セキュリティ職種診断で分かる9つのキャリア：SC試験の学習範囲と適職はこう繋がる

「セキュリティの仕事に興味はあるけれど、どんな職種があるのか分からない」「開発経験のない自分でも、この業界を目指せるのだろうか」。情報処理安全確保支援士（SC）試験の勉強を始めた人からよく出てくる声です。

この記事では、2026年8月5日に公開されたWebツール「あなたは何職（なにいろ）！？ セキュリティ職種診断」を取り上げます。ただのツール紹介では終わらせません。診断対象となる9つの職種が、SC試験のどの学習範囲と地続きなのかを1つずつ結びつけていきます。読み終えたときに、いま解いている午前Ⅱ（2026年度のCBT移行後は科目A-2）の1問や午後（同じく科目B）の長文が、将来のどの仕事の予行演習なのかが見えるようにするのが目標です。

筆者は2005年から2008年まで事業会社のCIOを務めました。当時いちばん時間を使ったのは、実は技術の設定作業ではありません。機密情報の格付けが未整備だったので情報分類の定義から着手し、区分を確立するまでに膨大な時間を要しました。自社が外部委託先（受託側）になるケースが多く、委託元から個人情報の取り扱いについて様々な指示を受け、それを現場に徹底させることにも苦労しました。セキュリティの実務は、技術者の椅子だけに座っているわけではないのです。この体感が、9職種という広がりを腹落ちして読むための下地になります。

セキュリティ職種診断「あなたは何職（なにいろ）！？」とは

まず、ツールそのものの素性を確認します。キャリア系の診断ツールは玉石混交なので、誰が何のために作ったのかを押さえてから使うのが安全です。

現役の専門家が共同開発したWebツール

このツールを公開したのは Security Branding Project（セキュリティ・ブランディング・プロジェクト）です。2022年5月に設立された有志のプロジェクトで、サイバーセキュリティ分野で活躍する女性専門家のブランディングの研究・活動を行っています。代表は愛甲日路親氏、副代表は竹本七海氏と中島春香氏が務めています。診断ツールは国内第一線で活動する専門家3名による共同開発として、2026年8月5日に公開されました。同日にPR TIMESでリリースも出ています。

企業の採用サイトに置かれた集客目的の診断ではなく、業界の担い手を増やすことを狙いとした有志プロジェクトの成果物である点は、使う側にとって安心材料です。会員登録やログインの導線はなく、ブラウザからそのまま試せる形で公開されています。

診断結果はレーダーチャートのスキルプロファイル

診断を終えると、適性が高いとされた職種名だけでなく、レーダーチャート形式のスキルプロファイルが表示されます。「あなたはこの職種です」という一点の答えではなく、複数の軸で自分の傾向を面として見せる作りです。

さらに、9職種を一覧できる「職種一覧」ページが用意されており、診断結果に出なかった職種も含めて全体像を確認できます。結果はX（旧Twitter）で共有する機能もあります。

公開前調査では6割が希望職種・現職と一致

公開に先立ち、学生およびセキュリティ専門家を対象に行われた調査では、診断結果が回答者の希望職種または現職と一致した割合が6割だったと発表されています（回答者数は公表されていません）。

この数字の受け止め方が大事です。半数を超えている一方で、残りの4割は一致しなかったということでもあります。診断は自分を当てにいく占いではなく、選択肢の存在を知るための地図として使うのが正しい姿勢です。この点は記事の最後でもう一度触れます。

9職種はSC試験のどの学習範囲と繋がるのか

ここからが本題です。診断が扱う9職種を、SC試験の出題分野と対応づけて整理します。SC試験のシラバスは、技術だけでなく管理・法務・組織運営まで含む幅広い構成になっています。その幅の広さは、そのままこの9職種の幅の広さと重なります。なお以下で使う「決める人・攻める人・守る人・作る人・伝える人」という5つのくくりは、試験範囲との対応を見やすくするために本記事で独自に整理したものです。診断ツール側の分類軸とは異なります。

決める人：セキュリティベンチャーCEOとCISO

セキュリティベンチャーCEO は、事業としてセキュリティを成立させる役割です。SC試験の学習範囲でいえば、情報セキュリティガバナンス、セキュリティ投資の費用対効果、事業継続計画（BCP）といった、経営の視点で扱われる領域が対応します。技術の正しさよりも「限られた予算をどこに配分するか」を問う設問と地続きです。

CISO（Chief Information Security Officer）は、組織の情報セキュリティの責任者です。情報セキュリティポリシーの策定、ISMSの構築と運用、CSIRTの設置、インシデント発生時の意思決定と対外公表の判断が守備範囲になります。SC試験の午後問題では、技術的な原因究明の後に「経営層への報告」「再発防止のための組織的対策」を書かせる設問が続くことが多くあります。あれはCISOの仕事を紙の上で体験させられているのだと考えると、答案の書き方が変わります。

