サイバーセキュリティ人材育成｜スキルの整理・資格選び・実務評価と組織体制

サイバーセキュリティ人材育成は、研修や資格取得を通じ、組織に必要な対策を実行・判断できる人を育てる取り組みです。人数、専門スキル、担当者に与えられた時間や権限の不足を分け、業務と到達目標から計画します。2026年10月24日に確認した公式情報を基に、職務の整理、資格の選び方、実務での評価と体制づくりを解説します。

人員不足とスキル不足を分け、必要な業務から育成対象を決める

人が足りない状況でも、原因は一つではありません。監視や問い合わせに必要な作業時間が足りないのか、クラウドの権限設定を評価できる人がいないのか、対策を知っていても変更の承認者が決まっていないのかを分けます。採用人数や受講者数だけを目標にすると、担当が不在の業務や、判断が止まる箇所が残る可能性があります。

ISC2の2025年調査は、人数の追加だけでなく必要なスキルへ注目し、同年は世界の人員不足数の推計を掲載していません。これは2025年7〜8月に各地域の実務者・意思決定者へ行ったオンライン調査です。過去年の不足推計を2026年の募集中の求人数と扱ったり、世界調査の回答傾向を自社に必要な人数へ直接換算したりしないようにします。自社では、実際に残っている仕事と対応可能な体制を調べます。

整理の共通言語として、NIST NICE Frameworkを参考にできます。現在の説明は、実施するTask、必要なKnowledgeとSkillを中心に構成されています。Work Roleは仕事のまとまりであり、自社の職種名や役職名そのものではありません。旧版のカテゴリ数・役割数を固定して使わず、現行の構成要素と版を確認し、自社で必要な業務へ対応づけます。

整理する項目	記入例・確認点
守る対象と業務	顧客向けサービス、従業員アカウント、製造設備など。停止・漏えい時の影響と優先度を整理する。
実施する仕事	権限の棚卸し、脆弱性の確認、通報の受付、復旧手順の検証など、成果物が分かる単位にする。
現在の対応状況	自力で実施、支援があれば実施、未経験、未評価を分け、実施・確認の記録を対応づける。
担当と判断者	実行者、確認者、変更・停止を承認する人、代理担当と連絡先を明確にする。

この表は整理方法の提案で、NICEが全企業に求める組織図ではありません。一人に複数の役割を持たせる場合も、担当できる範囲と時間、支援が必要な箇所を確認します。IPAのITSS+セキュリティ領域も、専門家だけでなく、事業・管理・デジタル部門の「プラス・セキュリティ」の学び直しに活用できます。同ページは、スキルの網羅性だけを機械的に評価して実際の活動の価値を見落とさないよう留意を示しています。

採用で不足を補う場合は、スキルベース採用の職務・評価基準と導入手順も参照できます。入社時点で必要な仕事と育成する仕事を分け、面接や実務課題で何を確認するかを決めます。候補者の経歴・資格だけで担当可能と判断せず、確認できた能力と未評価の範囲を残し、採用後の支援と担当体制へつなげます。

資格は難易度の順位ではなく、役割・認定条件・維持費で選ぶ

資格や試験は、学ぶ範囲を整理し、知識・技能を示す手段になります。ただし、合格だけで社内のすべての業務を任せられるとは判断しません。担当する仕事と学習内容を照合し、試験合格、認定・登録、継続教育の違いを確認します。部門での情報管理、システム開発、事故対応や経営への説明では、必要な学習の重点が変わります。

試験・認定の例	公式案内を基に確認する点
情報セキュリティマネジメント試験（SG）	IPAは、利用部門で情報セキュリティの計画・運用・評価・改善を担う人を対象に説明しています。部門の情報資産・リスク・委託先の要求事項などと学習をつなげます。
情報処理安全確保支援士（登録セキスペ）	試験合格と登録手続きは区別します。登録後の講習・更新も計画し、取得後にどの企画・開発・運用業務を担うかを決めます。
CompTIA Security+	基礎から実践までを扱う認定資格。試験の版と言語、出題範囲を確認します。新しい版の提供予定を、現在すべての言語で受験できる状態と混同しないようにします。
CISSP	ISC2の認定条件には実務経験が含まれます。原則として8ドメイン中2つ以上における累積5年の経験が必要で、免除条件や経験を満たさない場合のAssociate制度とは分けて確認します。
GIACの各認定	防御、クラウド、フォレンジック・事故対応、制御システムなど分野別に選びます。SANSの研修とGIACの認定は区別し、研修・試験の購入範囲を確認します。

例えば、SGを学ぶ利用部門の担当者なら、学習後に部門の情報資産と問い合わせ先を整理し、委託時の確認事項を説明できるかを確かめます。開発担当者なら、認証・権限や依存部品の扱いを実際の設計・レビューへつなげます。技術領域の整理にはDevSecOpsと開発工程でのセキュリティも参考になります。資格名だけで担当を割り振らず、実務で確認できた能力を記録します。

