生成AI活用、セキュリティ対策──優秀なIT人材を採用したい企業が知っておくべき考え方（3/4 ページ）

[芦野成則（レバテック），ITmedia]

深刻化する「セキュリティ人材」不足

　2025年は、サイバー攻撃やランサムウェア被害が相次ぎ、セキュリティ人材への需要が一段と高まった1年でした。実際、レバテックのデータによると、2025年12月時点のセキュリティ関連の正社員求人数は、直近3年間で約2.5倍に増加し、求人倍率は42.6倍と極めて高い水準に達しています。

　採用現場でも「セキュリティ人材を探しているが、そもそも候補者と出会えない」という声が、この1年で確実に増加しました。

出所：レバテック「IT人材の正社員転職市場動向」

　多くの企業が対策の必要性を理解しているものの、それを担う人材の確保や育成が追い付いていない。この問題は、2024年時点ですでに顕在化していましたが、2025年はより無視できない問題として表面化しました。

　こうした状況の中で、採用現場でより大きな課題となっているのが、「セキュリティ人材」という言葉の定義の曖昧さです。そもそもセキュリティ対策は、ファイアウォールやツールの導入だけで完結するものではありません。運用設計、インシデント対応、権限管理、ルール整備など、継続的かつ専門的な対応が求められます。

　実際の現場では「技術・実装寄りのセキュリティエンジニア」「CSIRTやSOCなどのインシデント対応・運用」「ITガバナンスや監査、ルール策定」といったように、本来は性質の異なる役割が存在します。しかし求人票では、これらを一つのポジションにまとめてしまうケースも少なくありません。その結果、「攻撃対策の実行」「企画・立案」「社内調整」の全てができる人を求めていると解釈され、ただでさえ限られた候補者をさらに狭めてしまいます。

　こうした課題に対し、近年では役割を分解して「運用・実行寄り」「企画・統制寄り」といった形で求人票を整理したり、セキュリティ専業にこだわらず、インフラや情シス経験者を採用し、育成を前提とした体制へ切り替えたりする企業も出てきています。

　セキュリティ人材が慢性的に不足する中で、採用において本当に問われているのは「完璧な専門家を探せるかどうか」ではありません。自社でどの役割を担ってもらいたいのか、そしてその人材に何を期待しているのかを、どれだけ具体的に言語化し、候補者に伝えられているかが重要だといえるでしょう。