学び始めの頃に多いつまずきが、この管理系の分野を「暗記でこなす退屈な部分」と切り捨ててしまうことです。しかし実務では、技術対策を導入した後にそれを組織へ浸透させる工程のほうが圧倒的に長いというのが率直な実感です。ポリシーやアクセス権の設計は、机上の空論ではなく現場が動くかどうかを決める設計図です。

攻める人：脆弱性診断士・ペネトレーションテスターとセキュリティアナリスト

脆弱性診断士・ペネトレーションテスター は、攻撃者の視点でシステムの弱点を洗い出す職種です。SQLインジェクション、クロスサイトスクリプティング（XSS）、クロスサイトリクエストフォージェリ（CSRF）といったWebアプリケーションの脆弱性、ポートスキャンや権限昇格の手法、CVSSによる深刻度評価などが対応する学習範囲です。SC試験では、脆弱性のあるコードや設定を提示して「攻撃が成立する条件」と「根本的な修正方法」の両方を答えさせる出題が繰り返されています。

セキュリティアナリスト は、攻撃手法や脅威の動向を分析し、組織が備えるべき対象を見極める職種です。マルウェアの挙動分析、標的型攻撃の一連の流れ、MITRE ATT&CKのような攻撃手法の体系、脅威インテリジェンスの活用が該当します。午前Ⅱで問われる攻撃手法の名称と特徴の暗記は、この職種の入り口の知識にあたります。

守る人：SOC／CSIRTとフォレンジックアナリスト

SOC／CSIRT は、監視と対応の最前線です。SIEMによるログの相関分析、検知したアラートの初動対応（トリアージ）、封じ込め・根絶・復旧という一連のインシデントレスポンスの流れが対応します。SC試験の午後問題で繰り返し題材になる頻出領域の一つで、「プロキシのログのこの行から何が読み取れるか」「感染端末をネットワークから隔離する際の注意点は何か」といった設問はSOCの日常業務そのものです。

ログについては、CIO時代に各種のアクセスログ監視ツールを徹底的に検証した経験があります。そこで痛感したのは、ログのデータ取得は容易でも、分析は極めて難しいということでした。当時は高度な攻撃を検出できませんでした。SOCが専門職として成立しているのは、道具を導入すれば結果が出る仕事ではないからです。試験でログの読み取り問題に時間を取られるのは、当然と言えば当然なのです。

フォレンジックアナリスト は、インシデント後に何が起きたかを証拠として確定させる職種です。SC試験との対応は明快で、証拠保全の原則がそのまま出題範囲です。メモリやネットワーク接続状態など揮発性の高いデータから順に取得するという収集順序、証拠のハッシュ値による同一性の担保、証拠の受け渡し履歴を記録する管理の連鎖（chain of custody）、書き込みを防ぐ複製の取得。「まず端末の電源を落とす」という対応が不適切とされるのは、揮発性データが失われるからです。この順序の考え方は午後問題で繰り返し問われるポイントです。

作る人と伝える人：セキュリティソリューション開発エンジニア、技術営業、セキュリティコンサルタント

セキュリティソリューション開発エンジニア は、守るための製品や機能そのものを作る職種です。セキュアプログラミング（入力値検証、エスケープ処理、プリペアドステートメント）、暗号アルゴリズムとプロトコルの実装、OAuth 2.0による認可の委譲やSAMLによる認証連携（SSO）、開発工程にセキュリティを組み込むDevSecOpsの考え方が対応します。試験では、脆弱なコードを修正する設問や、TLSの鍵交換・証明書検証の流れを問う設問がこの領域にあたります。

技術営業 は、顧客の課題に対して適切な製品・サービスを提案する職種です。ここで必要なのは、製品カテゴリごとの適用範囲を正確に区別する力です。WAF、IDS／IPS、EDR、DLP、CASB、SWGが、それぞれどのレイヤの何を守り、何は守れないのかを説明できること。SC試験の午前Ⅱでは、製品や技術の適用場面を選ばせる問題が定番です。「この構成でこの攻撃は防げるか」という判断は、そのまま提案の質になります。技術営業は技術職ではないと思われがちですが、実際には誤った提案をしないための技術理解が求められる職種です。

セキュリティコンサルタント は、組織の状態を評価して改善の道筋を示す職種です。リスクアセスメント（資産の洗い出し、脅威と脆弱性の特定、リスクの評価と対応方針の決定）、ISMSやISO/IEC 27001に基づく体制構築、内部監査、そして個人情報保護法（個人情報の保護に関する法律）や不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）といった法令の理解が対応範囲になります。SC試験でリスク移転・回避・低減・受容の使い分けが問われるのは、コンサルタントが顧客と合意形成するために使う言葉だからです。

