情報セキュリティの職種図鑑 — まず地図で、自分の座席を見つける

実際に事故が起きた瞬間に呼ばれる役。日常は平時の手順整備だが、有事は被害範囲の特定と経営への一次報告を同時に回す時間との勝負になる。

入り方

SOCやインフラ運用で異常対応の経験を積んでから、有事対応専門のCSIRTへ異動・転職するのが一般的な道。

市場感

問われるのは「実際にインシデント対応の指揮系統に入ったか」。マニュアルを読んだ経験ではなく、深夜の呼び出しに応じた実体験が効く。

攻撃者の視点でシステムに実際に侵入を試みる役。日常は許可された範囲内で本気で壊しにいく検証作業で、防御側では見えない穴を体で探す。

入り方

脆弱性診断のオペレーターから経験を積み、CTF（競技形式の攻撃演習）や自己学習で技術を積み上げて専門化するのが主流ルート。

市場感

面接で必ず聞かれるのは「診断ツールを回した」か「実際に手を動かして侵入手法を組み立てた」かの差。ここで評価が大きく割れる。

事故の後に「何が・いつ・どこまで」起きたかを証拠から再構築する役。日常はディスクイメージとログのタイムラインを突き合わせる地道な作業で、法的に耐える証拠保全が生命線。

入り方

CSIRTやSOCでの実務経験を積んだ後、専門調査会社や大企業のフォレンジックチームへ移るルートが多い。

市場感

評価されるのは「証拠保全の手順を法的要件に沿って踏んだか」。技術力だけでなく手続きの正確さが問われる。

現場の技術と経営判断の間を翻訳する役。日常は顧客の脆弱な体制を言語化し優先順位をつける提案業務で、手を動かすより「どこから直すべきか」を決める時間が長い。

入り方

SOC・診断・CSIRTいずれかの現場経験を3年以上積んでから、コンサルファームや大手SIerの専門部隊へ転じるのが定番。

市場感

面接で問われるのは「現場を知った上で提案しているか」。フレームワークだけを語る候補者は現場出身者との差で落ちる。

開発パイプラインの中にセキュリティを埋め込む役。日常はCI/CDに静的解析・依存関係チェックを組み込んで開発者に嫌がられない仕組みを作る調整仕事が中心。

入り方

アプリ開発かインフラエンジニアからセキュリティ寄りの業務を任されて専門化するルートが多く、開発経験があると圧倒的に有利。

市場感

面接で必ず聞かれるのは「開発チームを止めずにセキュリティを入れた」実例。ツール導入だけでは評価されない。

ファイアウォールからクラウドの権限設計まで、守りの仕組み自体を作る役。日常は設定変更が業務影響を止めないかを確認しながらの構築・運用で、地味な検証作業の積み重ね。

入り方

インフラエンジニア・クラウドエンジニアからセキュリティ機能の担当に移り専門化する道が最も多い。

市場感

評価されるのは「本番環境の設計・運用を任された」経験。検証環境だけの知識は現場で見透かされる。

規程と現場運用のズレを埋める役。日常は監査証跡を集めて「本当に守られているか」を検証する地味だが逃げられない仕事で、技術より文書と対話が主戦場。

入り方

情報システム部門やSOC経験者が、内部統制・ISMS運用担当を経てGRC専任へ移るのが典型的な道。

市場感

問われるのは「監査で指摘を受けた後、実際に是正まで持っていったか」。指摘リストを作るだけの経験では弱い。

法規制と技術の両方を跨いで会社を守る役。日常はサプライチェーンのどこにリスクがあるかを洗い出し続ける調査業務で、正解のない判断を積み重ねる。

入り方

GRCや法務・調達部門の経験者が、経済安全保障推進法対応など新設ポジションに転じる比較的新しいキャリアパス。

市場感

面接で聞かれるのは「規制の条文を読めるか」より「実際に社内の調達プロセスを変えた経験」があるか。

セキュリティ組織全体の予算と体制を背負う役。QCDの数字より先にインシデント時に経営会議で矢面に立つ覚悟を持つ立場で、日常は人員配置と優先順位の意思決定が中心。

入り方

SOC・CSIRT・コンサルいずれかの現場でリーダー経験を積んだ後、事業会社のセキュリティ責任者ポジションに転じる流れが主流。

市場感

評価の分かれ目は「技術的な深さ」より「経営に対する説明責任を負った経験」があるかどうか。