サイバー攻撃への対策は、企業や組織にとって重要な課題の一つになっています。組織の情報システムを守る仕事の一つが、セキュリティエンジニアです。なお、本記事で扱うのは、警備や保安ではなく、ITやネットワークの情報セキュリティです。
新卒でこの分野を目指すとき、「実務経験がなくても応募できるのか」「研究経験をどう伝えればよいのか」が分かりにくいと感じる方もいるのではないでしょうか。
本記事では、セキュリティエンジニアの仕事内容、就職先、新卒採用の流れ、理系大学院生が研究経験を活かす方法を、公的機関や各社の公開情報をもとに解説します。
セキュリティエンジニアとは？基本的な仕組み
セキュリティエンジニアは、企業のシステムやネットワークを、サイバー攻撃や情報漏えいなどの脅威から守るIT分野の専門職です。
ここでは、定義、情報セキュリティの考え方、「ホワイトハッカー」という呼び方を整理します。
セキュリティエンジニアの定義
セキュリティエンジニアは、情報システム、ネットワーク、アプリケーションなどを、サイバー攻撃や情報漏えいなどの脅威から守る専門職です。システムの設計の段階から関わるほか、構築、運用、問題が起きたときの対応まで、関わる範囲は企業や職種によって異なります。
経済産業省の「情報セキュリティサービス基準」は、サービスの種類として、情報セキュリティ監査、脆弱性診断、ペネトレーションテスト（侵入試験）、デジタルフォレンジック、セキュリティ監視・運用、機器検証を挙げています（出典：情報セキュリティサービス基準 第4.1版（経済産業省））。
情報セキュリティの考え方
情報セキュリティの基本として、よく挙げられるのが、機密性、完全性、可用性の3つの要素です。機密性は、許可された人だけが情報にアクセスできる状態を指します。完全性は、情報が改ざんされず、正確に保たれている状態です。可用性は、必要なときに情報やシステムを利用できる状態を指します。
セキュリティエンジニアは、この3つの要素のバランスを考えながら、システムの設計や運用、問題への対応に関わります。
ホワイトハッカーという呼び方
「ホワイトハッカー」は、セキュリティの技術を、システムの防御や改善のために使う技術者を指して使われる呼び方です。職種名としては、企業によって使い方が異なります。
経済産業省の「情報セキュリティサービス基準」は、ペネトレーションテスト（侵入試験）を、脆弱性診断のうち、攻撃者が実際に侵入するために用いる手法と同様の手法で行うサービスと定義しています（出典：情報セキュリティサービス基準 第4.1版（経済産業省））。「ホワイトハッカー」と呼ばれる仕事には、こうした診断の業務が含まれる場合があります。募集要項では、実際の職種名と仕事内容を確認しましょう。
セキュリティエンジニアの主な仕事内容
セキュリティエンジニアの仕事は、担当する領域によってさまざまです。ここでは、代表的な4つの職種と、脆弱性への対応の例を紹介します。
職種の名称や仕事の範囲は企業によって異なります。志望企業の募集要項で、具体的な仕事内容を確認しましょう。
SOCアナリスト
SOC（Security Operation Center）は、ネットワークやシステムのログ、セキュリティ機器のアラートを監視し、サイバー攻撃の兆候を分析する専門の組織です。SOCアナリストは、そこで、不審な通信や異常を見つけ、状況を分析して、報告や初動の対応を行います。
例えばNRIセキュアテクノロジーズは、24時間365日のマネージドセキュリティサービスとして、SOCなどを提供しています（出典：NRIセキュアテクノロジーズ（野村総合研究所））。
脆弱性診断エンジニア
システムやソフトウェアに、セキュリティ上の弱点（脆弱性）がないかを調べる職種です。経済産業省の基準では、脆弱性診断として、Webアプリケーション、プラットフォーム、スマートフォンやタブレット端末のアプリケーションの診断が挙げられています（出典：情報セキュリティサービス基準 第4.1版（経済産業省））。
診断の結果をもとに、どこにどのような問題があるかを整理して報告し、対策の方法を提案します。
インシデント対応担当者
