転職・求人

資格の次に何を積むか。2026年の需給データから、セキュリティのキャリアを逆算する

セキュリティのキャリア記事は、だいたい資格の一覧で終わります。ただ、資格の数と市場価値が一致しないことは、この分野にいる人ほど知っている。この記事では公的統計と調査データを並べて、需要があるのに供給が薄い場所を特定します。そこが、積むと効く場所です。

日本側の供給：26,453名、平均44.3歳

IPAが公表している情報処理安全確保支援士（登録セキスペ）の数字です（2026年4月1日時点）。

• 登録者総数／26,453名
• 平均年齢／44.3歳
• 年代別／20代8.4%／30代23.7%／40代35.5%／50代26.1%／60代6.0%
• 地域／関東69.1%／近畿11.4%／中部・東海8.9%／九州・沖縄4.0%
• 業種／情報処理・提供サービス業36.2%／ソフトウェア業22.7%／製造業9.2%
• 新規登録／2026年4月1日付で1,859名

読み取れるのは3点です。40代以上が67.6%で、20代は8.4%しかいない。関東に7割が集中している。そして情報処理・ソフトウェア業で6割近くを占め、製造業は9.2%にとどまる。

最後の点は、見方を変えると空席です。2026年10月1日に一部施行されたサイバー対処能力強化法でインシデント報告義務を負うのは、電気・ガス・水道・鉄道・港湾・航空といった基幹インフラ15分野の約258事業者。支援士の分布とは重なっていません。

需要と供給がずれている場所

ISC2が2025年に16,029名を対象に実施した調査から、需要側の数字です。

• 最も必要とされるスキル／AI 41%／クラウドセキュリティ36%／リスク評価29%
• AI関連の資格を取得済み／17%（取得予定53%）
• スキル不足が重大または深刻／59%（2024年は44%）
• 何らかのスキル不足がある／95%
• 適切な人員配置ができている／34%

需要41%に対して供給17%。AIは、この分野で最もはっきりしたギャップです。しかも53%が「取得予定」と答えている以上、この差が開いたままでいる期間は長くありません。

一方で注意も要ります。同じ調査で予算削減36%・採用凍結39%・昇進凍結34%が報告されている。需要があることと、採用枠があることは別です。枠が絞られた市場では、要求水準が上がる。「足りない」は「誰でも入れる」を意味しません。

米国の数字を座標として使う

• 賃金中央値／年129,180ドル（2025年5月、BLS）
• 就業者数／192,900人
• 雇用の伸び／2025〜2035年で21%。全職種平均は3%
• 年間の求人見込み／約14,100件

日本の公的統計では、厚生労働省job tagの「セキュリティエキスパート（情報セキュリティ監査）」が583.3万円、平均年齢41.7歳。調査設計が違うため直接比較はできませんが、桁の違いは残ります。

ここで効くのは金額そのものより、21%という伸びが10年続く前提で推計されているという事実です。供給が追いつかない状態が構造的に続くと見込まれている分野に、いま入っておくかどうか——その判断材料として使えます。

40代以上が67.6%という意味

支援士の年代構成をもう一度見ます。20代8.4%、30代23.7%、40代35.5%、50代26.1%、60代6.0%。40代以上で67.6%です。

この分布は、2つのことを同時に意味します。

1. 若手にとっては空いている。20代が8.4%しかいない領域で、同世代との競合は他のIT職種に比べて明らかに少ない
2. ただし入口が分かりにくい。8.4%という数字は、若手が入りにくい構造があることの裏返しでもある

入りにくさの正体は、この分野が既存システムの理解を前提にしていることです。守る対象を知らないと、何が異常かが分からない。だから開発・運用の経験を積んでから移る人が多く、結果として年齢構成が上にずれる。

ISC2の調査でも、セキュリティ分野への主な参入経路はIT業務経験が56%とされています。セキュリティから始めるのではなく、ITをやってからセキュリティに移るのが主流ということです。

裏を返せば、いま開発や運用をやっている人にとって、この分野は職種転換ではなく領域の追加として入れます。ゼロからの学び直しではない。

関東69.1%という偏り

地域別の内訳は、関東18,279名（69.1%）、近畿3,013名（11.4%）、中部・東海2,343名（8.9%）、九州・沖縄1,060名（4.0%）、東北607名（2.3%）、中国549名（2.1%）、北海道328名（1.2%）、四国266名（1.0%）。

ここに、法定の報告義務を負う事業者の分布を重ねると、構造的なミスマッチが見えます。基幹インフラ15分野の約258事業者には、電気48、ガス25、水道23、鉄道5、港湾32、空港6といった地域に根ざした事業者が多数含まれます。

義務は全国の事業者に発生するが、人材は7割が関東にいる。この差は、次の形で現れます。

• リモートでの関与／常駐を前提にしない働き方が、地方の案件では現実的な選択肢になる
• スポットの需要／資産の棚卸し、報告体制の設計、訓練の実施など、常時ではなく期間限定で必要になる仕事が増える
• 単価／供給が薄い地域では、同じ内容でも条件が良くなる可能性がある

