セキュリティエンジニアのキャリアパス（求人の経験年数と業務）

セキュリティエンジニアのキャリアパスを求人の記載から見ると、経験5年以上を求める求人は、3〜4年を求める求人に比べて、セキュリティコンサルティングとリスクアセスメントを挙げる割合が高いです。セキュリティの求人449件（168社、2026年9月27日時点）では、セキュリティコンサルティングを挙げる求人が、経験3〜4年を求める82件中10件（12%）、5年以上を求める84件中27件（32%）です。リスクアセスメントを挙げる求人は、82件中19件（23%）と84件中36件（43%）です。

セキュリティエンジニアのキャリアパスとは

セキュリティエンジニアのキャリアパスは、セキュリティの仕事を続けた先で担う役割と業務の方向です。表に示す方向は、管理職・CISO、技術の専門職、セキュリティコンサルタント・情報セキュリティ監査、独立・フリーランスの4つと、セキュリティへの経路の1つです。

セキュリティエンジニアの定義と仕事内容

IPAのデジタルスキル標準（DSS-P）分冊版 サイバーセキュリティ編 ver.2.0（2026年4月）は、サイバーセキュリティ類型を「業務プロセスを支えるデジタル環境におけるサイバーセキュリティリスクの影響を抑制する対策を担う役割」と定義しています（p.34）。ロールは「現在活躍されている人材のキャリアをもとに、「マネジメント系」と「テクノロジー系」の２つのロールとして整理した」とあり、マネジメント系が「サイバーセキュリティマネージャー」、テクノロジー系が「サイバーセキュリティエンジニア」です（p.36）。

「サイバーセキュリティエンジニア」は、「DX推進に伴うサイバーセキュリティ対策の導入・運用・保守等を主として担当するロールとして定義。DX推進企業におけるIT部門の担当者の兼務による対応も想定する。ロール名は現在サイバーセキュリティ分野の求人票において多用されている。」と説明されています（p.36）。

同標準がサイバーセキュリティエンジニアの主な業務として挙げるのは、次の4項目です（p.39）。

• デジタル関連リスクの影響を抑制するための技術的管理策に対応するセキュリティ対策製品やサービスの導入・実装を行う
• セキュリティ対策製品・サービスの運用及び保守を行う
• デジタル活用におけるシステム、サービス、設定等のサイバーセキュリティに関わる変更管理を行う
• デジタル活用におけるパフォーマンス評価、脆弱性対応管理を行う

同標準は、この類型を担う役割には「セキュリティ対策に特化した高度な専門性を有する役割よりも、他業務との兼務でDX推進におけるサイバーセキュリティ対策も担う役割が多く含まれるものと想定される」と書いています（p.35）。

厚生労働省の職業情報提供サイト（job tag）のセキュリティエキスパート（オペレーション）は、仕事を「情報システムや情報ネットワークを常に監視し、攻撃や不正なアクセスから守り、攻撃等に対応する。」と説明しています。続けて、「情報セキュリティ関係の仕事としては様々なものがある。セキュリティの面で強固な情報システムを企画・設計したり、不正アクセス等を検知し防衛するシステムを設計、実装したり、セキュリティ上問題がないか監査したり（セキュリティ監査）、情報システムの脆弱性の診断をしたり（脆弱性診断）、攻撃による事故等が発生したときに痕跡や原因を調べたり（デジタルフォレンジック）、システム導入後、セキュリティ面で監視し安全に運用する仕事などである。」としています。職業別名は、情報セキュリティ技術者、セキュリティアナリスト、セキュリティエンジニア（オペレーション）です。

国のサイバーセキュリティ人材フレームワークの役割とレベル

内閣官房 国家サイバー統括室（NCO）のサイバーセキュリティ人材フレームワーク2026（令和8年4月）は、「サイバーセキュリティを担う人材について、職種別の役割と、それぞれに求められるタスク・知識・スキルを体系的に整理するとともに、能力等に応じたレベルを設定し、官民共通のフレームワークとして設定するもの」です（p.2）。位置づけは、一律の履行を求めるものではない「指針」です（p.3）。