委託先管理も、この職種が扱う代表的な実務です。SC試験に登場する「委託先の監督」という論点は、契約書に遵守事項を書き込めば済む話ではありません。書かれたルールが委託先の現場の手順として定着し、その状況を確認できる仕組みまで設計できているかが問われます。

筆者の診断結果

ここまで9職種を試験範囲と対応づけて整理してきましたが、実際に自分で受けてみないことには使い勝手は語れません。筆者も診断を受け、結果をX（@bk_success）に投稿しました。

診断中に感じたのは、設問の多くが技術スキルの高さではなくものごとへの向き合い方や興味の方向を聞いてくる作りになっている点です。インフラ構築の経験やCTFへの参加を尋ねる設問も一部含まれますが、全体としては「何に興味が向くか」を問う比重が高く、自分では意識していなかった適性が言語化されます。結果に納得がいくかどうかも含めて、自己理解の材料になります。

診断結果をSC試験の学習にどう活かすか

診断は受けて終わりにすると何も残りません。SC試験の受験を考えている人向けに、結果を学習計画に接続する方法を整理します。

出た職種の分野は「得意を伸ばす」対象にする

診断で適性が高いと出た職種に対応する分野は、興味が続きやすい分野でもあります。SC試験の学習は範囲が広く、どこから深掘りするか迷いがちです。適性の出た領域を最初の足がかりにすると、抽象的な用語が「自分がやるかもしれない仕事の言葉」として入ってきます。

出なかった職種の分野こそ落とし穴になる

一方で、SC試験は各科目にそれぞれ基準点が設けられており、1つでも下回れば不合格です。しかも前の科目が基準点に届かなければ、後の科目は採点すらされません。技術に強い人が管理系を捨てる、あるいは管理系に強い人がパケットやログの読み取りを避ける。このどちらも典型的な失点パターンです。

セキュリティに関心を持ち始めた段階では、話題が「攻撃を防ぐ技術」に寄りやすいものです。技術の入り口としては自然ですが、実際の現場で事故を防いでいるのは、ルールを決めて運用に落とし込む地味な仕事だったりします。診断で出なかった職種の分野は、伸びしろの地図として使うほうが試験にもキャリアにも効きます。

資格は職種選択の後で選ぶと無駄がない

SC試験は幅広い領域を横断する国家試験で、9職種のどれに進むにしても土台になります。その先の専門資格（診断系、フォレンジック系、監査系など）は、方向性が定まってから選んだほうが投資として効率的です。診断は、その方向性の仮説を立てる道具として使えます。

診断結果だけで進路を決めない

大切な注意点です。この診断は自己理解を助ける道具であって、適職を確定させるものではありません。公開前調査での一致率が6割という数字も、裏を返せば4割は違う結果が出たということです。

実際の仕事の中身は、企業の規模、業界、チーム体制によって大きく変わります。同じ「SOC」という肩書きでも、24時間監視のシフト業務が中心の職場と、検知ルールの設計と改善が中心の職場ではまったく別の仕事です。診断結果は出発点として受け止め、そこから業界のイベントに足を運ぶ、現場で働く人の話を聞く、求人票の業務内容を読み比べるといった一次情報にあたることをおすすめします。

まとめ：SC試験の広い出題範囲は、キャリアの選択肢の広さそのもの

セキュリティ職種診断が示す9職種は、経営判断から証拠保全、製品開発、顧客提案までを含みます。これはSC試験の出題範囲の広さとほぼ重なります。

SC試験の勉強をしていて「なぜ技術者向けの試験なのに、ISMSや法令や経営層への報告まで問われるのか」と感じたことがあるなら、その答えがここにあります。セキュリティという仕事が、もともとその全部で成り立っているからです。技術対策を入れただけでは人の行動は変わりませんし、ルールを配っただけでは攻撃は止まりません。両輪がそろって初めて組織が守られるという構造は、筆者が現場で体感してきたとおりです。

いま解いている1問が、将来のどの職種の入り口なのか。それを意識できるようになると、退屈に見えた分野の見え方が変わります。診断はブラウザから数分で試せます。学習の合間の気分転換に、自分の地図を広げてみてください。

本記事は情報処理安全確保支援士（SC）試験対策を目的として作成しています。

参考資料

• あなたは何職（なにいろ）！？ セキュリティ職種診断
• Security Branding Project
• PR TIMES：セキュリティ職種診断リリース（2026年8月5日）
• IPA：情報処理安全確保支援士試験（SC）
• IPA：試験要綱・シラバス
• IPA：応用情報技術者試験・高度試験・情報処理安全確保支援士試験のCBT方式による実施について