JPCERT/CCは、インシデントが発生した後の被害を最小限にするための事後対応を、インシデント対応（レスポンス）と呼んでいます（出典：インシデント対応とは（JPCERT/CC））。CSIRT（Computer Security Incident Response Team）は、組織内の情報セキュリティ問題を専門に扱う、インシデント対応のチームです（出典：CSIRTマテリアル（JPCERT/CC））。
原因の調査には、デジタルフォレンジックと呼ばれる、記録の分析を行う手法も使われます。担当する範囲は、企業によって異なります。
セキュリティ基盤エンジニア
ファイアウォールなどのセキュリティ機器の導入や、システムのセキュリティ設計、運用を行う職種です。近年は、ゼロトラストという考え方も使われています。
デジタル庁の資料では、ゼロトラストアーキテクチャは、イントラネットを含めたネットワークを暗黙的に安全であるという前提を信用しないとされています（出典：ゼロトラストアーキテクチャ適用方針の概要（デジタル庁））。
脆弱性への対応の例
2026年10月21日、PHPの開発元は、認証なしでのリモートコード実行につながりうる、2件の脆弱性（CVE-2026-109618、CVE-2026-109619）を修正したセキュリティリリースを公開しました（出典：PHP 8.5.12 リリースノート（PHP開発チーム））。IPAは、2026年10月22日に注意喚起を公表し、修正プログラムの適用を対策として示しています（2026年10月22日時点。出典：PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）（IPA））。
IPAは、修正対応が難しい場合について、利用中のPHPのサポート状況の確認、更新や移行までの暫定対策やアクセス制限の検討、システムの状況や更新・移行の難易度の把握を挙げています（出典：PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）（IPA））。また、事前の段階では、対象システムの棚卸しなどの準備を呼びかけていました（出典：【事前準備のお願い】PHPのセキュリティリリース公開予定について（IPA））。こうした、情報を集め、影響を把握し、対策を判断する流れが、セキュリティエンジニアの仕事の一例です。
Webアプリケーションの脆弱性の例として、SQLインジェクションがあります。IPAは、SQL文をプレースホルダで組み立てることで、この脆弱性を解消できると説明しています（出典：安全なウェブサイトの作り方 1.1 SQLインジェクション（IPA））。
セキュリティエンジニアの主な就職先
セキュリティエンジニアを募集している企業は、さまざまな業種にあります。ここでは、代表的な6つの分類を紹介します。
分類は本記事での整理で、同じ企業が複数の分類にまたがる場合もあります。企業名は一例で、特定の企業を推奨するものではありません。
セキュリティ専門ベンダー
セキュリティのサービスや製品を中心に事業を行う企業です。例えばNRIセキュアテクノロジーズは、コンサルティング事業と、24時間365日のSOCなどを含むマネージドセキュリティサービス事業を展開しています（出典：NRIセキュアテクノロジーズ（野村総合研究所））。
セキュリティの専門性を、事業の中心として活かしたい場合に、候補になる分類です。企業ごとに、診断、監視、コンサルティング、製品開発など、得意な領域が異なります。
SIer
SIer（システムインテグレーター）は、企業のシステムの設計、開発、構築、運用を請け負う企業です。システムの開発に合わせて、セキュリティの設計や対策を提案する場合があります。
SIerによって、セキュリティを専門に担う部署の有無や、仕事の範囲は異なります。募集要項で、セキュリティに関わる職種があるかを確認しましょう。
SIerを志望する場合は、システム開発やインフラの職種を経て、セキュリティに関わるキャリアもあります。入社後の配属の決まり方を、説明会で確認しましょう。
通信事業者
通信事業者は、通信のネットワークやサービスを提供する企業です。ネットワークの運用や、セキュリティに関わるサービスの企画、開発などの仕事があります。
扱うネットワークの規模や、セキュリティに関わる部署は、企業によって異なります。公式の採用ページで、募集職種を確認しましょう。
