脅威インテリジェンスアナリストとは何をする仕事か。転職の現実的な道筋

「うちの業界を狙っている攻撃グループって、実際どこなんですか」——面談で聞かれて、資料を出しながら答えたことがあります。

結論から言うと、脅威インテリジェンス（Threat Intelligence、以下CTI）は「攻撃が起きる前に、誰が・どう狙ってくるかを読む」仕事です。SOCが監視、CSIRTが収束対応を担うのに対し、CTIはその手前にある『判断材料』を作る役割だと僕は理解しています。未経験からの直行は難しく、SOCやCSIRTでの実務経験を積んだ後に専門化していくのが、僕が転職相談で見てきた現実的な近道です。この記事では、仕事の実際、求人票の見え方、向いている人の特徴、キャリアパス、そして今日からできる実務アクションまで、順番に書いていきます。

0. 脅威インテリジェンスという仕事がなぜ増えているのか

IPAが毎年公開している「情報セキュリティ10大脅威」を見ても、ランサムウェアや標的型攻撃、サプライチェーンを狙った攻撃は毎年上位に入り続けています。また警察庁もサイバー攻撃情勢に関する報告を継続的に出しており、攻撃の手口が年々巧妙化している傾向は公的資料からも読み取れます。企業側の反応としてよく耳にするのは、「攻撃を受けてから対応するのでは遅い」という危機感です。実際、僕が相談を受けた企業の担当者の方も、インシデントが起きた後の収束対応（CSIRTの領域）だけでなく、「そもそも自社を狙っている攻撃グループはいるのか」「どういう手口で狙われる可能性があるのか」を事前に把握したいという相談が増えてきたと話していました。こうした「攻撃の手前」を扱う専門職が脅威インテリジェンスアナリストで、国内でも大手金融機関やセキュリティベンダー、コンサルティングファームを中心に採用が広がっている印象があります。ただし求人数そのものはSOCやCSIRTに比べるとまだ少なく、ニッチな専門職という位置づけは変わっていません。

1. 脅威インテリジェンスアナリストの仕事の実際

脅威インテリジェンスアナリストの仕事を一言でいうと、「攻撃者の動向や手口を分析し、防御側が使える判断材料に翻訳する」ことです。具体的な業務は、OSINT（オープンソースインテリジェンス）による情報収集、ダークウェブやフォーラムのモニタリング、IOC（攻撃の痕跡情報）の収集と整理、MITRE ATT&CKなどのフレームワークを使った攻撃手口のマッピング、そして経営層やSOC・CSIRTチームに向けたレポート作成まで幅広く含まれます。僕の体感値で言うと、実務の半分以上は「情報を集める」ことより「集めた情報を、誰が読んでも判断できる形にまとめる」ことに時間を使っている印象です。

この「翻訳」の部分がうまくできないと、いくら情報を集めても現場やSOC・CSIRTには使ってもらえません。実際、僕が見てきたなかでも、情報収集力は高いのにレポートが専門用語だらけで経営層に響かず、評価が伸び悩んでいるという方は少なくありませんでした。

2. SOC・CSIRTとの違いと求人票の見え方

脅威インテリジェンス、SOC、CSIRTは、時間軸で役割を分けると整理しやすいと僕は考えています。SOCは「今起きていることを監視する」役割、CSIRTは「起きたことを収束させる」役割、そして脅威インテリジェンスは「これから起きうることを先読みする」役割です。求人票を見ていても、SOC・CSIRTの募集は「監視・検知・初動対応」といった言葉が中心なのに対し、脅威インテリジェンスの募集では「OSINT」「MITRE ATT&CK」「ダークウェブ」「英語での情報収集」といったキーワードが目立ちます。

求人票の応募条件を見ると、脅威インテリジェンスの募集はSOC・CSIRT経験を目安3年程度求めるものが多く、未経験からの直行を前提とした募集はほとんど見かけません。個人的には、これは「攻撃の全体像を理解していないと、先読みのしようがない」という実務上の理由が大きいと思っています。待遇面では、僕の独自ガイドの目安値になりますが、脅威インテリジェンスの求人はSOCアナリストの年収レンジより50〜100万円程度高い600万円台からのスタートが多い印象です。ただしこれは経験年数や英語力によって上下する幅であり、単純な平均として捉えるより、SOC・CSIRTとの比較で見る方が実態に近いと思います。

