セキュリティは人手不足。それでも、未経験から何を学べばいい？
守る仕事に興味はある。でも、資格もツールも多くて選べない。監視・調査・復旧という仕事から逆算すると、今日始める勉強が見えてきます。
この記事の目次
「警告が出た。その先は？」が気になるなら
画面に「ログイン失敗」の警告が何度も出ている。誰かが攻撃しているのか、それとも本人がパスワードを間違えただけなのか。守る仕事の面白さは、この「何が起きている？」を調べるところにもあります。
そこで役に立つのが、アカウントや通信の仕組みです。警告を見つめるだけの状態から、「いつ、どのアカウントに、何が起きたか」を問いにする。最初は、この一つの場面を追ってみましょう。
最初から、あらゆる攻撃やツールを覚えようとしなくて大丈夫。気になる仕事を一つ選び、そこに必要な仕組みから学んでいきましょう。
NISTのNICEは、セキュリティの仕事をタスク・知識・技能に分ける枠組みです。大きな職種名を、具体的な作業へほどくために使えます。[3]
資格もツールも多い分野ですが、まずは「何を見て、どう判断するか」を一つ選べば大丈夫。必要な知識を、警告の続きを調べるための道具として増やしていけます。
需要があることと、応募の条件は分けて見る
米国BLSは、情報セキュリティ分析職の雇用を2025〜2035年で21%増と予測しています。セキュリティへ投資する仕事の広がりを考える材料になります。では、自分が応募したい職場はどうでしょう。地域や企業が変われば、入口の条件も変わるので、担当業務と経験条件まで見てみてください。[1]
複数地域の実務者など16,029人へ聞いたISC2の2025年調査では、スキル不足と、採用凍結や予算制約の両方が報告されました。人が必要でも採用を進めにくい職場はある。だからこそ、「人手不足なら入れるはず」と待つより、求められる作業を理解し、自分が説明できる経験へつなげたいんです。[2]
日本の企業の状況なら、IPAの「DX動向2026」も参考になります。人材不足という言葉に加え、企業がどんな業務の変化へ対応しようとしているかを読む資料です。そのうえで気になる求人を開き、調べる仕事なのか、設定や運用を担う仕事なのかを比べてみてください。[6]
要は、「人が足りない」と「未経験者を今すぐ採れる」は別の条件なんです。学ぶ側は、需要の大きさを眺めるだけでなく、担当したい仕事に必要な知識を選ぶ。次は、その仕事を一つ具体的に見てみましょう。
「失敗が多い」から、「何を守るべきか」へ
警告には「ログイン失敗が増えています」と書かれていた。これだけだと、攻撃なのか、本人がパスワードを間違えたのか、まだ迷いますよね。そこで、同じアカウントへ何度も続いているのか、多くのアカウントへ一回ずつなのかを見分ける。回数の次に、並び方を見る仕事が始まります。
ここで使っているのは、役割を想像するための例です。失敗の後に成功した記録が見つかったら、その成功はいつ、どこから、どのアカウントだったのか。さらに、その後に何へアクセスしたのか。最初の「何回失敗した？」から、調べたい問いが順に増えていくでしょう。
「誰が、どこへ、何をしようとしたか」。この形にすると、学ぶ言葉もただの暗記から離れます。本人かを確かめるのが認証。その人へ何を許すかが権限。相手とやり取りする仕組みが通信。警告の先を読むには、この三つが一つの場面でつながるんですね。
NICEの枠組みも、仕事をタスクと必要な知識・技能へ対応づけます。検知する、調査する、対応する、説明する。同じセキュリティの仕事でも、そのとき引き受ける役割が違います。警告を見つける道具の名前から入るより、その道具で自分は何を判断するのかまで考える手掛かりになります。[3]
