近年、企業を狙ったサイバー攻撃が急増している中で、セキュリティ人材不足が大きな課題となっています。

「専任担当者がいない」
「兼務でセキュリティ対応をしている」
「何から手をつければいいかわからない」

このような状況にある企業は少なくありません。
日本におけるセキュリティ人材不足の現状と原因、そして人材不足を前提とした現実的な対策について、実務視点で解説します。

増えるサイバー攻撃

国立研究開発法人情報通信研究機構が毎年リリースしている「NICTER観測レポート」。NICTERはサイバー攻撃観測・分析システムで、無差別型サイバー攻撃の動向を把握することを目的としたものです。ダークネットと呼ばれる未使用のIPアドレスを観測することで、マルウェアに感染した機器のスキャン活動などを分析しています。

NICTER 観測レポート 2025によると、過去10年間の「1IPアドレスあたりの年間総観測パケット数」は以下の通りとなっています。このパケット数は、サイバー攻撃の活発さの指標となっています。

参考情報：観測レポート | 国立研究開発法人情報通信研究機構
https://www.nicter.jp/report

前年比では減っている年もありますが、傾向としては増加の一途をたどっているのがわかります。

現在は、

ランサムウェア
フィッシング攻撃
VPN機器の脆弱性を狙った侵入
認証情報の窃取

など、攻撃手法も多様化しています。こうした状況において、企業が自社システムを守るためには、専門知識を持つ人材が不可欠です。より専門的な対応が求められる一方で、セキュリティ人材不足がそれに追いついていないのが現状です。

関連記事：ランサムウェアの侵入経路と対策
https://hypervoice.jp/ransomware-entry-points

関連記事：VPN機器の脆弱性とリスク
https://hypervoice.jp/VirtualPrivateNetwork

関連記事：認証情報の窃取
https://hypervoice.jp/phishing_defense

日本のセキュリティ人材不足の現状

日本のサイバーセキュリティ人材は、増加傾向にあるものの、追加で16万9,602人必要だといわれています（2024 ISC2 Cybersecurity Workforce Studyによる）。IPAの「2024年度中小企業における情報セキュリティ対策に関する実態調査」では、セキュリティの専門部署（担当者）があるという企業の割合は9.3%しかありません。これは2021年度の同様の調査での結果8.7％から微増に留まっています。

同調査では「兼務だが、担当者が任命されている」は21.0％、「組織的には行っていない（各自の対応）」は69.7%となっています。セキュリティ人材が少ない理由としては、「必要性を感じていない」「費用対効果が見えない」「コストがかかりすぎる」などが挙げられています。費用対効果については、サイバー攻撃被害を受けなければ損失は0ですから効果が見えにくいのは確かですが、もしも被害を受けてしまうと多大な損害が出ることになります。

2025年10月のアサヒビールのランサムウェア攻撃の直接損失額は90億円、販売機会の損失や情報流出に伴う費用も入れると月300億円にも及ぶとの見方があります。アサヒビールの2024年売上高が788億4,100万円ですから、どれだけ大きな損失なのかがわかります。アサヒビールが何も対策していなかったわけではないですが、費用対効果はサイバー攻撃被害にあったときのことも想定しておくべきということを示しています。

参考情報：「2024年度中小企業における情報セキュリティ対策に関する実態調査」報告書について | IPA 独立行政法人情報処理推進機構
https://www.ipa.go.jp/security/reports/sme/sme-survey2024.html

なぜセキュリティ人材は不足しているのか

主な要因は次の3つです。

① 必要性の認識不足

「自社は狙われない」という認識が依然として残っています。しかし現在は企業規模に関係なく攻撃対象となる時代です。

② 費用対効果が見えづらい

セキュリティ対策は“何も起きないこと”が成果です。そのため投資対効果が説明しにくい、経営判断が遅れるという問題があります。

③ 採用・育成の難しさ

高度人材は市場でも不足、育成には時間とコストがかかる結果として、人材不足が慢性化しているのです。

被害発生時のリスクは極めて大きい

一方で、サイバー攻撃による被害は極めて重大です。

被害内容は

システム停止
業務停止
顧客情報流出
ブランド毀損
損害賠償

など多岐にわたります。特にランサムウェア被害では、「業務停止による売上損失」が最も大きな影響を与えます。

セキュリティ人材不足を前提にした現実的な対策

セキュリティ人材不足は、採用だけでは解決できません。企業は次の3つの対策を組み合わせる必要があります。

① 社内リテラシーの向上

まずは全社員のリテラシーを底上げすることが重要です。

セキュリティ教育
標的型メール訓練
基本ルールの徹底

関連記事：サイバーセキュリティ研修５選
https://hypervoice.jp/cybersecurity-training

② 中核人材の育成

セキュリティ人材不足の中でも、最低限「中心となる担当者」を設ける必要があります。また、企業・団体ごとにセキュリティ人材を育てる方法のひとつに資格取得を目指すというものがあります。