フレームワークは「技術的側面に限らず、サイバーセキュリティ業務にかかわる13の役割を定義」しています（p.4）。①意思決定・戦略策定、②戦略推進・プロジェクト管理、③監視、④対処、⑤情報収集・分析・共有、⑥脆弱性評価、⑦フォレンジック、⑧運用管理、⑨教育・訓練、⑩法務、⑪監査、⑫設計開発、⑬研究の13です。

レベルは「ITSSのレベルと相互参照を図りながら、４段階のレベルを設定」しており、レベル3と4はMとEに分かれます（p.5）。NCOの資料1（令和8年9月7日）は、これを「マネジメント（M）、エキスパート（E）のキャリアパスも考慮した４段階のレベル」と説明しています（p.4）。各レベルの条件は「下記3点のうち2点以上を満たす者」で、次の表は各レベルの定義と、3点のうち実務経験に関する項目です。

出典：NCO「サイバーセキュリティ人材フレームワーク2026」p.5。レベル3-Mに年数の記載はありません。年数は実務経験に「相当する」知識・スキルの目安で、求人票の応募条件に書かれた年数とは別のものです。

NCOのサイバーセキュリティ人材フレームワーク 活用の手引き2026 個人（専門人材）向け（令和8年4月3日）は、「例えば、国内の求人情報（公開情報ベース）を参考にすると、レベル3相当とされる求人が多く見受けられます。また、レベル3以上では、マネジメント系・エキスパート系とキャリアが分岐することに伴い、求められるTKSも異なってきます。」と書いています（p.17）。同じページの表「令和７年度に各種求人サイト上のサイバーセキュリティ関係求人で多く見られる役割及びTKSの例」は、NCOが求人サイトを読んだ結果で、AirTAの集計とは別のものです。

セキュリティエンジニアのキャリアパスの主な方向

NCOの活用の手引きは、専門人材のキャリアパスを事例紹介のために4つのパターンに類型化しています（p.18）。

• 現場技術からのマネジメント・エキスパート分岐型：「ITシステム全体を広く「運用管理」する立場としてキャリアを開始させ、マネジメント系、エキスパート系のどちらにキャリアの軸を置くか判断するパターン」
• 監査・ガバナンス専門家型：「キャリアを通じ一貫して、「監査」「法務」に関する専門性を磨いていくキャリアパターン」
• 技術領域のエキスパート深化型：「「設計・開発」を中心とした技術の最前線に身を置き、特定技術の専門性を磨いていくキャリアパターン」
• アカデミアからのエキスパート社会実装型：「「研究」領域から始まり、アカデミアの探究を最終的に社会やビジネスへどのように実装するか模索するキャリアパターン」

同じページには「※上記パターンは、本書でわかりやすく事例紹介をするための類型であり、実際のキャリアパスはより多様なパターンが想定されます。」とあります。

独立・フリーランスの方向を説明している公的機関や業界団体のページは、確認できませんでした。方向の説明は公表元の情報、件数と割合はAirTAが集計した求人票の記載です。システム開発の側から見た経験年数と業務は、ITエンジニアのキャリアパスでソフトウェアエンジニアリングの求人の記載を集計しています。

セキュリティエンジニアの求人が求める経験年数と業務内容

セキュリティエンジニアの求人が求める経験年数は、3年の記載が最も多く、5年が続きます。経験年数は、求人票の応募条件に書かれた年数で、複数ある場合は最も長い年数です。入社後の在籍年数とは別です。

対象は、AirTAが集計した2026年9月27日時点のセキュリティの求人449件（168社）です。このうち集計対象の業務を1つ以上記載した求人は384件、求める経験年数を記載した求人は227件、両方を記載した求人は200件です。

「セキュリティの求人」は、AirTAがセキュリティとセキュリティ運用（SOC・CSIRT）の部門に分類した求人です。クラウドインフラ、情報システム、ソフトウェアエンジニアリング、DevOps・SRE、ITコンサルタント、ITプロジェクトマネージャー、内部監査、リスク管理などの部門に分類された求人は含みません。集計後に別の部門に再分類された3件は除いています。

