年収・報酬

守る人の値段が違う。セキュリティ職の報酬が日米で開く、構造的な理由

セキュリティ職の報酬が海外で高い、という話はよく聞きます。ただ「海外は高い」で終わると、為替と物価の話に回収されて終わってしまう。この記事では公的統計と公開データを並べたうえで、差がどこで生まれているのかを、職責の置かれ方・市場の作り・スキルの値付けに分けて見ます。読む側が自分の市場価値を考えるときの座標にできる形を目指します。

まず数字を並べる

米国労働統計局（BLS）の職業ハンドブックから、Information Security Analysts の数値です。

• 賃金中央値／年129,180ドル（2025年5月時点）／時給62.11ドル
• 就業者数／192,900人（2025年）
• 雇用の伸び／2025〜2035年で21%。全職種平均は3%
• 年間の求人見込み／約14,100件（10年間の年平均）

日本側で対応する公的統計は、厚生労働省の職業情報提供サイト（job tag）です。「セキュリティエキスパート（情報セキュリティ監査）」の賃金は583.3万円、平均年齢41.7歳、労働時間158時間。令和7年賃金構造基本統計調査を加工した値とされています。

上振れ側も見ておきます。Levels.fyi に登録されたAmazon の Security Engineer（米国）の中央値総報酬は335,000ドル、レベル別の平均はL4で189,000ドル、L7で488,000ドル。ただし申告ベースで63件と母数が小さく、大手テック企業に偏ったデータである点は割り引く必要があります。

BLSとjob tagは調査設計も職種定義も異なり、単純な引き算はできません。それでも「中央値12.9万ドル」と「583.3万円」が同じ桁の議論でないことは、前提の違いを考慮しても残ります。

理由1：職責が役員の側に置かれている

米国でセキュリティの最終責任は、多くの場合CISOという名前のついた役職にあります。名前がついているということは、職務記述書があり、評価基準があり、交代の手続きがあるということです。

その重さは報酬だけでなく法的責任にも及びます。米国証券取引委員会（SEC）は2023年、SolarWindsと同社CISO個人を提訴しました（この訴訟は2025年11月20日に再訴不可で全面取下げとなっています）。元Uber CSOについては、インシデントをめぐる司法妨害などで有罪が確定しています。いずれも「組織の問題」で済ませなかった点が共通しています。

日本では、セキュリティの責任が情報システム部門長やCIOの兼務に収まることが多く、専任の役職として切り出されていないケースが珍しくありません。兼務のポストに、専任の値段はつきません。報酬差の第一の要因は、スキルではなくポストの切り出し方です。

理由2：需要の伸び方が違う

BLSの21%という伸びは、全職種平均3%の7倍です。これは「人気がある」という話ではなく、供給が追いつかない状態が10年続く前提で推計されているということです。

供給側の実感は、ISC2が2025年7〜8月に16,029名を対象に実施したCybersecurity Workforce Study に表れています。

• スキル不足が重大または深刻／59%。2024年の44%から悪化
• 何らかのスキル不足がある／95%
• 適切な人員配置ができている／34%。人員に余剰があるのは4%
• 人材を見つけられない／30%／予算不足で採用できない29%
• スキル不足による影響を経験／88%（複数経験は69%）

注目したいのは、同じ調査で予算削減36%・採用凍結39%が同時に報告されている点です。需要は増えているのに採用枠は絞られている。この状態では、採る1人に対する要求水準が上がり、条件を満たす少数の人材に報酬が集中します。平均ではなく分布の上側が伸びる形の需給です。

理由3：スキルの中身が入れ替わっている

同調査で「最も必要とされるスキル」として挙がったのは、AI（41%）、クラウドセキュリティ（36%）、リスク評価（29%）でした。従来のネットワーク防御や資格の有無ではなく、新しい攻撃面に対応できるかが値付けの軸になっています。