予算には受験料だけでなく、教材・研修、学習時間、再受験、登録、継続教育・更新に関わる費用と時間を含めます。地域、通貨、購入するパッケージ、試験版などで条件が変わるため、共通の円換算額や「この資格が最も実践的」といった順位は置きません。支援制度では、対象業務、会社と本人の負担、勤務時間の扱い、合格後に担当する仕事を事前に決めると、資格取得と業務上の育成を結びつけやすくなります。

教育は対象者ごとに設計し、演習後の行動と成果物で確認する

全従業員の教育と専門人材の育成は、共通する部分と異なる部分があります。全従業員には、扱う情報、アカウントの利用、疑わしい連絡や紛失時の報告など、自分の業務で必要な行動を伝えます。利用部門の担当者には、データ・権限・委託先や業務変更時の確認を学ぶ機会を用意します。専門担当には、対象システムに応じた設計・評価・検知・対応の知識と実践を組み合わせます。全員へ同じ高度な技術講座を受けさせる必要はありません。

計画は、必要な仕事、現在の到達状況、学習内容、練習する課題、評価する成果物、支援・確認する人の順で作れます。例えば権限管理なら、権限の一覧から過剰な付与や未確認のアカウントを候補として挙げ、根拠を示し、所有者へ確認し、承認された変更と結果を記録する課題にします。候補を見つけることと、本番で権限を削除する判断は分けます。学習者が何を自力で行い、どこで相談すべきかも到達目標に含めます。

机上演習では、連絡先への到達、担当不在時の引き継ぎ、停止・継続の判断、復旧後の確認などを扱えます。技術演習は、許可した対象と環境、実施範囲、扱うデータ、終了・復元の条件を決めて行います。CTFで問題を解けること、診断ツールを操作できること、現実の業務を止めずに判断・対応できることは同じ評価ではありません。必要な演習を選び、無関係な本番環境へ試験操作を広げないようにします。

一般社員への教育やフィッシング訓練は、セキュリティ教育と効果測定で具体化できます。受講率・理解度に加え、報告や確認の動き、報告を受ける側の対応、手順の不足を見ます。専門人材についても、同じ条件の課題で、判断の根拠、見落とし、不要な作業、成果物の品質と支援の量を確認します。実施していない仕事は「できない」と断定せず、未評価として追加確認へ回します。

AIを使う場合は、ログやコードの整理、調査や報告案の作成と、事実確認・判断・実行を分けます。出力に誤りや抜けがある場合の確認、修正と再作業も測り、処理時間だけで効率化と判断しません。入力できる情報、利用先、出力の確認担当と実行権限を決めます。ツール導入を人材育成の代わりとせず、AIの提案を評価するための基礎知識や、自動化できない例外への対応も学習対象にします。

育成・採用・外部支援を、担当と判断が残る体制へつなげる

不足への対応は、社内育成、採用、外部支援、手順やシステムの改善を、必要な仕事と優先度で組み合わせます。緊急性が高い業務を未経験者の学習完了まで放置する一方、すべてを外へ任せて社内の判断者が不在になる状態も避けます。専門性が必要な診断や対応を依頼する場合も、対象資産の所有者、結果を受け取る人、対策を承認する人、業務部門との調整先を決めます。

監視や事故対応を外部へ委託するなら、対象システム、対応時間、検知・通知・調査・実行の範囲を契約で確認します。24時間監視という表示だけで、すべての事故対応や復旧まで含むとは判断しません。緊急連絡の手段、委託先が実行できる操作、社内承認が必要な操作、報告と証拠の扱い、引き継ぎ・契約終了時の条件も合わせます。外部担当と社内担当で共同確認を行い、必要な知識が一人だけに残らないよう記録します。

学習時間と業務量も計画の一部です。通常業務や緊急対応が集中して研修を受けられない場合は、受講者の意欲だけの問題にせず、担当の分担、代理対応、学習・演習を確保する時間を見直します。教える側にも時間が必要です。到達した業務と今後伸ばす領域を本人と確認し、役割や評価、相談・引き継ぎの仕組みへ反映します。全員が同じ資格を取得することを、組織能力の唯一の指標にしないようにします。

管理表には、対象業務、必要品質、実行・判断・代理担当、現状の根拠、学習・支援の方法、確認する成果物と期限を残します。研修後は、未担当の仕事が減ったか、引き継げるか、判断や対応がどこで止まるかを確認します。インシデント件数や平均対応時間は、検知範囲や事象の重さ、計測開始・終了条件でも変わります。同じ条件で比較し、指標の改善をそのまま被害防止や育成の因果効果としないことが大切です。

実務で何を確認できるかを整理する際は、脆弱性診断とペネトレーションテストの違いを参照できます。研修、診断、対策の実装は目的と成果物が異なります。社内育成と並行して、コード、認証・権限、外部接続の弱点や改善の優先順位を確認したい場合は、renueのAI脆弱性診断支援サービスへ相談できます。対象・テスト環境を合意して診断し、停止・継続の判断や復旧の手順、改修・刷新まで必要な場合は、別途範囲を決めて進めます。対象システム、現在の対応担当、判断や実装で不足する箇所を整理して相談すると、必要な支援と費用を具体化しやすくなります。