セキュリティの求人に記載された経験年数

経験年数を記載したセキュリティの求人227件の内訳です。2026年9月27日時点。

経験年数別に求人が記載するセキュリティの業務

各層の件数は、業務内容も記載した200件に限るため、経験年数の表の件数より少なくなります。

出典：AirTA、セキュリティの求人449件（168社）のうち、経験年数と業務内容の両方を記載した200件、2026年9月27日時点。

割合は各層の求人件数に対する割合で、かっこ内はその業務を記載した求人件数と企業数です。割合を示すのは、求人が30件以上かつ企業が5社以上ある層です。2026年9月27日時点。

経験5年以上を求める求人では、セキュリティコンサルティングを挙げる求人が84件中27件（32%）で、3〜4年の82件中10件（12%）より割合が高いです。記載した企業は、3〜4年の層で53社のうち9社、5年以上の層で51社のうち21社です。

リスクアセスメントも、82件中19件（23%）から84件中36件（43%）に割合が上がります。記載した企業は、53社のうち15社から51社のうち23社です。

セキュリティ設計は、82件中14件（17%）から84件中25件（30%）に割合が上がります。記載した企業は、53社のうち12社から51社のうち18社です。セキュリティ運用、セキュリティ戦略・企画、脅威インテリジェンス、チームマネジメントを挙げる求人の割合も、5年以上の層のほうが高いです。

SOC・ログ監視は、82件中16件（20%）と84件中18件（21%）で、2つの層の割合が近いままです。記載した企業は、53社のうち11社と51社のうち15社です。

セキュリティ対策導入は、どの層でも記載する求人が最も多い業務です。

経験年数が長い求人で割合が下がる業務

脆弱性診断・ペネトレーションテストは、経験3〜4年の82件中17件（21%）から、5年以上の84件中11件（13%）に割合が下がります（2026年9月27日時点）。記載した企業は、3〜4年の層で53社のうち16社、5年以上の層で51社のうち9社です。

ID・アクセス管理は、82件中11件（13%）から84件中4件（5%）に割合が下がります。記載した企業は、53社のうち11社から51社のうち4社です。

割合が下がる理由は、求人票からは確認できません。

セキュリティエンジニアの管理職とCISO

厚生労働省のjob tagは、セキュリティエキスパート（オペレーション）について「セキュリティを監視、対応するチームのリーダーとなり（シニアアナリストと呼ぶ会社もある）、マネージャー、管理職から会社の経営層となる人もおり、また、セキュリティの専門家として、システム開発会社やメーカーに転職する人もいる。セキュリティに関するコンサルタントとなる人もいる。」と説明しています。

CISOとセキュリティ統括機能の役割

日本シーサート協議会のCSIRT人材の定義と確保 Ver.2.1（2020年12月11日）は、「経営者」の役割名称を「CISO、CSO、社長など」とし、その業務内容を「セキュリティにかかわる人的、システム的なリソースの手配、インシデント対応も含めたセキュリティ施策の最終判断と責任を持つ。」としています（p.7）。

NCOのサイバーセキュリティ人材フレームワーク2026は、①意思決定・戦略策定の想定役職を「CISO及びその補佐役」とし、「原則として外部委託による対応はできず、自組織にて責任を負うべき人材像である。」と書いています（p.6）。

経済産業省のサイバーセキュリティ体制構築・人材確保の手引き（第2.0版）の付録F（概要版）（2022年6月15日公開）は、「経営者がCISO等に指示すべき10の重要事項」の体制として、経営者、「CISO等の担当幹部・戦略マネジメント層」、「セキュリティ担当、CSIRT等 実務者・技術者層」の3つの層を示しています（p.1）。同概要版は、「組織内でサイバーセキュリティ機能をうまく働かせるには、CISO等の経営層を補佐する「セキュリティ統括機能」（次ページ参照）を設置すべき。」「セキュリティ統括機能には大きく4つの類型があり、自社の状況に合わせて検討する。」とし（p.2）、類型として「独立した組織として設置」「管理部門の１機能として割当」「情シス部門の１機能として割当」「組織横断的な委員会形態で運用」を挙げています（p.3）。