登録セキスペ取得
実践トレーニング
インシデント対応演習

関連記事：登録セキスペとは
https://hypervoice.jp/riss-certification

情報セキュリティマネジメント試験

情報セキュリティマネジメントの計画・運用・評価・改善により組織を脅威から継続的に守るための基本的なスキルを認定します。対象者は、業務で個人情報を扱う方、情報管理を担当する方、外部委託先の情報セキュリティ評価・確認を行う方など。

https://www.ipa.go.jp/shiken/kubun/sg/index.html

情報処理安全確保支援士制度（登録セキスペ）

情報セキュリティマネジメント試験の内容にプラスして、サイバーセキュリティ対策の調査・分析・評価を行った結果に基づき、必要に応じて指導・助言を行う者を認定します。登録セキスペは3年ごとの登録更新が義務づけられ、更新時には計4回の公衆の受講が必要です。

https://www.ipa.go.jp/jinzai/riss/index.html

サイバーセキュリティネクサス（CYNEX）

産学官の結節点（ネクサス）となる先端的基盤の構築を目指して、サイバーセキュリティネクサス（CYNEX）という組織が2021年に立ち上がりました。CYNEXは、サイバーセキュリティ情報の大規模収集を行い、また、ナショナルサイバートレーニングセンターとして、人材育成も行っています。その事業として、以下の３つと大きなイベントごとのサイバー防御講習などの事業を展開しています。

実践的サイバー防御演習（CYDER）

総務省は、情報通信研究機構（NICT）を通じて、情報システム担当者を対象とし、体験型の実践的サイバー防御演習（CYDER）を実施しています。組織がサイバー攻撃を受けたと仮定し、一連のインシデント対応を、PCを操作しながらロールプレイ形式で体験する演習コースです。「事前学習」と「演習」に分かれていて、座学＋本格的なトレーニングを受けられます。

コースは、初級（Aコース）、中級（B-1コース、B-2コース）、準上級（Cコース）、プレCYDERの５つ。それぞれの目的や知識にあったものを選択できます。なお、国の機関や独立行政法人、地方公共団体職員などは無料で受講できます。

https://cyder.nict.go.jp/index.html

実践サイバー演習 RPCI

実際に起きた攻撃事例などをもとに設計した、情報処理安全確保支援士の資格更新のための実践講習。リアルなサイバー攻撃シナリオに対して、組織のネットワーク環境を模した演習環境で、４人一組のCSIRTチームの一員として攻撃の痕跡を調査します。実機を用いて実践的なインシデントハンドリングが体験できます。

https://rpci.nict.go.jp/

SecHack365

対象は25歳以下。セキュリティイノベーターとして、セキュリティの課題にアイディアで切り込める人材を育成する、長期のハッカソン。サイバーセキュリティの課題に関する分析力、課題解消のストーリーをわかりやすく表現する力などを身につけます。

コースは以下の5つで、期間は1年間。

表現駆動コース
学習駆動コース
開発駆動コース
思索駆動コース
研究駆動コース

https://sechack365.nict.go.jp/

セキュアプラクティス
SCS評価制度の観点で体験型演習を提供。形骸化した教育を脱し、自律的にリスクを防ぐ高水準な組織教育をサポートいたします。

%3Ciframe%20width%3D%22560%22%20height%3D%22315%22%20src%3D%22https%3A%2F%2Fwww.youtube.com%2Fembed%2FQxluIilm5uc%3Fsi%3DYiaN6dYvNDOW2Yl7%22%20title%3D%22YouTube%20video%20player%22%20frameborder%3D%220%22%20allow%3D%22accelerometer%3B%20autoplay%3B%20clipboard-write%3B%20encrypted-media%3B%20gyroscope%3B%20picture-in-picture%3B%20web-share%22%20referrerpolicy%3D%22strict-origin-when-cross-origin%22%20allowfullscreen%3D%22%22%3E%3C%2Fiframe%3E

詳細はこちら
https://www.securitier.jp/security/ciso/cisosp/

③ 外部サービスの活用

現代のセキュリティ対策では、外部サービスの活用が不可欠です。

MDR（監視・対応サービス）
SOC（運用監視）
脅威インテリジェンス

関連記事：MDRとは？EDRとの違い
https://hypervoice.jp/mdr-security

関連記事：脅威インテリジェンスとは
https://hypervoice.jp/threat_intelligence

運用改善で補える領域も多い

セキュリティ人材不足は、運用の最適化でもカバーできます。

アカウント管理
認証・認可の見直し
パスキーなどの導入

関連記事：認証と認可の違い
https://hypervoice.jp/authentication_authorization

関連記事：パスキーとは
https://hypervoice.jp/passkey

今後求められるのは「人材×仕組み」これからは、人材だけ、ツールだけではなく、「人材 × 技術 × 外部サービス」の組み合わせが求められます。この構造を作ることが、セキュリティ人材不足時代の最適解です。

まとめ

日本ではあと16万9,602人のセキュリティ人材が必要とされている
企業でセキュリティ人材を育てるためには資格取得もひとつの手
教育・運用・外部活用の組み合わせが重要