位を付けて動くことが重要です。
重要なのは「セキュリティを特定の担当者だけの問題」と捉えず、経営課題として意思決定の俎上に乗せることです。人材育成への投資、外部ベンダーとの関係構築、AIツールの導入判断。いずれも経営レベルでの意思決定なしには前進しません。セキュリティ担当者が1人で奮闘しているうちは、組織全体の水準は上がりません。
自社のセキュリティ人材課題をどこから手をつければよいか迷っている場合は、まず現状の体制・課題・優先度を棚卸しするところから始めることをおすすめします。専門的なアドバイスが必要な段階であれば、IPAのセキュリティ相談窓口や、セキュリティ支援を専門とする各社へのご相談が具体的な一歩になります。
