セキュリティ監査・GRC担当者の仕事とキャリア。転職で問われる経験とは

「監査っていうと、なんか意地悪な仕事に聞こえるんですよね」と、面談に来たある方が笑いながら言いました。前職でシステム部門にいた彼は、社内のセキュリティ監査チームから受けた指摘を思い出しながら、そう漏らしたんです。

結論から言うと、セキュリティ監査・GRC（Governance, Risk, Compliance）の仕事は「粗探し」ではなく、組織が掲げたリスク基準と現場の運用実態のズレを、証跡と対話で埋めていく仕事だと僕は考えています。技術的な深さよりも、経営層と現場の両方に言葉が通じる人が長く続けやすい職種です。この記事では、仕事の実態、求められる経験、転職市場の現在地、そして未経験・技術職からの現実的な移行ルートを、僕が面談で聞いてきた話をもとに整理します。

0. 結論：監査・GRCは「技術職の次の一手」として存在感を増している

僕の体感値で言うと、この2〜3年でセキュリティ監査・GRCの求人は増えています。背景にあるのは経済産業省の「サイバーセキュリティ経営ガイドライン」やJIPDECが運用するISMS認証制度が、上場企業を中心に取締役会レベルの説明責任として定着してきたことです。JIPDECが公表しているISMS認証取得組織数は7,000件前後（同機関の公表資料を基にした目安値）で推移しており、認証を維持するための内部監査人材や、監査結果を経営に翻訳する役回りの需要が実務の現場感としても増えている印象を持っています。ただし「監査経験者」だけを募集要項に書く会社は少なく、実際には技術バックグラウンドを持つ人が監査・GRCへ横滑りするケースの方が多いというのが僕の見立てです。実際、僕が受けている求人の中でも、監査・GRCポジションの応募条件に「未経験者可（現場実務経験を評価）」という文言が入るケースが増えてきました。監査経験者そのものの絶対数が市場に少なく、企業側が「経験者だけ」を条件にすると採用が進まないという事情も背景にあると僕は見ています。

1. セキュリティ監査・GRC担当者とは何をする仕事か

業務の中心は大きく3つに分けられます。1つ目はISMS（ISO/IEC 27001）や社内規程、あるいはNIST CSFのようなフレームワークに基づく内部監査の計画・実施です。ヒアリングと証跡確認を通じて「規程に書かれている運用が、実際に現場でその通り行われているか」を確認します。2つ目はリスクアセスメントの運用で、事業部門ごとのリスク登録簿を整理し、経営会議に報告できる形にまとめる作業です。3つ目は規制対応で、個人情報保護法やGDPR、業界固有のガイドライン（金融であればFISC等）への適合状況を継続的に追跡します。

年間の監査サイクルで言うと、僕が聞いてきた会社の多くはおおむね次のような時間感覚で動いています。まず年度計画の策定に2〜3週間、対象部門への事前ヒアリングと証跡収集に3〜4週間、現地確認と指摘事項の整理に1〜2週間、報告書のドラフト作成と経営層への説明準備に1週間、という具合です。これはあくまで僕が面談で聞いた個別事例からの目安値で、企業規模や監査範囲によって前後します。

ある製造業の会社で監査担当をしていた方から聞いた話ですが、ある工場のログ保管ルールが本社規程と食い違っていたことを指摘したところ、現場からは「そんな余裕はない」と反発されたそうです。そこで彼がやったのは、規程通りにできない理由をヒアリングし、代替の運用ルールを一緒に作って本社規程側を改定する提案に持っていくことでした。監査は「守らせる」仕事というより、「守れる形に整える」仕事だという感覚を、僕はこの話から強く受け取りました。

別のケースでは、IT企業のGRC担当者がマルチクラウド環境の利用実態を調べたところ、社内規程では想定していないSaaSが複数部門で使われていることが判明したそうです。彼女はそれを咎めるのではなく、利用実態を棚卸しした上で「許可された範囲でどう使うか」というルールに規程を書き換える提案をまとめました。指摘して終わりではなく、運用に落とし込むところまでがGRCの仕事だという点は、このケースでもはっきり表れています。

2. 求められる経験を軸別に整理する

向いている人の資質は、人間力・職種経験・技術スキルの3つの軸で分けて考えると誤読が少なくなります。

この3軸のうち、僕が面談で最も差を感じるのは人間力です。技術スキルは入社後の研修や実務でも伸ばせますが、指摘事項を伝えるときの言葉選びは、それまでの職種経験でしか鍛えられない部分が大きいと感じています。実際、SOCアナリスト出身の方に会うと、アラート対応で鍛えた「事実だけを端的に伝える」姿勢が監査報告書の書き方にそのまま活きているケースを何度も見てきました。

