セキュリティエンジニアが採用できない原因は、要件、予算、体制の三つに分けられる。求人票を役割ごとに分解して見直すと、採用で解く課題と、育成・外部委託・SES・顧問で補う課題を切り分けられる。この記事では、採用市場の公表データ、案件票に見る提示単価の分布、採用以外の選択肢と SES で入れる場合の進め方を整理する。全体像は セキュリティ人材・体制の相談先 にまとめている。
なお、この記事は一般的な情報提供であり、法的助言ではない。契約の扱いは専門家（弁護士・社労士）に確認してほしい。
結論：採用が決まらない原因は「要件」「予算」「体制」に分けられる
採用が止まっているとき、原因は一つとは限らない。症状から、どこに原因があるかを推定できる。
| 原因 | 起きやすい症状 | 最初に確認すること |
|---|---|---|
| 要件 | 一人に監視・診断・対応・設計・規程づくりまで求めており、候補者が集まらない、集まっても要件に合わない | 求人票の業務を役割ごとに分け、必須と歓迎を分ける |
| 予算 | 社内の給与の上限が、市場で動いている求人や提示単価の水準と合わない。内定を出しても辞退される | 求人票や案件票の分布と、自社の枠を同じ単位で比べる |
| 体制 | 入社後の窓口、上長、育成の場、評価の軸がない。採れても成果が見えない、定着しない | 採用後に誰が何を任せ、どう評価するかを決める |
原因が重なっていると、一つを直しても決まりにくい。まず要件を分解し、次に予算の見方をそろえ、最後に受け入れの体制を決める順番が進めやすい。
採用市場の状況（公表データ）
公表されている数字を、出典つきで並べる。
- 求人倍率：レバテックの転職市場データでは、2025 年 12 月のセキュリティ職の求人倍率は 42.6 倍で、IT 人材全体の 10.4 倍を上回る。セキュリティ関連の求人数は 3 年で約 2.5 倍になったとされる。同社の集計であり、他社の統計による裏付けは確認できていない。（出典：レバテック『IT人材の正社員転職市場動向』、2026 年 1 月 29 日発表。報道：ScanNetSecurity、2026 年 2 月 19 日）
- 企業の自己申告：MM 総研の調査（2026 年 9 月 8 日発表）では、83% の企業が人材不足を認識していると報じられている（前年は 82%）。（出典：MM総研『民間企業におけるサイバーセキュリティ対策の動向調査』。報道：ScanNetSecurity、2026 年 9 月 15 日）
- 有資格者の人数：IPA が公表する情報処理安全確保支援士の人数は、2026 年 4 月 1 日時点で 26,453 名。うち約 69% が関東とされる。（出典：IPA、2026 年 4 月 1 日時点の公表）
- ガイドラインの背景：IPA は『中小企業の情報セキュリティ対策ガイドライン 第 4.0 版』（2026 年 3 月 27 日公開）の改訂の背景として、ランサムウェアによる事業停止、サプライチェーン攻撃、社内の推進人材の不足を挙げたとされる。付録には人材確保・育成の実践ガイドブックが加わった。（出典：IPA 報道発表、2026 年 3 月 27 日）
求人倍率が高い状態では、求職者の側に選択肢が多い。給与や働き方の条件が相場から外れた求人は、選ばれにくくなる。また、資格の有無は実務経験の代わりにならず、有資格者のすべてが転職市場にいるわけでもない。地方の企業や、常駐を前提にする企業は、所在地の偏りも織り込む必要がある。
クラウドセキュリティ、OT/IoT、ゼロトラストといった分野別の求人数や年収は、信頼できる公表データが見つかっていない。分野別の「相場」を断定する記事には注意してほしい。
求人票を役割で分解する（監視・診断・対応・設計・ガバナンス）
「セキュリティエンジニア」という職種名は、実際には複数の役割を含む。求人票の業務を、次の 5 つに分けてみる。
| 役割 | 主な仕事 | 求められる経験の例 | 補う手段 |
|---|---|---|---|
| 監視（SOC） | アラートの確認、一次分析、エスカレーション | 運用の経験、ログの読み方 | 外部サービス、運用の要員 |
| 診断（脆弱性診断・ペネトレーションテスト） | Web・ネットワークの診断、報告書の作成、修正の助言 | 診断の実務経験、報告書の作成力 | 診断サービスの利用（成果物ベース） |
| 対応（CSIRT・インシデント対応） | 初動、封じ込め、原因の調査、報告 | 運用とログ解析の経験、調整力 | 顧問、事故対応の専門事業者、体制づくりの支援 |