IPAのDSS-P サイバーセキュリティ編は、「サイバーセキュリティマネージャー」を「DX推進に伴うサイバーセキュリティリスクへの対応方針の立案・計画・管理・統制等を主として担当するロールとして定義」しています（p.36）。主な業務には、「新規ビジネスにおけるデジタル活用を通じて生じるサイバーセキュリティ、セーフティ、プライバシー保護に関するリスクを評価する」「サイバーセキュリティリスク抑制のための対策の実施状況の管理や監査を行う」などがあります（p.38）。

NCOの活用の手引きは、令和7年度の求人サイトでレベル3-M相当の求人に多く見られる役割として「意思決定・戦略策定、戦略推進・プロジェクト管理、法務 等」を挙げ、備考に「上流工程経験に加え、マネジメント・PL経験等の企画力も重視。」と書いています（p.17）。

求人票に記載されたセキュリティの業務と次のポジション

チームマネジメントを挙げる求人は、経験3〜4年を求める82件中3件（4%）、5年以上を求める84件中10件（12%）です（2026年9月27日時点）。記載した企業は、3〜4年の層で53社のうち3社、5年以上の層で51社のうち9社です。セキュリティ戦略・企画は、82件中21件（26%）から84件中28件（33%）に割合が上がります。記載した企業は、53社のうち16社から51社のうち23社です。

経験年数の記載の有無を問わず、セキュリティの求人を出している168社のうち、セキュリティ戦略・企画を記載した企業は60社、チームマネジメントは21社、セキュリティPMは14社です（2026年9月27日時点）。

求人票に次のポジションを記載した企業は36社で、マネジメントが29社、スペシャリストが25社、部長・事業責任者クラスが17社、プロジェクトマネジメントが13社です（2026年10月21日時点）。1社が複数を記載する場合があるため、内訳の合計は36社を超えます。

セキュリティエンジニアの専門職（設計・監視・診断など）

専門職の役割と公的な資料が挙げる移り先

NCOのサイバーセキュリティ人材フレームワーク2026が示す想定役職名は、③監視が「SOC責任者、SOCメンバー、セキュリティエンジニア、オペレーター、監視担当 等」（p.8）、⑤情報収集・分析・共有が「サイバーセキュリティアナリスト、脅威インテリジェンスアナリスト、リサーチャー、セキュリティエンジニア 等」（p.10）、⑥脆弱性評価が「脆弱性診断士、脆弱性アナリスト、ペネトレーションテスター、セキュリティエンジニア 等」（p.11）、⑦フォレンジックが「フォレンジックエンジニア、セキュリティエンジニア 等」（p.12）、⑫設計開発が「セキュリティアーキテクト、セキュリティエンジニア、システムエンジニア、テスター 等」（p.17）です。

NCOの活用の手引きは、令和7年度の求人サイトでレベル3-E相当の求人に多く見られる役割として「設計開発、監視、対処（インシデントレスポンス） 等」を挙げ、備考に「クラウド等の最新技術スタック、特定製品知識の深堀りスキルが要求。」と書いています（p.17）。

job tagのセキュリティエキスパート（脆弱性診断）は、「典型的なコースとしては、まず、プロジェクトマネージャ等のもと、診断のガイドラインに沿って、スキャナを使用した自動検査を担当する。」とし、「このような自動検査の経験を積み、手動検査を担当するようになる。」「同業他社間での移動は非常に多い。」と説明しています。セキュリティエキスパート（デジタルフォレンジック）の項では、「新しい仕事ということもあり、社内のキャリアコースは固まっていないが、技術を磨いてチーム内の技術リーダー的な役割を担うようになる者もいれば、グループをまとめるマネジメント的な役割を担う者もいる。または、デジタルフォレンジックの経験を活かし、インシデントハンドラー（インシデント全体を担当する責任者）、EDR分析アナリスト（EDRはEndpoint Detection and Responseであり、ユーザーが利用するパソコン等における不審な動きを検知・分析し、対処する）、セキュリティコンサルタント、セキュリティ関連の講師等になる者もいる。」としています。

