サイバー攻撃が年々増加しています。そのために、セキュリティ人材が重要な存在になりますが、日本全体でセキュリティ人材が不足しています。サイバー攻撃はどれくらいの割合で増えているのか。どれくらいの人材が必要とされているのかを確認してみましょう。

これからセキュリティ人材を育てるために、どういう方法があるのかも併せてご紹介します。

増えるサイバー攻撃

国立研究開発法人情報通信研究機構が毎年リリースしている「NICTER観測レポート」。NICTERはサイバー攻撃観測・分析システムで、無差別型サイバー攻撃の動向を把握することを目的としたものです。ダークネットと呼ばれる未使用のIPアドレスを観測することで、マルウェアに感染した機器のスキャン活動などを分析しています。

NICTER 観測レポート 2024によると、過去10年間の「1IPアドレスあたりの年間総観測パケット数」は以下の通りとなっています。このパケット数は、サイバー攻撃の活発さの指標となっています。

参考情報：観測レポート | 国立研究開発法人情報通信研究機構
https://www.nicter.jp/report

前年比では減っている年もありますが、傾向としては増加の一途をたどっているのがわかります。

サイバー攻撃の対応は、産官民連携で進める必要がありますが、もちろん、各企業・団体単位でも行う必要があります。

そこで必要になってくるのがセキュリティ人材です。

セキュリティ人材の現状

日本のサイバーセキュリティ人材は、増加傾向にあるものの、追加で16万9,602人必要だといわれています（2024 ISC2 Cybersecurity Workforce Studyによる）。

IPAの「2024年度中小企業における情報セキュリティ対策に関する実態調査」では、セキュリティの専門部署（担当者）があるという企業の割合は9.3%しかありません。これは2021年度の同様の調査での結果8.7％から微増に留まっています。

同調査では「兼務だが、担当者が任命されている」は21.0％、「組織的には行っていない（各自の対応）」は69.7%となっています。

セキュリティ人材が少ない理由としては、「必要性を感じていない」「費用対効果が見えない」「コストがかかりすぎる」などが挙げられています。

費用対効果については、サイバー攻撃被害を受けなければ損失は0ですから効果が見えにくいのは確かですが、もしも被害を受けてしまうと多大な損害が出ることになります。

2025年10月のアサヒビールのランサムウェア攻撃の直接損失額は90億円、販売機会の損失や情報流出に伴う費用も入れると月300億円にも及ぶとの見方があります。アサヒビールの2024年売上高が788億4,100万円ですから、どれだけ大きな損失なのかがわかります。

アサヒビールが何も対策していなかったわけではないですが、費用対効果はサイバー攻撃被害にあったときのことも想定しておくべきということを示しています。

参考情報：「2024年度中小企業における情報セキュリティ対策に関する実態調査」報告書について | IPA 独立行政法人情報処理推進機構
https://www.ipa.go.jp/security/reports/sme/sme-survey2024.html

サイバーセキュリティ人材育成

企業・団体ごとにセキュリティ人材を育てる方法のひとつに資格取得を目指すというものがあります。

情報セキュリティマネジメント試験

情報セキュリティマネジメントの計画・運用・評価・改善により組織を脅威から継続的に守るための基本的なスキルを認定します。

対象者は、業務で個人情報を扱う方、情報管理を担当する方、外部委託先の情報セキュリティ評価・確認を行う方など。

https://www.ipa.go.jp/shiken/kubun/sg/index.html

情報処理安全確保支援士制度（登録セキスペ）

情報セキュリティマネジメント試験の内容にプラスして、サイバーセキュリティ対策の調査・分析・評価を行った結果に基づき、必要に応じて指導・助言を行う者を認定します。

登録セキスペは3年ごとの登録更新が義務づけられ、更新時には計4回の公衆の受講が必要です。

https://www.ipa.go.jp/jinzai/riss/index.html

サイバーセキュリティネクサス（CYNEX）

産学官の結節点（ネクサス）となる先端的基盤の構築を目指して、サイバーセキュリティネクサス（CYNEX）という組織が2021年に立ち上がりました。

CYNEXは、サイバーセキュリティ情報の大規模収集を行い、また、ナショナルサイバートレーニングセンターとして、人材育成も行っています。

その事業として、以下の３つと大きなイベントごとのサイバー防御講習などの事業を展開しています。

実践的サイバー防御演習（CYDER）

総務省は、情報通信研究機構（NICT）を通じて、情報システム担当者を対象とし、体験型の実践的サイバー防御演習（CYDER）を実施しています。

組織がサイバー攻撃を受けたと仮定し、一連のインシデント対応を、PCを操作しながらロールプレイ形式で体験する演習コースです。

「事前学習」と「演習」に分かれていて、座学＋本格的なトレーニングを受けられます。

コースは、初級（Aコース）、中級（B-1コース、B-2コース）、準上級（Cコース）、プレCYDERの５つ。

それぞれの目的や知識にあったものを選択できます。

なお、国の機関や独立行政法人、地方公共団体職員などは無料で受講できます。

https://cyder.nict.go.jp/index.html

実践サイバー演習 RPCI

実際に起きた攻撃事例などをもとに設計した、情報処理安全確保支援士の資格更新のための実践講習。

リアルなサイバー攻撃シナリオに対して、組織のネットワーク環境を模した演習環境で、４人一組のCSIRTチームの一員として攻撃の痕跡を調査します。実機を用いて実践的なインシデントハンドリングが体験できます。

https://rpci.nict.go.jp/

SecHack365

対象は25歳以下。セキュリティイノベーターとして、セキュリティの課題にアイディアで切り込める人材を育成する、長期のハッカソン。

サイバーセキュリティの課題に関する分析力、課題解消のストーリーをわかりやすく表現する力などを身につけます。

コースは以下の5つで、期間は1年間。

表現駆動コース
学習駆動コース
開発駆動コース
思索駆動コース
研究駆動コース

https://sechack365.nict.go.jp/

セキュアプラクティス

%3Ciframe%20width%3D%22560%22%20height%3D%22315%22%20src%3D%22https%3A%2F%2Fwww.youtube.com%2Fembed%2FQxluIilm5uc%3Fsi%3DYiaN6dYvNDOW2Yl7%22%20title%3D%22YouTube%20video%20player%22%20frameborder%3D%220%22%20allow%3D%22accelerometer%3B%20autoplay%3B%20clipboard-write%3B%20encrypted-media%3B%20gyroscope%3B%20picture-in-picture%3B%20web-share%22%20referrerpolicy%3D%22strict-origin-when-cross-origin%22%20allowfullscreen%3D%22%22%3E%3C%2Fiframe%3E

詳細はこちら
https://www.securitier.jp/security/ciso/cisosp/

まとめ

日本ではあと16万9,602人のセキュリティ人材が必要とされている
企業でセキュリティ人材を育てるためには資格取得もひとつの手
産官学連携で、セキュリティ教育のコースを展開している