首都圏で同じ内容の仕事をするより、供給が薄い場所で同じスキルを売るほうが、価格が付きやすい——どの職種でも成り立つ話ですが、セキュリティは偏りが大きいぶん効き方も大きい領域です。

何を積むと効くか

データから逆算すると、優先順位は次のようになります。

1. AIを前提とした攻撃と防御。需要41%・供給17%。過去1年にAIを用いたソーシャルエンジニアリングを経験した回答は40%。資格を待たずに手で触っておくほうが早い
2. クラウドの構成と権限設計。需要36%。マルチテナントの分離、セッションの失効、委託先アカウントの権限範囲。事故の説明を求められるのは、たいていこの3点
3. インシデント対応を一度通した経験。検知・封じ込め・下流への連絡・外部説明・証拠保全。資格では代替できず、かつ経験者が増えにくい
4. リスクを金額と期限に翻訳する力。需要29%。技術職が意思決定の側へ移るときの共通言語
5. 規制対応の読解。EU CRAは2026年9月11日から報告義務が適用開始。国内はサイバー対処能力強化法。「いつまでに何を出すか」を条文から読める人は、まだ少ない

1から5へ進むほど、技術から離れて見えます。ただし報酬が伸びるのは後半です。この分野で値段がつくのは、手を動かせる人が、止める判断まで持てるようになったときだからです。

国内で評価が変わるとしたら、何が起点か

セキュリティの報酬が国内で動く条件は、技術ではなく権限と期限です。

2026年10月のGMOの事案では、社内のホワイトハッカーが事前に改善課題を指摘していたにもかかわらず、サービス影響と他の対処事項との優先順位を考慮した結果、対応の深さと速さが十分でなかったと同社代表が説明しています。指摘を出す権限はあっても、止める権限はなかったという構図です。

これを変えるのは、外から持ち込まれる期限です。

• 法定の報告義務／サイバー対処能力強化法。報告を行わず是正命令にも従わない場合は200万円以下の罰金
• 取引先からの要件／金融庁は2026年10月9日の注意喚起で、サードパーティリスク管理を含む点検を求めた
• 製品規制／EU CRAは悪用されている脆弱性を認識から24時間以内に早期警告。制裁金は最大1,500万ユーロまたは全世界売上高2.5%
• 調達要件／半導体では、TSMCが2023年にSEMI E187をウェハfabの調達契約の要件とした

4つとも、セキュリティを「投資として比較されるもの」から「満たさないと取引できないもの」へ移す仕組みです。この移行が進むほど、担当者のポストは専任に切り出され、報酬はそれに追随します。

続けられるかどうか、という論点

キャリアの話では報酬とスキルが中心になりますが、この分野では持続可能性も無視できません。ISC2の調査から、働き方に関する数字です。

• 現在の職務に満足／68%（前年比+2%）。「非常に満足」は30%
• 仕事に情熱を感じている／80%
• 今後もこの分野でキャリアを続ける予定／78%
• 現在の組織に12か月間とどまる予定／75%（2年間では66%）
• 分野の将来に自信がある／81%
• 疲弊を感じる／48%
• 業務量に圧倒されると感じる／47%

満足度と情熱は高い。一方で約半数が疲弊と業務量の過多を感じている。この2つが同居しているのが、この分野の特徴です。

満足度の内訳も示唆的です。チーム78%、直属の上司73%、組織71%、組織のリーダーシップ63%と、上に行くほど下がります。現場は機能しているが、経営の判断に納得していない——という構図が読み取れます。

GMOの事案で説明された「サービス影響と他の対処事項との優先順位を考慮した結果、対応の深さと速さが十分ではなかった」という状況は、まさにこの63%の不満が生まれる場所です。指摘を出した側から見れば、正しいことを言ったのに動かなかった、という経験になります。

キャリアを考えるうえでの含意は、前節と同じところに戻ります。止める権限が設計されている組織かどうか。これは報酬だけでなく、何年続けられるかにも効いてきます。

出典

• IPA／情報処理安全確保支援士登録者について（2026年4月1日時点）／26,453名、平均44.3歳、年代別・地域別・業種別
• ISC2／2025 ISC2 Cybersecurity Workforce Study／有効回答16,029名、必要スキル、AI資格保有率、予算・人員の状況
• U.S. Bureau of Labor Statistics／Occupational Outlook Handbook: Information Security Analysts
• 厚生労働省 職業情報提供サイト（job tag）／セキュリティエキスパート（情報セキュリティ監査）
• 内閣官房 国家サイバー統括室ほか／サイバー対処能力強化法の施行関係資料
• 金融庁／現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について（令和8年10月9日）
• ASCII.jp（週刊アスキー）／GMO熊谷代表、不正アクセスで謝罪 事前に弱点指摘も防げず
• SEMI Standards Watch／How SEMI E187 and E188 Standards Elevate Cybersecurity（2024年3月7日）
• 欧州委員会／Cyber Resilience Act implementation factpage

本記事は2026年10月27日時点で公開されている情報に基づいています。BLSとjob tagは調査設計が異なるため、金額の直接比較はできません。