たとえば「このアカウントを止めるべきか」となれば、止める影響も知りたいところです。誰が使い、どの業務へつながり、判断する権限は誰にあるか。見つけたことを時刻や記録と一緒に渡せれば、対応する人も、確かな材料から選びやすくなるでしょう。
学習でこの入口を作るなら、用意されたログの一場面から、「分かったこと」「まだ確かめたいこと」を分けてみる。失敗の多さは観察、攻撃かもしれないは仮説。次に成功記録を読むのは、その仮説を調べる一手です。結論を急がずに話を前へ進める練習になります。
警告から、調べる問いへ
| 見えた状況 | まず確かめたい問い |
|---|---|
| 失敗が増えた | いつから、誰に、どこから？ |
| 成功の記録もある | 通常の操作と何が違う？ |
| 対応を考える | 影響と、守るべき正規利用は？ |
| 記録を残す | 確認済みと、まだ仮説の部分は？ |
演習の正解から、判断を説明する記録へ
CTFのような実践は、技術を調べて試す入口になります。ただ、公開CTF課題を分析した研究は、暗号やネットワークなどに内容が寄り、人や組織の側面が薄いと指摘しています。守る仕事へつなげたいなら、何が起きたかを相手へ伝え、運用や利用者への影響も考える練習を足しましょう。[5]
セキュリティ教育の71論文を整理したレビューも、主観的な満足と、実際にできるようになったことを分けて評価しています。自分の練習では「見た証拠」「立てた仮説」「確認結果」の三つを残してみる。面白かったという感想と一緒に、何を確かめたかも持ち帰れます。[4]
ログイン失敗の例なら、「見た証拠：同じアカウントで失敗が続いた」「立てた仮説：不正な試行か、設定の間違いか」「確認結果：成功した操作も見たが、原因はまだ未確認」。分からなかった結果も、そのまま書けます。
演習で正解したら、答えにたどり着いたログや条件を残す。解説を見たところも区別しておくと、次に独力で試したい箇所が分かります。実習を行ったことと、別の場面でも技能を使えることを分けて見るためです。[4]
基礎が足りなかったなら、OS・通信・認証へ戻れる方が続けやすい。専門分野を急いで一つに決める前に、守る対象がどう動くかを学び、気になる役割を少しずつ絞っていきましょう。
気になる役割と、必要な前提を一つ選ぶ
監視して異変を見つける、記録から原因を調べる、設定を見直して防ぐ。どれに関心がありますか。仕事の場面を一つ選び、必要な知識へつなげるところまで進めます。
準備と、確かめる順番
気になる求人や職務紹介から、実際の作業を一つ抜き出します。職種名だけで決めず、毎日何を見る仕事かを探します。
その作業の対象を三つに分けます。端末やサーバー、通信、アカウントなど。説明に詰まる対象が、基礎から学ぶ候補です。
学んだ後は、許可された教材や検証環境の固定例で、「見た証拠」「立てた仮説」「確認結果」を三行に残します。実務のデータを持ち出さず、用意された材料で試してください。
土台が初めてなら、コンピュータ基礎から。仕組みを知っている方は、後続のセキュリティ基礎の内容と前提を確認できます。
研究の補足と、よくある疑問
プログラミングが得意でなくても始められる？
最初に求める力は役割で違います。監視や記録の読解を入口にするなら、OS・通信・認証を順に理解し、その後に作業を自動化するためのコードへ進む道もあります。求人の担当業務から優先する知識を選びましょう。
人手不足なのに採用が難しいのはなぜ？
必要な技能、予算、求める経験が別々の条件だからです。ISC2の調査も不足と経済的制約を同時に報告しています。自分の地域の求人で役割と入口条件を確かめ、基礎と実践の記録を準備する方が、需要の見出しだけに賭けるより判断しやすくなります。
ここで資格取得や就職まで面倒を見てもらえる？
現在の公開コースの内容と利用できる演習は、それぞれの詳細画面で確認できます。この記事は最初の学習先を選ぶための案内です。資格全範囲や就職支援の公開状況は、実装済みの範囲を確かめてから選んでください。