通信事業者を志望する場合は、ネットワークの運用、サービスの企画、セキュリティの技術開発など、募集している職種を比べてみましょう。自分の研究や学習が、どの職種と結びつくかを整理しておくと、志望動機に活かせます。
Web系企業
自社でWebサービスやアプリケーションを提供する企業です。サービスの開発や運用の中で、セキュリティの検証や、認証、個人データの保護に関する仕組みづくりなどに関わる場合があります。
開発の速度や、エンジニアの役割の分け方は、企業によって異なります。セキュリティの専任があるかどうかは、募集要項や社員の紹介で確認しましょう。
Web系企業を志望する場合は、自社サービスの技術や、開発の体制を、技術ブログなどの公開情報で確認できる場合があります。サービスの内容と自分の関心が合うかも、判断の材料にしましょう。
事業会社
金融、製造、小売など、IT以外の事業を行う企業です。社内の情報システム部門や、社内CSIRTの一員として、自社の情報資産を守る仕事があります。
外部のベンダーと連携しながら、社内のルールづくりやリスクの評価に関わる場合もあります。企業によって、セキュリティの体制は異なります。
事業会社を志望する場合は、セキュリティを専門に担う部署の有無と、新卒が配属される職種を、採用ページで確認しましょう。入社後に、情報システム部門などで経験を積む場合もあります。
コンサルティングファーム
企業に対して、セキュリティの方針づくりや、体制の構築、リスクの評価などを支援する企業です。技術の知識に加えて、相手の事業を理解し、説明する力が求められる場面があります。
コンサルティングファームでも、技術的な診断に近い仕事から、経営層への助言まで、仕事の幅は異なります。募集職種の内容を確認しましょう。
志望する場合は、技術の学習に加えて、企業の課題を整理して説明する練習も役立ちます。研究で、結果を分かりやすくまとめた経験を、整理しておきましょう。
セキュリティエンジニアの新卒採用の流れ
新卒採用の選考は、企業によって、時期や進め方が異なります。ここでは、スケジュール、求人票の見方、インターンシップ、ES、技術面接などのポイントを紹介します。
最新の選考情報は、志望企業の新卒採用ページで確認してください。公開されている募集要項が、最も確かな情報です。
就活のスケジュール
内閣府の調査（令和6年度）では、「インターンシップと呼称されるもの」への参加は、大学院2年生では、大学院1年生の7月から本格化したとされています（出典：学生の就職・採用活動開始時期等に関する調査 調査結果報告書（令和6年度）（内閣府））。修士1年の夏ごろから、インターンシップへの参加が本格化する傾向がうかがえます。
令和7年度の調査では、内々定を受けた時期は、過去の調査と比べて、4月から6月の割合が下がり、3月が最も高くなったとされています（出典：学生の就職・採用活動開始時期等に関する調査結果について（概要）令和7年12月（内閣府））。企業によって時期は異なるため、早めに、志望企業の日程を確認しておきましょう。
早期選考の傾向
内閣府の調査（令和6年度）では、インターンシップに参加した効果として、「採用選考上の優遇が受けられた」「参加した企業から内々定を受けることにつながった」と回答した割合が、「5日以上」のインターンシップの方が高いとされています（出典：学生の就職・採用活動開始時期等に関する調査結果について（概要）令和6年12月（内閣府））。
インターンシップが選考に関わるかどうかは、企業によって異なります。応募する前に、募集要項や採用ページで、インターンシップと選考の関係についての説明を確認しましょう。
求人票の確認方法
募集要項では、まず、「セキュリティエンジニア」などの職種として、独立して募集されているかを確認しましょう。応募資格や、求められる知識、歓迎されるスキルも確認します。
例えばNRIセキュアテクノロジーズの2027年卒向けの募集要項では、応募資格として、大学院修了見込みの方も対象で、全学部・全学科・国籍不問とされています。また、野村総合研究所で採用された後、NRIセキュアテクノロジーズに出向となるとされています（出典：採用フロー／募集要項（NRIセキュアテクノロジーズ））。このように、採用の形や配属の仕組みは、企業ごとに異なります。