ISOG-JのセキュリティオペレーションガイドラインWGとOWASP Japanの共同ワーキンググループ「脆弱性診断士スキルマッププロジェクト」の脆弱性診断士のキャリアデザインガイド（2025年2月）は、「脆弱性診断士の経験を活かして移行しやすいセキュリティ関連の職種」の例として、ペネトレーションテスター、セキュリティ監視／運用エンジニア（SOCアナリスト）、マルウェアアナリスト、フォレンジックエンジニア、インシデントレスポンダー／ハンドラー、脆弱性研究者／エクスプロイト開発者、セキュリティ製品・サービス開発者、セキュリティシステムエンジニア／アーキテクト、スレットハンターを挙げています。

SOCとCSIRTの違いとセキュリティ対応組織

日本ネットワークセキュリティ協会（JNSA）と日本セキュリティオペレーション事業者協議会（ISOG-J）のセキュリティ対応組織（SOC/CSIRT）の教科書 第3.2.2版（2026年9月1日）は、SOCをセキュリティ監視を行う組織、CSIRTをインシデント対応の中心的な存在としています（p.1）。同書は「セキュリティ対応組織自体を SOC や CSIRT と呼ぶこともある。」「そのため、一口に SOC や CSIRTと言っても、何をしているかは組織ごとにバラバラである。」とも書いています（p.8）。

同書が用いるITU-T勧告X.1060のサービスリストは、「セキュリティ対応組織が担うべき機能分野とその各分野で実施する内容として、9 つのカテゴリーと 64 のサービスで示されている」ものです（p.26）。現場担当者に向けて、同書は「今の立場のまま進むのか、将来的には別の道を目指すのかというようなキャリアプランのヒントとしても活用いただきたい。」と書いています（p.3）。

NCOのサイバーセキュリティ人材フレームワーク2026は、④対処の想定役職名を「CSIRT責任者、CSIRTメンバー、インシデントハンドラー、セキュリティエンジニア、オペレーター 等」としています（p.9）。日本シーサート協議会のCSIRT人材の定義と確保 Ver.2.1は、CSIRTの役割として、インシデントマネージャー、インシデントハンドラー、トリアージ担当、フォレンジック担当、脆弱性診断士、リサーチャー、キュレーター、コマンダーなどを定義しています（pp.8–25）。

専門領域の業務を記載した求人と企業の数

セキュリティ運用を挙げる求人は、経験3〜4年を求める82件中18件（22%）、5年以上を求める84件中26件（31%）です（2026年9月27日時点）。記載した企業は、3〜4年の層で53社のうち14社、5年以上の層で51社のうち20社です。脅威インテリジェンスは、82件中9件（11%）から84件中16件（19%）に割合が上がります。記載した企業は、53社のうち7社から51社のうち12社です。

セキュリティの求人449件を出している168社のうち、その業務を記載した企業の数と求人の件数です。経験年数の記載がない求人も含みます。168社の内訳は、日系企業が141社、外資系企業が27社です。1社が複数の業務を記載します。2026年9月27日時点。

専門領域では、SOC・ログ監視を記載した企業が46社、脆弱性診断・ペネトレーションテストが45社です（168社のうち、2026年9月27日時点）。

セキュリティコンサルタントと情報セキュリティ監査

セキュリティコンサルタントの業務と位置づけ

job tagは、セキュリティエキスパート（オペレーション）とセキュリティエキスパート（デジタルフォレンジック）のどちらの項でも、セキュリティに関するコンサルタントになる人がいると説明しています。脆弱性診断士のキャリアデザインガイドの脆弱性診断以外のキャリアパスも、「脆弱性診断のエンジニアからコンサルタントや営業職に進む人もいます。」「ソフトウェアの設計・開発業務に進む人もいます。」「マネジメント職に進む人もいます。」としています。厚生労働省編職業分類（令和4年改定）では、情報セキュリティコンサルタントは010-01 ITコンサルタントの例示職業名です。