3. 転職市場の実態と年収の目安

年収については、セキュリティコンサルタントと大きな差がつきにくいというのが僕の体感値です。中堅企業のGRC担当者で500万円台後半〜700万円台前半、上場企業の内部監査部門で管理職クラスになると800万円台に届くケースもあります。ただしこれはあくまで僕が面談で聞いてきた個別事例の目安値で、業界・企業規模による差が大きい点はご承知おきください。

比較の相手として分かりやすいのはSOCアナリストです。SOCアナリストは監視・検知の実務が中心で、経験年数に応じて評価される一方、GRC担当者は経験年数だけでなく「経営会議に報告できるレベルの要約力」が評価に直結しやすく、同じ経験年数でも評価にばらつきが出やすい職種だと感じています。同じ会社でセキュリティコンサルタントとGRC担当者の年収レンジを比べると、コンサルタントの方が上限が高く出やすい一方、GRCは在籍年数に応じて安定的に上がっていく傾向があると僕は感じています。単発の高額オファーより、長く同じ組織で評価を積み上げるキャリアに向いている職種だと言えるかもしれません。

4. 未経験・技術職からの現実的な移行ルート

完全未経験からの直接転職は正直なところハードルが高いです。僕がこれまで見てきた中で現実的だったルートは次の2つです。

• SOCアナリストや脆弱性診断などの現場実務を2〜3年経験し、社内のISMS運用や内部監査に手を挙げて経験を積んでから転職する
• 情報システム部門で運用担当として規程遵守の実務に触れ、そこから監査・GRCへ社内異動または転職する

いずれのルートでも共通しているのは、「規程を作る側」ではなく「規程が守られているかを確認する側」に立った経験の有無です。実際に動くとしたら、まず社内のISMS事務局や内部監査部門に「監査に同行させてほしい」と相談するところから始めるのが僕のお勧めです。1回の同行監査で得られる経験は小さく見えても、指摘事項の出し方や報告の言葉選びを間近で見られる機会は、独学の勉強よりも実感として身につきやすいです。資格取得を並行するなら、ISMS審査員補の研修は2〜3日で完了するものが多く、転職活動の準備期間として3ヶ月程度を目安に据える方が多い印象です。社内異動を検討する場合、まずは異動希望のタイミングで人事評価面談を使って意思表示するのが現実的です。僕が聞いてきた範囲では、意思表示から実際の異動まで3〜6ヶ月程度かかるケースが多く、すぐに動けるわけではない前提で準備を進める方がよいと思います。

5. 転職活動でよくある失敗とその対処

面談でよく見かける失敗の1つは、監査経験を「チェックリストを回した経験」としてしか語れないことです。チェックリストの背景にあるリスクの考え方や、指摘後に現場とどう合意形成したかまで話せないと、書類の作業者だったのか、判断に関わった人だったのかが伝わりません。

もう1つは、技術職からの転職で「技術的な深さ」を売りにしすぎてしまうケースです。GRCの仕事では技術の深さより、技術的なリスクを非技術者に説明できる翻訳力の方が評価されやすいため、面談では技術的な正確さと同じくらい、説明のわかりやすさを意識して話すことを僕はお勧めしています。ある方は面談で脆弱性診断の技術的な話を延々と続けてしまい、後で「経営層への報告をイメージして話し直してみましょう」と僕からお伝えしたところ、次の面談では驚くほど伝わり方が変わりました。話す内容は同じでも、聞き手を意識するだけで印象は大きく変わるものだと僕は感じています。

3つ目の失敗は、監査対象部門との関係を「対立」の構図で語ってしまうことです。監査は現場と対立する仕事ではなく、規程と実態のギャップを一緒に埋めていく仕事だという前提を面談で伝えられるかどうかは、採用側が長く一緒に働けるかを判断する上で意外と重視されるポイントだと僕は見ています。

(結論)

セキュリティ監査・GRCの仕事は、粗探しではなく、組織のリスク基準と現場運用のズレを埋めていく地味だけれど重要な仕事です。技術職からの移行を考えるなら、まずは社内のISMS運用や内部監査に手を挙げてみることが、僕が見てきた中では一番の近道でした。皆さんいかがでしたでしょうか。では今日もがんばりましょう。