インターンシップへの参加方法
インターンシップは、各社の採用サイトや、就活のポータルサイトから応募します。選考がある場合もあり、募集の時期や内容は、企業によって異なります。
NRIセキュアテクノロジーズは、現場配属型のインターンシップ「セキュリティエキスパートコース」を実施しており、ブログ記事では、SOC業務を行う部署に10日間配属され、実際の監視業務でアラート分析を行ったと紹介されています（出典：現場配属型インターンシップのリアル（NRIセキュアテクノロジーズ））。募集の有無や内容は変わるため、最新の情報を確認しましょう。
エントリーシートの作成方法
志望動機は、セキュリティエンジニアを目指す理由と、そのために行ってきた学習や活動を、結びつけて整理しましょう。CTFへの参加、資格の学習、個人での開発など、自分で取り組んだことを、具体的に書きます。
研究内容の言語化や、ESの作成に不安がある場合は、院卒出身のアドバイザーが研究内容の言語化やES添削をサポートする、アカリク就職エージェントを活用する方法もあります。
コーディングテストの対策方法
選考の中で、プログラミングのテストが課される場合があります。出題の形式や内容は、企業や年度によって異なります。
データ構造や基本的なアルゴリズムを復習し、制限時間の中で正しく動くコードを書く練習をしておきましょう。志望企業の選考案内で、テストの有無や形式を確認します。
練習の際は、時間を計って解く、解いた後に別の方法がないか考える、といった習慣をつけておくと、本番で落ち着いて取り組みやすくなります。選考の時期に合わせて、計画的に進めましょう。
技術面接の対策方法
技術面接では、研究内容や、自分で作ったものについて、説明を求められることがあります。また、ネットワークやOSの基本的な仕組み、セキュリティの基礎についての質問がある場合もあります。
専門外の人にも分かるように、背景、自分の役割、工夫した点、結果の順に整理して説明できるようにしておきましょう。分からない点を聞かれたときに、考え方を説明できることも大切です。
理系大学院生が研究経験を活かす方法
理系大学院生の研究の進め方は、セキュリティエンジニアの仕事と通じる部分があります。ここでは、専攻ごとの活かし方と、志望動機のつくり方を紹介します。
専攻や研究内容によって活かし方は異なります。自分の研究の経験を、仕事の場面に置き換えて整理してみましょう。
情報系の研究を活かす方法
情報セキュリティ、暗号、ネットワーク、機械学習を使った異常の検知など、情報系の研究に取り組んでいる場合は、研究で扱った技術や課題を、技術面接で具体的に説明できます。
研究で何を解き明かそうとしたか、どのような方法を選んだか、結果をどう考察したかを、整理しておきましょう。セキュリティとの関連が薄い研究でも、使った技術や手法を説明できれば、材料になります。
情報系以外の専攻を活かす方法
物理、化学、機械、生物など、情報系以外の専攻でも、数値解析のプログラミング、シミュレーションの実装、実験装置の制御などの経験を、エンジニアとしての適性を示す材料にできます。
ただし、セキュリティの基礎知識は、自分で学んでおく必要があります。資格の学習やCTFなどを通じて、どの程度学んでいるかを、具体的に説明できるようにしましょう。
学習の進め方は、基本情報技術者試験などの資格の学習や、入門向けのハンズオンから始める方法もあります。自分の研究との共通点を、探してみましょう。
仮説検証の経験を活かす方法
研究は、背景を調べ、仮説を立て、実験の環境を整え、データを取り、結果を分析して次に生かす、という流れで進みます。脆弱性の調査や、インシデントの原因の調査でも、仮説を立てて確かめ、原因を絞り込んでいく場面があります。
研究で仮説検証を繰り返した経験を、具体的なエピソードとして整理しておきましょう。うまくいかなかったときに、どのように原因を考え、方針を変えたかを話せると、伝わりやすくなります。
志望動機の作成方法
志望動機は、研究を通じて身につけた力と、セキュリティ分野への関心を結びつけて整理します。例えば、「研究で身につけた論理的に検証する姿勢を、日々変化する脅威への対応に活かしたい」のように、自分の経験と、志望する仕事の内容を結びつけます。