セキュリティの求人を出している168社のうち、セキュリティコンサルティングを記載した企業は43社、リスクアセスメントは58社です（2026年9月27日時点）。

情報セキュリティ監査と公認情報セキュリティ監査人

job tagのセキュリティエキスパート（情報セキュリティ監査）は、仕事を「コンピュータやネットワークに情報セキュリティ上の問題がないか客観的な立場から監査する。」と説明しています。同項は「経済産業省の情報セキュリティ監査制度に基づく情報セキュリティ監査人資格制度があり、特定非営利活動法人の日本セキュリティ監査協会（JASA：Japan Information Security Audit Association）が認定試験を行っている。」とし、資格については「これらの資格を持っていることが望ましいが、持っていなくても業務は可能である。」、キャリアについては「新しい仕事であり、特定のキャリアルートがあるというわけではないが、情報セキュリティ関係の脆弱性診断やデジタルフォレンジックのような仕事に移る人もいる。」と書いています。

日本セキュリティ監査協会（JASA）は、情報セキュリティ監査人に求められる知識・経験・技術に応じて、公認情報セキュリティ主任監査人、公認情報セキュリティ監査人、情報セキュリティ監査人補、情報セキュリティ監査アソシエイト、公認情報セキュリティ主席監査人の5つの資格を認定しています。公認情報セキュリティ主席監査人は、個別の監査を実際に行うための資格とは位置づけが異なり、公正かつ公平な監査の実施に寄与し、監査制度の普及促進・発展を担保するための資格です。

公認情報セキュリティ監査人の資格要件は、情報技術分野で4年以上の業務経験（うち情報セキュリティ関連分野で2年以上）、過去3年以内に4回延べ20日間の監査メンバーとしての監査実施経験、協会認定の監査経験確認試験の合格です。知識の要件は、CISM、CISA、CISSP、情報処理安全確保支援士（資格保有者または試験合格者）、GIACなどの資格の保有や試験の合格で代替できます。NCOのサイバーセキュリティ人材フレームワーク2026は、⑪監査の想定役職名を「情報セキュリティ監査人、情報セキュリティ監査技術者、セキュリティアセッサー、セキュリティ監査担当 等」としています（p.16）。

コンプライアンスの求人でも、情報セキュリティ・個人情報保護を業務として記載する企業があります。

セキュリティ認証・監査対応は、経験年数の記載の有無を問わず、168社のうち58社が記載しています（2026年9月27日時点）。

セキュリティエンジニアの資格・スキルと英語

求人票の記載で集計の基準に達する資格は、情報処理安全確保支援士です。資格、英語、年収、次のポジションの集計は、2026年10月21日時点のセキュリティの求人473件（169社）が対象です。経験年数の層の名称は経験年数別の表と同じですが、対象の時点が異なるため件数は異なります。

情報処理安全確保支援士と求人の記載

情報処理安全確保支援士に触れた求人は、経験5年以上を求める94件中19件（20%）、3〜4年では99件中27件（27%）、1〜2年では42件中10件（24%）です（2026年10月21日時点）。必須の条件か歓迎の条件かを問わず、資格名に触れた求人を数えています。

情報処理安全確保支援士（略称：登録セキスペ）は、IPAによると、2016年10月の「情報処理の促進に関する法律」の改正で生まれた国家資格で、合格者がIPAに申請し登録を受けて取得する名称独占の資格です。同法第3条は、支援士の業務を、サイバーセキュリティに関する相談に応じ、必要な情報の提供及び助言を行うとともに、必要に応じその取組の実施の状況についての調査、分析及び評価を行い、その結果に基づき指導及び助言を行うことなどと定めています。

登録の有効期限は3年で、更新には講習4回（オンライン講習3回、IPAまたは民間事業者等が行う実践講習1回）の修了が必要です。更新手数料はかかりません。講習は毎年受講するオンライン講習と3年に1回受講する実践講習の2種類で、オンライン講習の受講料は20,000円（非課税）です。2026年4月からは実務経験者に対する講習制度が設けられ、所定の実務経験が認定された登録者の講習はオンライン講習のみになります。

