サイバーセキュリティ：大学の学位か専門資格か、公表データが示すこと

ISC2の人材不足の数値は慎重に読み解く

2024年9月11日に公表されたISC2の2024年調査によると、サイバーセキュリティの人材不足は前年比19%増加し、4,800,000人に達しました。同団体は、この不足を、現在の人員数と必要と判断される人員数との差として示しています。

ISC2は、資格認定を行う専門職団体です。そのため、人材不足の実態を示すことには団体としての利害もあります。だからといって調査が誤っているわけではありませんが、この数値は求人件数ではなく、アンケートに基づく推計として読む必要があります。不足数の算出方法は、報告書の全文で確認できます。

また、調査によると、組織の90%が自らのセキュリティチームにスキル不足があると回答し、64%が人員不足よりもスキル不足のほうが深刻だと考えています。

調査が採用について何を示しているかを確認する

2024年調査は、チームの構成に関するデータも示しています。それによると、回答者の31%は自らのセキュリティチームにエントリーレベルの従業員が1人もいないと回答し、15%はジュニアレベル（経験1～3年）の従業員が1人もいないと回答しています。また、調査対象となった管理職の62%に未充足のポストがあったとしています。採用では、中堅・上級レベルの人材が優先されていることも強調しています。

これらの数値は、新卒者にとって重要です。人材不足の中心が、経験を積んだ人材の不足であることを示唆しているからです。全体として大きな不足があっても、エントリーレベルの求人市場は厳しいままである可能性があります。

調査はさらに、北米と欧州の回答者の約4分の1、中東とアフリカの回答者の29%が、過去12か月間にサイバーセキュリティ分野での人員削減を経験したと報告しています。その原因として、経済的な制約を挙げています。

米国の予測を読み解く

BLSは、情報セキュリティアナリストの雇用が2025年から2035年にかけて21%増加すると予測しており、全職業の平均を大幅に上回る伸びに分類しています。この職種の給与中央値は、2025年5月時点で129,180米ドルでした。

この職業に就く際の一般的な学歴として、BLSはコンピュータ科学、または工学や数学などの関連分野の学士号を挙げています。一方で、高校卒業資格に加え、研修や専門資格を通じて就業する人もいると説明しています。また、多くの雇用主が情報セキュリティの資格を持つ候補者を好むとしていますが、具体的な資格名は挙げていません。

これらの数値は、特定の職業区分における米国市場を示したものです。就業を目指す国の統計に代わるものではありません。

学位と専門資格を表で比較する

以下の表は、学位と専門資格に一般的に期待される役割を整理したものです。引用した資料に基づく比較の枠組みであり、優劣をつけるものではありません。

この表は単純化したものです。コンピュータ科学の学位を取得しても、セキュリティのスキルが自動的に身につくわけではなく、専門資格を取得しても、学位と同じ深さの理論的理解が得られるわけではありません。両者は対立するものではなく、むしろ補完し合うものです。BLS自身も、学士号を就業時の一般的な学歴として、専門資格を、初心者向けのポストも含め、多くの雇用主が好むものとして、両方に言及しています。

専門資格の要件を確認する

専門資格は、どれも同じではありません。初心者向けのものもあれば、数年の経験を前提とするものもあります。例えばISC2は、Certified in Cybersecurity（CC）を提供しており、その紹介ページでは、職務経験を一切必要としない入門資格と説明しています。一方、CISSPの資格ページには、対象となる経験分野やインターンシップに関する例外とともに、5年の経験要件が記載されています。これらの規則は変わるため、詳細は同団体のウェブサイトで直接確認する必要があります。

重要なのは、上級資格は経験の代わりにはならないという点です。初心者は、その資格を完全な形で取得することはできず、まず入門資格を目指し、その後、必要な経験を積める職に就くことを目指す必要があります。

ISC2の調査は、管理職がしばしば、そろえることが難しい経験と資格の組み合わせを期待していると指摘しています。応募者にとっては、実際の求人情報を読み、自分の地域で求められる資格を把握することが有益です。

人工知能の影響を評価する

2024年調査によると、回答者の3分の1超が、チームに最も不足しているスキルとして人工知能を挙げています。別の質問では、重要と考えるスキルについて尋ねており、採用担当の管理職の12%、専門職の23%がAIを挙げています。したがって、これらの割合は、スキル不足と同じものを測定しているわけではありません。

この差は、チームとその管理職の間で、必要性に対する認識が異なることを示唆しています。流行しているスキルが、求人で必ずしも求められているとは限らないため、慎重な判断が必要です。

学生にとって、確かな基礎となるのは引き続き、ネットワーク、オペレーティングシステム、プログラミング、暗号技術、リスク管理です。これらの知識は、異なる技術にも応用できます。

もう1つ、慎重に読み取るべき点があります。ISC2の調査は専門職と管理職へのアンケートであり、示しているのは認識であって、必要性の客観的な測定ではありません。認識は、組織内における各回答者の立場を反映し、新しいツールが登場すると急速に変わる可能性があります。履修科目を選ぶ際には、どのような動向調査よりも、現在の職務内容の記述のほうが良い指針になります。

具体的な経験を積む

需要の中心が経験である以上、インターンシップ、プロジェクト、競技会は重要な役割を果たします。「キャプチャー・ザ・フラッグ」形式の競技、個人で構築する実験環境、オープンプロジェクトへの貢献、セキュリティチームでのインターンシップは、雇用主に提示できる実績になります。

インターンシップや、実在する組織と取り組むチームプロジェクトを組み込んだ大学のプログラムは、学位取得と最初の就職の間にある隔たりを縮めます。過去2年間に卒業生がどこで働いたかを、プログラムの担当者に尋ねることは有益です。

キャリアチェンジを目指す人にとって、短期研修は、すでに持っているコンピュータ科学、ネットワーク、システム管理の学位を補うものとなり得ます。その場合、短期研修は出発点ではなく、専門性を深めるものとして機能します。

スキルを記録し、示すための具体的な方法には、次のようなものがあります。

• 個人で構築した実験環境について、使用したツールと結果を含めて文書にまとめること。
• セキュリティ競技会への参加と、獲得した順位。
• セキュリティ関連の職名でなくても、ITチームでのインターンシップや夏季の仕事。
• オープンプロジェクトへの貢献を記録すること。

カナダではどうか

カナダでは、サイバーセキュリティの職業は、工学や医療の職業と同様の規制を受けているわけではありません。一方、エンジニアの称号は保護されており、それを使用したい卒業生は州の専門職団体での手続きを経る必要があります。雇用主が主に求めるのは、コンピュータ科学の学位、専門資格、経験です。職業別の雇用統計は連邦機関が別途公表しており、本記事の米国の数値と混同することはできません。ISC2の資格は国際資格です。大学制度には依存せず、他国と同様にカナダでも受験できるため、カナダの学位と組み合わせることができます。

StudyCanadaでは、特にウォータールー大学（University of Waterloo）とオタワ大学（University of Ottawa / Université d’Ottawa）のコンピュータ科学プログラム、マギル大学（McGill University）とモントリオール大学（Université de Montréal）のサイバーセキュリティプログラム（情報システムの管理とセキュリティ）を紹介しています。ウォータールー大学は、サイバーセキュリティ専用のプログラムではなく、一般的なコンピュータ科学のプログラムとして掲載されています。