志望企業の事業や、募集している職種を調べて、「なぜその企業なのか」も説明できるようにしておきましょう。
志望動機は、複数の企業に使い回さず、企業ごとに、事業内容や職種に合わせて見直すと、伝わりやすくなります。
セキュリティエンジニアを目指すための準備
実務の経験が少ない場合でも、資格の学習やCTF、ポートフォリオなどを通じて、学んできたことを示せます。ここでは、準備として取り組める内容を紹介します。
資格やコンテストの有無が、選考でどの程度見られるかは、企業によって異なります。すべてを揃える必要はありません。自分に合うものを選びましょう。
情報処理安全確保支援士
情報処理安全確保支援士は、サイバーセキュリティ分野の国家資格です。経済産業省は、サイバー攻撃の急増に対応するため、専門人材の育成と確保を目的とした制度として紹介しています（出典：情報処理安全確保支援士（登録セキスペ）（経済産業省））。
制度の概要
情報処理安全確保支援士になるには、試験に合格した後、登録が必要です。登録後は、講習の受講が義務づけられており、登録は3年ごとの更新が必要です（出典：情報処理安全確保支援士（登録セキスペ）（経済産業省）、情報処理安全確保支援士（登録セキスぺ）に関するよくあるご質問（IPA））。
IPAは、この試験を、サイバーセキュリティリスクを分析・評価して安全を確保するセキュリティエンジニアや、助言を行うセキュリティコンサルタントを目指す方に向けた試験として紹介しています（出典：情報処理安全確保支援士試験（IPA））。
学生の受験資格
経済産業省は、情報処理安全確保支援士試験の受験・応募資格に、制限はないとしています（出典：情報処理安全確保支援士（登録セキスペ）（経済産業省））。学生でも受験できます。
試験は、令和8年度（2026年度）は、CBT方式により、前期・後期に実施されます（出典：情報処理安全確保支援士試験（IPA））。次年度以降の日程や方式は、IPAのページで確認しましょう。
就職先との関係
経済産業省の「情報セキュリティサービス基準」には、サービスを提供する事業者が満たすべき技術要件として、専門性を有する者の在籍状況が定められています。例えば、情報セキュリティ監査サービスでは、一定の資格などを持つ者を技術責任者とすることが示されています（出典：情報セキュリティサービス基準 第4.1版（経済産業省））。
資格が、企業の評価や、業務の要件の中でどのように扱われるかは、企業や職種によって異なります。募集要項や、資格取得の支援制度の有無を確認しましょう。
そのほかの資格
情報処理安全確保支援士のほかにも、IT全般やセキュリティの知識を学べる資格があります。
目指す職種や、現在の知識に合わせて、取り組む資格を選びましょう。
基本情報技術者試験
経済産業省の資料では、基本情報技術者試験は、ITを活用したサービス、製品、システム及びソフトウェアを作る人材に必要な基本的知識・技能をもち、実践的な活用能力を身に付けた者を対象としています（出典：情報処理技術者試験の対象者像（経済産業省））。セキュリティの学習の土台として、ITの基礎を確認できます。
応用情報技術者試験
同じ資料では、応用情報技術者試験は、応用的知識・技能をもち、高度IT人材としての方向性を確立した者を対象としています（出典：情報処理技術者試験の対象者像（経済産業省））。基本情報技術者試験の上位の試験区分で、より幅広い応用力を問われます。
CompTIA Security+
CompTIAが認定する、セキュリティの資格です。CompTIAは、前提条件はないとしたうえで、受験前に、セキュリティに重点を置いた少なくとも2年のIT管理経験と、CompTIA Network+認定資格の取得を推奨しています（出典：CompTIA Security+認定を取得するにはどうすればよいですか（CompTIA））。
CTF
CTFは、セキュリティの技術を競うコンテストです。参加を通じて、実践的な知識を身につけられます。
CTFの成績や経験が、選考でどの程度評価されるかは、企業によって異なります。自分の学習の記録として、活用しましょう。
CTFとは