出典と確認した範囲（6資料）
出典と、読み取れる範囲
仕事の内容は職業枠組み、需要は発行地域の統計・調査、学び方は教育・障害研究から照合しています。求人状況と学習の提案を分けて読めるように、資料の種類と確認範囲を添えています。
対象・方法：米国、2025〜2035年の職業別雇用予測。
主な結果：情報セキュリティ分析職の雇用は21%増と予測。
限界：国内求人、ペネトレーションテスター単独の需要、個人の採用を推定する用途とは区別する。
確認した範囲
公開本文のJob Outlook・職務・入口条件を確認。予測の再現は未実施。 確認日：2026-10-26
対象・方法：2025年7〜8月、複数地域の実務者・意思決定者16,029人のオンライン調査。
主な結果：スキル不足が課題となる一方、採用凍結・予算制約も続く。
限界：自己報告調査。国内の全企業や未経験採用の求人件数を代表する標本とは区別して読む。
確認した範囲
公開報告の方法・スキル不足・経済的制約の節を確認。付属データの再解析は未実施。 確認日：2026-10-26
対象・方法：サイバーセキュリティの仕事をタスク・知識・スキルで記述する枠組み。
主な結果：職種名だけでなく、担当する仕事と必要な知識を対応づけられる。
限界：職業の共通言語として使用。採用条件や学習順序は企業・職務に合わせて決める。
確認した範囲
発行元の概要・枠組みの目的を確認。最新コンポーネントの全項目監査は未実施。 確認日：2026-10-26
対象・方法：SIGCSE/ITiCSEの採録71論文を整理する系統的文献レビュー。
主な結果：実習が多く使われる一方、主観評価と客観的学習評価の違いや、再現用データの不足を指摘。
限界：二つの会議の研究が対象。全教育手法の統合効果量や就職効果は求めていない。
確認した範囲
公開HTMLの検索方法・結果4節・限界を部分照合。71論文の再精読と独立抽出は未実施。 確認日：2026-10-26
対象・方法：公開CTF課題の知識・技能をカリキュラムと照合する分析。
主な結果：暗号・ネットワークなど技術領域が中心で、人や組織に関する学びが薄いと指摘。
限界：課題内容の分析。CTF参加が就職や実務能力へ与える因果効果は別途検証する。
確認した範囲
公開HTMLの要旨・分類・考察6節と結論を部分照合。全収集データの再分類は未実施。 確認日：2026-10-26
対象・方法：日本企業のDX取組と人材に関する2025年度調査。人材過不足はDX取組企業の回答。
主な結果：DX推進人材の不足感や、AIによる業務変化への対応を調べる。
限界：企業の不足感と、職種別の求人件数や採用可能性は別に確認する。
確認した範囲
公開PDFの調査概要と4章の人材に関する該当本文を部分確認。全データ集の再解析・職種別求人調査は未実施。 確認日：2026-10-26
この記事は複数文献を照合した編集記事です。既存研究を照合し、結果と条件を紹介しています。研究が同じ参加者を含む可能性があるため、文献間の人数を足していません。本文の行動提案・未来のシナリオは編集上の整理です。
この記事から、次に気になる話へ。
AIとクラウドの時代、インフラエンジニアを目指す価値はある？
「サーバーを触る仕事」は、この先も選べるのか。需要の数字と障害研究から、操作を覚える先にある仕事と、最初に学ぶ順番を見ていきます。
ホワイトハッカーになりたい。最初から「攻撃」を学ぶべき？
脆弱性を見つける力を、誰かを守る仕事に変えるには。CTF研究と実際の職務を比べ、解ける人から、説明して直せる人へ進む道を考えます。
名前を消せば、AIに送っても大丈夫？
AIに文章を直してもらいたい。でも、仕事の情報をそのまま貼るのは気になる。名前のほかに何を見ればよいか、研究と具体例から、送信前の見直し方を整理します。