IPAによる登録者総数は26,424名です（2026年10月1日時点）。

IPAの推移表（令和8年4月21日現在）によると、令和7年度の情報処理安全確保支援士試験（春期・秋期の計）は、応募者数49,030人、受験者数35,342人、合格者数7,333人、合格率20.7%です。令和8年度（2026年度）に実施する試験からはCBT方式に移行する予定で、問う知識・技能の範囲に変更はありません。

job tagは、セキュリティエキスパート（デジタルフォレンジック）の項で「資格取得の支援制度がある会社もある」、セキュリティエキスパート（オペレーション）の項で「これらの試験に合格すると企業によっては手当が付く場合もある」としています。

情報セキュリティマネジメント試験とその他の資格

job tagのセキュリティエキスパート（オペレーション）は、「仕事をする上で必須の資格はなく、実績、経験が重視されるが、基本情報技術者試験、応用情報技術者試験、情報セキュリティマネジメント試験、情報処理安全確保支援士試験等を受検する者もいる。」と説明しています。セキュリティエキスパート（情報セキュリティ監査）の項は、「情報処理推進機構（IPA）の国家試験「情報セキュリティマネジメント試験」、「情報処理安全確保支援士試験」の知識は業務をする上で役立つ。」としています。

令和7年度の情報セキュリティマネジメント試験（CBT方式）は、応募者数50,226人、受験者数45,924人、合格者数32,141人、合格率70.0%です（IPA 推移表、令和8年4月21日現在）。

job tagのセキュリティエキスパート（脆弱性診断）の関連資格の欄は「関連する資格はありません」で、セキュリティエキスパート（デジタルフォレンジック）の項は「関連する免許資格として国際的なデジタルフォレンジックのスキル認証があり、仕事をしながら資格取得を目指す人もいる。」としています。CISM、CISA、CISSP、GIACは、JASAが公認情報セキュリティ監査人の知識要件を代替できる資格として挙げています。

英語を使うセキュリティの求人

日常的に英語を使う業務を記載した求人は、経験5年以上では、英語の記載を判定できた87件中44件（51%）です（2026年10月21日時点）。経験3〜4年では97件中33件（34%）、1〜2年では42件中12件（29%）です。判定できた件数は、各層の求人件数より少なくなります。

職種ごとの割合は、日常的に英語を使う求人が多い職種で確認できます。集計の対象と時点が異なるため、セキュリティの数字は一致しません。

job tagのセキュリティエキスパート（脆弱性診断）は、「必要な情報の大半は英語のため、英語能力も必要であるが、自動翻訳の性能が向上しそれも使いながら情報を得られればよい。」と書いています。

セキュリティエンジニアの年収（経験年数別）

求人票に記載されたセキュリティの年収

年収を記載したセキュリティの求人251件（96社）では、年収の中央値は900万円で、中央の半数は740万〜1,080万円の範囲です（2026年10月21日時点）。年収は、求人票に記載された下限と上限の中間の金額で集計しています。

経験年数別の中央値は、経験3〜4年を求める求人が900万円（年収を記載した55件）、5年以上が990万円（36件）です（2026年10月21日時点）。経験1〜2年を求める求人は、年収を記載した件数が集計の基準に達しないため、示していません。

全職種の求人票の年収レンジは、下限、上限、幅に分けて集計しています。年収1,000万円に届く求人は、記載された年収の上限が1,000万円に届くかどうかで職種ごとに集計したもので、中央値とは別の数え方です。

job tagの統計と役職別の賃金

厚生労働省のjob tagのセキュリティエキスパート（脆弱性診断）とセキュリティエキスパート（デジタルフォレンジック）は、職業分類「その他の情報処理・通信技術者（ソフトウェア開発を除く）」に対応する統計として、賃金（年収）609.8万円、年齢42.2歳（令和7年賃金構造基本統計調査の結果を加工して作成）、就業者数207,400人（令和2年国勢調査の結果を加工して作成）を示しています。セキュリティエキスパート（オペレーション）は、職業分類「ＩＴシステム運用管理者」等に対応する統計として同じ数値を示しています。job tagは「※「統計データ」は、必ずしもその職業のみの統計データを表しているものではありません。」と注記しています。