| 設計（アーキテクチャ・クラウド・ゼロトラスト） | 構成の設計、設定、権限の設計 | インフラ・クラウドの設計経験 | 設計の支援（SES）、業務委託 |
| ガバナンス（規程・監査・評価制度への対応） | 規程の整備、リスク評価、監査対応 | 規程・監査の経験 | 顧問、コンサルティング、公的な支援 |
求人票の見直しは、次のように「全般」を「最初の担当」に置き換えると進めやすい。
- 見直し前：「セキュリティ全般を担当。監視、診断、インシデント対応、クラウド、規程整備、経営への報告」
- 見直し後：「入社後の最初の期間は、社内システムのログ監視の窓口と、脆弱性対応の優先順位づけを担当。診断は外部事業者に発注し、結果の修正を担当」
監視運用を外に出すかどうかは SOCは外注か内製か で、インシデント対応の体制は インシデント対応体制の作り方 で扱っている。
体制づくりの相談
SOC・CSIRT・脆弱性診断・クラウドセキュリティの要員と体制づくりについて、Heyday がお話を伺います。
案件票の提示単価の分布と、予算とのずれの見方
外部の人に入ってもらう場合の月額の目安として、Heyday が受信した案件票の集計を示す。Heyday が提示する金額ではない。
| 項目 | 値 |
|---|---|
| 案件票の掲載行数 | 358 行 |
| うち単価の上限が数値で読めた行 | 166 件 |
| 単価の上限 p25（小さい順の 4 分の 1 の位置） | 65 万円/月 |
| 単価の上限 中央値 | 75 万円/月 |
| 単価の上限 p75（同じく 4 分の 3 の位置） | 90 万円/月 |
| 単価の上限 最大 | 200 万円/月 |
| 単価の下限が読めた行（45 件）の中央値 | 65 万円/月 |
出典：Heyday の案件データベース（案件メール由来の掲載行）。2026 年 3〜8 月に受信、重複除去前。技術タグ「セキュリティ/SOC/CSIRT」は、必須スキルと案件名にセキュリティ関連のキーワードを含む行で、1 行が複数のタグに入ることがある。単価は案件票に書かれた上限（発注側から SES 会社への企業向けの契約単価）で、エンジニアへの支払額（人材向けの単価）とは別。商流の途中で金額が変わることがある。
予算とのずれは、次の 4 点で確認する。
- 単位をそろえる：案件票の数字は、外部の人に依頼する場合の月額だ。社員の給与とは構成が違う（社会保険料や福利厚生、採用や教育の費用の扱いが異なる）。月額に 12 をかけて年収と比べると、判断を誤る。
- 上限と下限を区別する：上限が読めた行は 166 件、下限が読めた行は 45 件で、母数が違う。上限は募集時の最大の値で、実際に決まる額は経験や条件で変わる。
- 条件で変わると考える：常駐かリモートか、夜間・休日の対応があるか、求める役割の幅で水準は動く。リモート可と読めた割合は 56.5% だった（可否の記載があった 214 件が母数）。
- 外部の公開値も見る：フリーランス向けの案件サイトが公表している平均月額は 75.5〜81.4 万円の範囲にある（フリーランススタート 75.5 万円、レバテックフリーランス 77 万円、INSTANTROOM 81.4 万円）。各社の自社集計で、時点と母集団が異なる。（出典：INSTANTROOM の調査、2026 年 7 月 6 日公表、レバテックフリーランス、フリーランススタート）
自社の予算の枠が分布の下側にあるなら、要件を絞るか、役割の一部を外に出すかを検討する。ここに示した数字は目安であり、Heyday の料金ではない。
採用以外の 4 つの選択肢
育成
社内の情シスなどを、窓口や技術担当に育てる方法だ。IPA の『中小企業の情報セキュリティ対策ガイドライン 第 4.0 版』の付録に、人材確保・育成の実践ガイドブックがある。ただし、実務を経験する場と、教える人が要る。育つまでの運用を外部で補う前提で計画する。
外部委託（サービスの利用）
監視運用や診断を、サービスとして外部に任せる方法だ。範囲と成果物は契約で決まる。連絡、判断、経営への報告は社内に残るため、窓口になる人は必要だ。中小企業向けには、IPA が基準を定めた「サイバーセキュリティお助け隊サービス」もある。
SES（準委任）