AI関連では、過去1年に経験した攻撃としてAIを用いたソーシャルエンジニアリング40%、データ漏えい25%、AIを使ったとみられる攻撃23%が報告されています。一方でAI関連の資格を取得済みの回答者は17%、取得予定が53%。需要と供給のズレがそのまま報酬のプレミアムになる領域です。

73%がAIによって専門的スキルの需要が増えると考え、72%が戦略的な思考力の需要が増えると考えています。AIで仕事が減る側ではなく、AIが増やした攻撃面を引き受ける側として認識されている。ここが報酬の下支えになっています。

日本側で何が起きるか

2026年10月のGMO「お名前.com デスクトップクラウド」への不正アクセスは、この議論に国内の具体例を与えました。社内のホワイトハッカーが事前に改善課題を指摘していたこと、それでも「サービス影響」と「他の対処事項との優先順位」を考慮した結果、対応の深さと速さが十分でなかったことが、同社代表の説明として公表されています。

この構図が繰り返されるかぎり、セキュリティ職は指摘を出す役にとどまり、止める権限を持つ役にはなりません。権限のないポストに専任の値段はつかない、というのが理由1の裏返しです。

逆に言えば、国内の報酬が動くとしたら起点は技術ではなく権限です。インシデント報告義務の法制化、取引先からのセキュリティ要件、海外市場向け製品に課される規制——いずれも外から期限を持ち込む仕組みで、これが入るとセキュリティ部門は「比較される投資」から外れます。

個人として何を積むか

データから逆算すると、値段のつきやすい積み方は次の4つです。

1. クラウドの構成を読めること。36%が挙げた領域で、かつ事故の多くが設定と権限設計に起因している
2. AIを前提にした攻撃と防御。41%が挙げた一方、資格保有は17%。供給が薄い時期に入っておくほど効く
3. インシデント対応の実務経験。検知から封じ込め、外部への説明までを一度通した経験は、資格では代替されない
4. リスクを金額と期限に翻訳する力。29%が挙げたリスク評価の実務は、技術職が役員の側へ移るときの共通言語になる

4つとも、海外で評価が高い理由と対応しています。つまり日本にいながら積める内容であり、報酬差は能力差ではなく、職責の置かれ方の差だという最初の論点に戻ります。

責任の重さが、報酬の一部になっている

米国でCISOの報酬が高い理由のひとつは、法的リスクを個人が引き受けているからです。ただし、この点はよく誤解されているので、2026年10月時点の事実関係を正確に置いておきます。

• SEC v. SolarWinds／2023年10月30日、SECが同社とCISO個人を提訴。2024年7月18日の一部却下判決で請求の大半が削られ、2025年11月20日に再訴不可（with prejudice）で全面取下げ。制裁金も差止命令も役員就任禁止もない
• 元Uber CSO Joe Sullivan／2016年の侵害で、Uberがハッカーに10万ドル相当のビットコインを支払い、これをバグバウンティとして処理。FTCの調査中に報告しなかった。有罪となったのは司法妨害（18 U.S.C. §1505）と重罪不告知（同§4）の2件。2023年5月に保護観察3年・社会奉仕200時間・罰金5万ドル。2026年6月29日の上告不受理で確定
• FTC v. Drizly（2022年10月）／FTCが同社とCEO個人を対象に措置。命令はCEO個人に追随し、今後25,000人以上の消費者情報を扱う事業の上級役職者となった場合にセキュリティプログラムの実装義務を負う

整理すると、刑事責任が確定したのはSullivan氏のみで、しかも罪状は「対策の不備」ではなく「隠蔽」です。侵害を起こしたことではなく、起こった後の振る舞いが問われました。

それでもこの構造は報酬に効きます。個人の名前で判断し、個人の名前で責任を負う職であれば、その職は専任で切り出さざるを得ない。兼務ポストに同じ責任は負わせられないからです。

SECのサイバーセキュリティ開示規則（重要と判断した日から4営業日以内のForm 8-K提出）は、業界団体からの撤廃要求が続いているものの、2026年10月時点では有効なままです。