CTFは、Capture The Flagの略です。問題を解いて、隠された答え（フラグ）を探し出す形式のコンテストで、暗号の解読、プログラムの解析、Webアプリケーションの脆弱性の調査などの問題が出されます。
CTFの経験を伝える方法
履歴書や面接では、「CTFに参加した」だけでなく、どの大会に、どのような役割で、どのチーム構成で参加し、どのような成果が出たかを、事実に基づいて具体的に伝えましょう。順位などの数値は、公式の結果を確認して記載します。
Write-upの作成方法
Write-upは、CTFの問題を解いた手順や考え方を、文書にまとめたものです。問題の内容、解く際に考えたこと、使った手法、結果を、順に整理して書きます。
公開する場合は、大会のルールで公開が認められているかを確認しましょう。応募者の考え方や、文章での説明力を示す材料になります。
コミュニティ活動
セキュリティ分野では、勉強会やイベント、コミュニティを通じて、学ぶ機会があります。
参加の際は、対象年齢や応募条件、参加の形式を、主催者の案内で確認しましょう。
セキュリティ・キャンプ
セキュリティ・キャンプは、IPAとセキュリティ・キャンプ協議会が主催する、若年層向けのセキュリティ人材育成のイベントです（2026年は経済産業省が共催。出典：セキュリティ・キャンプ2026全国大会 募集要項（IPA））。全国大会は、22歳以下の学生・生徒が対象で、応募課題の提出による選考があります（出典：全国大会（セキュリティ・キャンプ協議会））。
全国大会の次の段階の「ネクスト」や、各地で開かれる「ミニ」は、25歳以下の学生が対象とされています（出典：セキュリティ・キャンプ（IPA））。対象年齢や応募条件は、年度ごとに変わる場合があるため、最新の募集要項を確認しましょう。
勉強会
セキュリティの勉強会やハンズオンのイベントは、オンラインや、地域ごとに開かれています。参加を通じて、最新の情報を知ったり、同じ分野に関心のある人と交流したりできます。
参加費や、対象者、参加の形式は、イベントによって異なります。主催者の案内を確認して、自分に合うものを選びましょう。
活動の発信方法
学んだ技術や、勉強会で得た気づきを、ブログなどにまとめて発信する方法があります。継続して発信することは、学習への取り組みを示す材料になります。
脆弱性の検証は、自分で用意した環境や、許可された環境で行いましょう。他人のシステムに許可なく検証を行うことは、法律に違反するおそれがあります。
ポートフォリオ
ポートフォリオは、自分が取り組んだことをまとめた成果物の一覧です。実務の経験が少ない場合に、学習の成果を示す方法の一つです。
何を、どのような目的で作ったかを、分かりやすく整理しましょう。
ポートフォリオとは
ポートフォリオは、自分が書いたコードや、作ったツール、取り組んだ内容をまとめたものです。実務の経験がなくても、学習の過程や、実装の力を示す材料になります。
ポートフォリオの作成方法
GitHubなどのサービスに、自作のツールのソースコード、セキュリティを考慮して実装したWebアプリケーション、自分で用意した環境での検証の記録などを、整理して公開する方法があります。
公開する前に、個人情報や、他人の権利に関わる情報が含まれていないかを確認しましょう。何を学び、どう工夫したかの説明を添えると、伝わりやすくなります。
セキュリティエンジニアの就職先を選ぶ際の確認点
入社後に、安心して学び、成長していくために、企業の育成の仕組みや、働き方を確認しておくことが大切です。
確認できる情報は、企業によって異なります。説明会、社員との面談、インターンシップなどの機会を活用しましょう。
新卒研修の確認方法
募集要項や説明会で、入社後の研修の期間や内容が、具体的に示されているかを確認しましょう。セキュリティに特化した研修があるかどうかも、確認のポイントです。
例えばNRIセキュアテクノロジーズの若手社員は、新人研修の後、カリキュラムに沿って一人前のSOCアナリストになるための訓練を受け、先輩社員の指導のもとで、ログ分析を学んだと紹介しています（出典：現場配属型インターンシップのリアル（NRIセキュアテクノロジーズ））。このように、入社後の流れを、社員の紹介で確認できる場合もあります。
OJTの確認方法