3. 向いている人の特徴

向いている人の特徴は、人間力・職種経験・技術スキルの3つの軸で分けて考えるとわかりやすいと僕は思っています。混ぜて語ると「結局どういう人が向いているのか」がぼやけてしまうためです。

人間力の軸では、断片的な情報から仮説を立てて検証を繰り返す「地味な作業を続けられる粘り強さ」と、集めた情報を専門用語なしで経営層に説明できる「翻訳力」が重要だと感じています。攻撃グループの動向は白黒はっきりしないことが多く、「たぶんこのグループの可能性が高い」という曖昧さに耐えられることも必要です。

職種経験の軸では、SOCやCSIRTでのアラート対応・インシデント対応経験が土台になります。攻撃の「実物」を見た経験がないまま情報だけを追いかけると、レポートが的外れになりやすいというのが僕の体感値です。

技術スキルの軸では、MITRE ATT&CKなどのフレームワークの理解、ログやマルウェア検体を最低限読める力、そして英語での一次情報収集力（海外ベンダーのレポートを読む場面が多いため）が挙げられます。英語は「ネイティブレベル」である必要はなく、技術文書を読める程度で十分というのが僕の実感です。

4. 未経験・隣接職種からの現実的なキャリアパス

脅威インテリジェンスアナリストへの現実的な道筋は、大きく3パターンあると僕は見ています。1つ目はSOCアナリストからの転身で、アラート対応の経験を積んだ後、攻撃グループの動向分析に興味を持って異動・転職するパターンです。2つ目はCSIRTからの転身で、インシデント収束対応の経験から「次はこの攻撃を事前に防ぎたい」という動機で移るパターン。3つ目はセキュリティコンサルタントからの転身で、顧客向けのリスク分析業務の延長として専門化するパターンです。

いずれのパターンでも、目安として2〜3年程度の実務経験を挟んでからの異動・転職が多い印象です。僕が相談を受けた方のなかにも、SOCで2年働いた後に社内異動で脅威インテリジェンス担当になり、そこから転職市場での評価が上がったという方がいました（個別の経歴は特定できない範囲でお伝えしています）。逆に、資格だけを取得して未経験のまま応募した方は、書類選考で「実務経験がない」という理由で通過しづらい傾向があると感じています。

5. 今日からできる実務アクションとよくある失敗

ここからは、今日から始められる具体的なアクションを書きます。1つ目は、MITRE ATT&CKの公式サイトを実際に触ってみることです。攻撃手口が体系的に整理されているので、まずは自分の業界に関連するテクニックを3つほど選んで、どういう防御策が対応するかを調べてみてください。2つ目は、海外セキュリティベンダー（例えばMandiantやRecorded Futureなど）が無料公開している脅威レポートを読む習慣をつけることです。日本語の二次情報だけに頼らず、英語の一次情報に触れておくと、求人票で求められる「英語での情報収集力」の土台になります。3つ目は、読んだ内容を自分の言葉でまとめて、社内勉強会やnoteなどでアウトプットしてみることです。情報を集めるだけでなく「翻訳して伝える」練習にもなります。

よくある失敗としては、資格（GCTIなど）を取得することが目的化してしまい、実務のOSINT収集やレポート作成の練習をしないまま応募してしまうケースがあります。資格は土台の証明にはなりますが、求人票で問われるのはやはり実務経験です。もう1つの失敗は、日本語ソースだけで攻撃動向を語ってしまうことです。攻撃グループの多くは海外拠点で活動しており、一次情報は英語で出ることが多いため、日本語の二次情報だけでは分析が浅くなりがちです。

6.（結論）

脅威インテリジェンスアナリストは、「攻撃が起きる前に、誰が・どう狙ってくるかを読む」仕事で、SOCの監視、CSIRTの収束対応と役割を分けて理解すると整理しやすいと僕は考えています。未経験からの直行は難しく、SOCやCSIRTでの実務経験を目安2〜3年ほど積んでから専門化していくのが、現実的な近道です。人間力・職種経験・技術スキルの3つの軸で自分の現在地を確認しながら、今日からできるMITRE ATT&CKの学習や英語レポートの読み込みを積み重ねていってください。皆さんいかがでしたでしょうか。では今日もがんばりましょう。