兼務ポストに、専任の値段はつかない

日本側の構造を、もう少し具体的に見ます。

IPAが公表している情報処理安全確保支援士の登録者は26,453名（2026年4月1日時点）、平均年齢44.3歳。業種別では情報処理・提供サービス業が36.2%、ソフトウェア業が22.7%で、両者で約6割を占めます。製造業は9.2%。地域別では関東が69.1%です。

ここから読み取れるのは、セキュリティ人材がIT企業側に偏在しているということです。事業会社の側、とりわけ製造業や地方の基幹インフラ事業者には薄い。

そして需要側の事情が重なります。2026年10月1日に一部施行されたサイバー対処能力強化法でインシデント報告義務を負うのは、電気48、金融64、港湾32、ガス25、水道23、石油18、電気通信10——といった基幹インフラ15分野の約258事業者です。支援士の分布とは、きれいにずれています。

この種のずれは、本来なら報酬の上昇につながります。ただし、そのためにはポストが存在している必要がある。兼務のまま仕事だけが増える形になると、市場価格は動かず、担当者の負荷だけが上がります。

個人として、何を交渉材料にするか

構造の話を、個人の行動に落とします。報酬が職責の置かれ方で決まるなら、交渉すべきは金額より先に職責の定義です。

1. 止める権限の範囲を文書にする。「どういう条件なら、自分の判断でリリースを止められるか」。これが書けていない組織では、指摘を出す役にしかなれない
2. 報告ラインを確認する。誰に、どの頻度で報告するか。Drizlyの命令でも、年1回以上の取締役会・経営陣への報告が最低要件に入っている
3. インシデント時の決裁者を事前に決めておく。支払いの可否、公表の判断、下流への連絡。これらを事故の最中に決めようとする組織では、担当者が実質的な決裁者になりながら、権限だけがない状態になる
4. 規制対応を担当範囲に入れる。法定の報告義務、取引先のセキュリティ要件、製品規制。これらは外から期限が来るため、社内の優先順位争いに巻き込まれにくい

4つとも、面談の場で確認できる内容です。そして答えられない組織は、セキュリティをまだ投資領域として扱っている。報酬水準は、たいていその扱い方に追随します。

出典

• U.S. Bureau of Labor Statistics／Occupational Outlook Handbook: Information Security Analysts／中央値129,180ドル（2025年5月）、192,900人、2025〜35年21%、年約14,100件
• 厚生労働省 職業情報提供サイト（job tag）／セキュリティエキスパート（情報セキュリティ監査）／583.3万円、平均年齢41.7歳、労働時間158時間（令和7年賃金構造基本統計調査を加工）
• Levels.fyi（2026年9月15日更新）／Amazon Security Engineer salaries（米国）／中央値総報酬335,000ドル、L4 189,000〜L7 488,000ドル、申告63件
• ISC2／2025 ISC2 Cybersecurity Workforce Study／有効回答16,029名、スキル不足59%、人員配置34%、必要スキルAI 41%・クラウド36%・リスク評価29%ほか
• ASCII.jp（週刊アスキー）／GMO熊谷代表、不正アクセスで謝罪 事前に弱点指摘も防げず
• IPA／情報処理安全確保支援士登録者について（2026年4月1日時点）／26,453名、平均44.3歳、業種別・地域別の内訳
• U.S. SEC／Litigation Release No. 26423, SEC v. SolarWinds Corp. and Timothy G. Brown（2025年11月20日）
• U.S. Court of Appeals for the Ninth Circuit / SCOTUSblog／United States v. Sullivan, No. 23-927／Sullivan v. United States (25-1082)／2026年6月29日 上告受理申立て却下
• Akin Gump／FTC Takes Rare Step in Bringing an Enforcement Action Against Drizly and Its CEO
• 内閣官房 国家サイバー統括室ほか／サイバー対処能力強化法の施行関係資料／対象事業者258者・15分野

本記事は2026年10月27日時点で公開されている情報に基づいています。Levels.fyiは利用者の自己申告データで、母数が小さく企業の偏りがあります。BLSとjob tagは調査設計が異なるため、金額の直接比較はできません。