運用の要員、設計・設定の支援、事故後の実装などに、要員が企業の現場に参画する形で入る。業務の指示は受託会社の責任者を通じて行い、発注側は要員に直接指示しない。成果物の完成を原則として約束する契約ではないため、任せる範囲を先に決める。契約形態の違いは セキュリティ人材をSES・業務委託・派遣で入れる違いと費用 で比べている。
顧問（業務委託）
方針の整理、規程の整備、レビュー、助言を、専門家に依頼する方法だ。常駐して運用を回す形には向きにくい。必要に応じて、IPA が整備する「中小企業向けサイバーセキュリティ対策支援者リスト」も参考になる。（出典：IPA 中小企業向けの支援者のページ）
SES で入れる場合の流れと、先に決めておく項目
SES（準委任）で要員に入ってもらう場合の流れは、次のとおりだ。
- 役割と期間：何を任せ、いつ見直すかを決める
- 窓口：社内の誰が受託会社の責任者と話すかを決める
- 要件：必須を絞り、歓迎は別に書く
- 条件：常駐かリモートか、時間帯、端末、接続の方法を決める
- 面談と判断：参画前に要員と面談し、役割に合うかを確認する
- 契約と管理：秘密保持、アカウント、作業範囲、引き継ぎを決める
- 見直し：期間の途中で振り返り、役割を調整する
準委任の要員には、受託会社の責任者を通じて依頼する。発注側の担当者が要員に直接細かな指示を出したり、勤怠を管理したりすると、実態は労働者派遣にあたると評価されるおそれがある（いわゆる偽装請負）。判断は契約書の名称ではなく実態による。確認項目は SES偽装請負チェックリスト にまとめている。
また、準委任では参画前に要員と面談する形が多く取られている。一方、労働者派遣では、派遣先が事前に個人を選ぶ行為（事前の面接など）に制限があるとされ、同じ進め方はできない。どの契約形態で入れるかによって手順が変わる点に注意してほしい。迷う場合は社労士や弁護士に確認する。
よくある失敗と、相談前に整理する項目
起こりやすい失敗
- 要件の盛りすぎ：監視から経営への報告まで、一人に求めてしまう。該当する人が少なくなり、条件の調整も難しくなる
- 兼任の前提：採用した人が他の業務と掛け持ちになり、セキュリティの仕事に時間を割けない
- 入った後の窓口がない：誰に報告し、誰が判断するかが決まっておらず、成果が見えない
相談前に整理する項目
- 守りたい情報と、困っていること
- 任せたい役割（監視・診断・対応・設計・ガバナンスのどれか）
- 必要な時間帯（平日の日中か、夜間・休日も要るか）
- 作業の場所と接続の方法
- 期間と予算の枠
- 社内の窓口になる人
8 項目のチェックシートは セキュリティ人材・体制の相談先 にある。
よくある質問（FAQ）
Q. 未経験の人を育てるのは現実的ですか？
窓口や技術担当の役割なら、社内の人を育てる方法は現実的だ。ただし、実務を経験する場と、教える人が必要になる。育つまでの運用を外部で補う前提で、計画を立てるとよい。エンジニア側から見た未経験からの入り方は セキュリティエンジニアは未経験からSESで目指せる？ で扱っている。
Q. 求人票には何を書けばよいですか？
入社後の最初の担当、必須と歓迎の区別、働く条件、社内の窓口、評価の方法を書く。「セキュリティ全般」と書くより、何を任せるかを具体的に書くほうが、条件の合う人に届く。
Q. SES に頼んで、社内に知見は残りますか？
残るかどうかは、任せ方で決まる。手順書、設定の記録、引き継ぎを成果に含めて契約すれば残りやすい。すべてを任せて社内の窓口を置かないと、知見は残らない。
Q. 予算の目安はどのくらいですか？
一律の金額は示せない。案件票に書かれた提示単価の上限は、中央値が 75 万円、p75 が 90 万円だった（Heyday の案件データベース、2026 年 3〜8 月受信・重複除去前、単価つき 166 件）。ただし、役割、時間帯、期間、常駐の有無で変わり、Heyday の料金とは別の数字だ。
Q. フリーランスに直接依頼する場合は、何に注意しますか？
業務の指示の線引き、秘密保持、端末の扱い、不在時の代替要員、契約上の責任の範囲を確認する。個人に直接細かな指示を出す形は、契約の名称にかかわらず問題になりうる。契約形態ごとの違いは セキュリティ人材をSES・業務委託・派遣で入れる違いと費用 にまとめた。
関連記事
- セキュリティ人材・体制の相談先
- セキュリティ人材をSES・業務委託・派遣で入れる違いと費用
- SOCは外注か内製か
- SOCアナリストの単価と未経験からの入り方（採用側が求める職種の単価を、エンジニア側の視点で見た記事）
- セキュリティエンジニアSES単価2026