役職ごとの月額は、厚生労働省の令和7年賃金構造基本統計調査の概況（令和8年3月24日公表）が第8表で示しています。対象は、10人以上の常用労働者を雇用する民営事業所の一般労働者のうち雇用期間の定めのない人で、全職種の男女計です。

出典：厚生労働省「令和7年賃金構造基本統計調査」第8表。令和7（2025）年6月分の所定内給与額の平均で、セキュリティの職種に限った金額とは異なります。

セキュリティエンジニアの業務を職務経歴書に書く

職務経歴書の業務欄は、求人で企業が記載している業務の名称から選んで書けます。英文履歴書作成ツールで職種にセキュリティを選ぶと、セキュリティの業務20項目が一覧で表示されます。業務の名称は、経験年数別の表と同じです。

業務ごとの記載例は、セキュリティの職務経歴書サンプルにあります。同じ業務でも、担った範囲によって書き方が変わります。補佐・担当・統括の書き分けは、英文レジュメの書き方と合わせて説明しています。

作成とプレビューはアカウントなしで利用できます。PDFのダウンロードには無料のAirTAアカウントが必要です。

同じ回答から、職務経歴書と英文レジュメの両方ができます。

セキュリティエンジニアのキャリアパスのよくある質問

セキュリティエンジニアの求人は何年の経験を求めますか

経験年数を記載したセキュリティの求人227件では、3年が93件、5年が64件、2年が27件です（2026年9月27日時点）。

経験5年以上を求める求人はどの業務を記載していますか

経験5年以上を求める求人84件（51社）のうち、セキュリティ対策導入が41件（49%）、情報セキュリティポリシー策定が36件（43%）、リスクアセスメントが36件（43%）、セキュリティ戦略・企画が28件（33%）です（2026年9月27日時点）。

セキュリティの求人はどの資格に触れていますか

情報処理安全確保支援士に触れた求人は、経験5年以上で94件中19件（20%）、3〜4年で99件中27件（27%）、1〜2年で42件中10件（24%）です（2026年10月21日時点）。必須の条件か歓迎の条件かを問わず数えています。厚生労働省のjob tagは、セキュリティエキスパート（オペレーション）について「仕事をする上で必須の資格はなく、実績、経験が重視される」と説明しています。

セキュリティエンジニアの月収はいくらですか

厚生労働省の賃金構造基本統計調査の職種別の集計に、セキュリティの職種はありません。情報処理の職種は、システムコンサルタント・設計者、ソフトウェア作成者、その他の情報処理・通信技術者です。令和7年調査の第1表（一般労働者、職種小分類、男女計、企業規模計10人以上）では、その他の情報処理・通信技術者の所定内給与額は月額37万9,100円、きまって支給する現金給与額は月額41万5,800円、年齢は42.2歳です。令和7（2025）年6月分の月額で、年収への換算はしていません。

セキュリティの求人は英語の使用を記載していますか

日常的に英語を使う業務の記載は、経験5年以上で判定できた87件中44件（51%）、3〜4年で97件中33件（34%）、1〜2年で42件中12件（29%）です（2026年10月21日時点）。

公的な職業分類にセキュリティエンジニアはありますか

厚生労働省編職業分類（令和4年改定）の例示職業名に挙がっています。010-04 ITシステム運用管理者の例示職業名に、セキュリティエンジニア（オペレーション）、情報セキュリティ技術者、セキュリティアナリスト、セキュリティエキスパート（オペレーション）があります。010-99 その他の情報処理・通信技術者（ソフトウェア開発を除く）の例示職業名に、セキュリティエンジニア（脆弱性診断）、セキュリティエキスパート（脆弱性診断）、情報システム監査技術者があります。010-01 ITコンサルタントの例示職業名には、情報セキュリティコンサルタントがあります。職業の定義文はなく、例示職業名の一覧です。

現在公開されているセキュリティの求人は、各社の採用ページから毎日取得しています。応募は各社のサイトで行います。