研修の後、配属されてから、実際の仕事を通じて、どのように教えてもらえるかを確認しましょう。誰が指導するか、どのような順番で仕事を任されるかは、企業やチームによって異なります。
説明会や面談で、新卒社員が最初に担当する仕事の例を聞いてみると、入社後のイメージがつかみやすくなります。
OJTの進め方は、チームの人数や、扱うサービスによって異なります。ひとつの質問への答えだけで判断せず、複数の社員の話を聞いて、全体像をつかみましょう。
メンター制度の確認方法
直属の指導担当者のほかに、仕事や、キャリアの相談ができる人がいるかどうかを確認しましょう。メンター制度の有無や、運用の仕方は、企業によって異なります。
制度の名称だけでなく、実際にどのような場面で相談できるかを、社員に聞いてみると、安心して働けるかを判断しやすくなります。
メンターが決まる時期や、面談の頻度も、確認の候補です。制度が公開されていない場合は、説明会や面談で、聞いてみるのも一つの方法です。
オンコール体制の確認方法
SOCやインシデント対応の部署では、夜間や休日に、緊急の連絡に備える体制がある場合があります。ない場合もあるため、志望する職種について、確認が必要です。
体制がある場合は、対応する頻度、手当の有無、対応した後の休みの取り方などを、説明会や面談で確認しましょう。確認の際は、働き方を知りたいという意図が伝わるように、丁寧に質問しましょう。
夜間や休日の対応が少ない職種や、体制が整っている職種もあります。一律に判断せず、志望する職種の実際の仕組みを、確認しましょう。
シフト勤務の確認方法
24時間365日の監視を行う部署では、シフト勤務が行われる場合があります。例えばNRIセキュアテクノロジーズは、24時間365日のSOCを提供しています（出典：NRIセキュアテクノロジーズ（野村総合研究所））。
志望する職種に、シフト勤務があるかどうか、ある場合は、サイクルや、夜勤の後の休息の取り方を、募集要項や面談で確認しましょう。
シフト勤務がある場合も、手当や休みの仕組みは企業によって異なります。生活のリズムと両立できるかを、自分の状況に合わせて考えましょう。
セキュリティエンジニアのキャリアパス
セキュリティエンジニアのキャリアは、企業や職種によってさまざまです。ここでは、入社後の道筋と、インフラ職種からの道筋を紹介します。
一例であり、必ずこの順に進むわけではありません。志望企業の社員の経歴も、参考にしてください。
入社後のキャリアパス
入社後は、SOCでの監視や分析、基本的な脆弱性診断、セキュリティ機器の運用などの仕事から、経験を積む場合があります。実務の流れを理解した後に、より高度な診断、インシデント対応、組織のセキュリティの企画や管理などの仕事に進む道があります。
どのような仕事に、どのくらいの期間で進めるかは、企業やチームによって異なります。社員インタビューや説明会で、キャリアの例を確認しましょう。
インフラ職種からのキャリアパス
新卒の時点で、セキュリティの専門部署に配属されない場合もあります。例えば、サーバーやネットワーク、クラウドなどのインフラの職種で経験を積んだ後に、システム全体のセキュリティに関わる仕事に移る道があります。
社内で異動する場合と、転職する場合があります。配属や異動の仕組みは、企業によって異なるため、志望企業の方針を確認しましょう。
インフラの職種で身につくネットワークやサーバーの知識は、セキュリティの仕事でも役立つ場合があります。長期的なキャリアの選択肢の一つとして、検討してみましょう。
まとめ｜研究経験を活かしてセキュリティエンジニアへの道を考えよう
セキュリティエンジニアには、SOCアナリスト、脆弱性診断エンジニア、インシデント対応担当者など、さまざまな職種があり、就職先もセキュリティ専門ベンダー、SIer、事業会社など、多岐にわたります。募集要項や採用ページで、具体的な仕事内容と選考の流れを確認することが、第一歩になります。
研究で培った、仮説を立てて検証する力は、脆弱性の調査やインシデントの原因の調査と通じる部分があります。資格の学習やCTF、ポートフォリオなどを通じて、自分が学んできたことを、具体的に示せるように準備しましょう。研究内容の言語化や企業選びに迷ったときは、アカリクのスカウトサービスや就職エージェントも活用してみましょう。
