調査レポート
サイバー人材モデルの変革を通じて、内部からレジリエンスを高める
10-分（読了目安時間）
2026/06/02
概略
- サイバーセキュリティ分野の役職のうち59%がハイブリッドな技術的スキルと戦略的スキルを必要としていますが、そのプロファイルに適合するサイバー人材はわずか40%です。
- これは、複雑な需要、組織的な投資不足、そして外部からの圧力によって生まれる能力の不均衡を浮き彫りにしています。
- リーダー企業は、社内での育成、キャリアパスの再設計、人材の能力強化という3つのアクションを通じて、長期的なサイバー能力の向上を図ることができます。
構造的なひずみに直面するサイバーセキュリティ人材
サイバーセキュリティは、専門的なIT機能から、企業におけるレジリエンスの主要な原動力へと進化しています。しかし、それを支える人材モデルがITの進化に追いついていません。世界中のサイバーセキュリティ分野の役職のほぼ半数が満たされていません。この問題は、単に専門知識を持つ人材の不足が原因ではありません。その人材が、エンタープライズレベルで事業を行うために必要な技術的な専門性とビジネス上の洞察力をバランス良く兼ね備えているかどうかが問題です。
550,000件を超えるサイバーセキュリティ分野の求人情報と専門家のプロファイルを分析したアクセンチュアの調査によると、最新のサイバーセキュリティの需要と労働市場の供給との間に構造的なひずみが生じていることが明らかになりました。
このギャップを定義する2つのサイバーセキュリティ人材プロファイルを特定しました。
| 指揮者 | 実行者 | |
|---|---|---|
| 定義 | 技術的な専門性、ビジネス上の洞察力、戦略的なリーダーシップ、ソフトスキルを兼ね備えた人材 | 主に、技術的なセキュリティタスクと制御を実行する人材 |
| 企業での役割 | リスクを評価して意思決定に落とし込み、変革の中にセキュリティを組み込み、部門間のコラボレーションを図る | 制御を実装し、脅威を監視し、システムを運用する |
現代の組織では、より多くの指揮者を必要としているものの、労働市場ではより多くの実行者が生まれ続けています。その結果、ツールの運用に最適化された人材は供給されますが、企業のレジリエンスを向上させることはできません。実行者をさらに採用しても、このギャップを埋めることはできません。
サイバー人材の不足を拡大させている要因
相互に関連する3つの要因が、組織が対応するよりも速いスピードでサイバー能力を損なう悪循環を生み出している
複雑な需要
サイバーセキュリティの役職は進化しており、その需要は次の3つの主要な側面にわたって拡大しています：高度な技術的サイバーセキュリティの専門知識、企業レベルでの事業運営に必要な戦略的リーダーシップとソフトスキル、そして特にAIなどの新しいテクノロジーに関連する専門的なテクノロジースキル。
労働市場に関するデータによると、人材プロファイルがこの需要パターンを反映していないことが明らかになっています。例えば、サイバーセキュリティエンジニアの役職では、人材プロファイルを見ると、求人情報で必要とされているよりも、サイバーセキュリティに関する技術的な深い専門知識とリーダーシップ能力が低いことがわかります。
AI関連のサイバーセキュリティスキルに対する需要が、今後の課題をさらに複雑にしています。 これらのスキルに対する需要は、2020年以降2.5倍以上に増加しましたが、人材の能力はそれに追いついていません。AIの規模が拡大するにつれ、組織はこれらのスキルを積極的に社内で育成する必要があります。
さらに、認知度の問題もあります。すべてのIT関連の求人情報においてサイバーセキュリティが占める割合はわずか3.5%にすぎず、ブランディングやプロモーション、あるいは社会に向けた発信が限定的です。少数の人材に対する競争は熾烈です。
組織的な投資不足
組織が依然として人材の育成と確保に苦戦している状態では、採用しても解決策にはなりません。高い業務上のプレッシャー、キャリアパスの不足、限られた学習機会により、多くのサイバー専門家は専門知識が成熟する前に離職してしまいます。
1.8
現在のサイバーセキュリティ専門家の平均在職期間。3.3年（2005年～2015年）から短縮しています。
< 30%
構造化されたスキルアッププログラムに投資している組織の割合。1
49%
人材不足がサイバーセキュリティ機能に重大な影響を与えていると考えている組織の割合。2
高等教育機関でも、変わり続けるスキル需要への対応に苦慮しています。24か国にわたる100校の大学におけるサイバーセキュリティプログラムの評価によると、現在、企業からの需要の中心となっている、サイバー法、リスクマネジメント、エンタープライズアーキテクチャ、エグゼクティブコミュニケーションなどの分野で持続的なギャップがあることが明らかになっています。
外部圧力
今日の脅威アクターは数週間で進化します。コンピテンシー要件が上がるスピードが、人材パイプラインが適応できるスピードを上回っています。一方、サイバーセキュリティ部門は、全従業員のサイバーリテラシーに対してより大きな責任を負うようになっていますが、組織における人的リスクへの管理はいまだに不十分なままとなっています。規制面の説明責任は、個々のサイバーリーダーへと移行しており、法律に関するより高い習熟度が求められ、またそうした役割を担うことのリスクが高まっています。
87%
AI関連の脆弱性が最も急速に高まっているサイバーリスクであると認識しているリーダーの割合。 3
94%
AIが今後1年以内にサイバーセキュリティにおける変革を主導する最も重要な原動力になると予想するリーダーの割合。 4
わずか18%
役割に応じたサイバー意識向上プログラムを提供している組織の割合。 5
今日のサイバー人材モデルがもはや機能しない理由
長年にわたり、企業ではツール、制御、専門家を追加することで、増え続ける脅威に対応してきました。企業は、労働市場が不足しているスキルを補ってくれると考えています。 しかし、このモデルはもはや機能せず、事後対応のパターンからもその理由が伺えます。
サイバーインシデントが発生した場合、組織の対応は予測可能です。チームを再編し、予算を拡大し、新しいリーダーを任命し、新しいツールに投資することで、組織を短期的に安定させることができます。しかし、サイバーセキュリティ人材を採用、オンボード、育成し、そして事業全体に組み込む方法を根本的に再設計する組織はほとんどありません。
役割、スキル、運用モデルを再設計することなく、事後対応を行うと、人ではなくテクノロジーだけが最適化されるため、将来的な人材の隔たりは拡大し続けることになります。
サイバー人材のギャップを埋めるために必要な3つのアクション
ギャップを埋めるには、能力の育成方法、業務の編成方法、人間の専門知識の拡大方法について、構造的な見直しが必要です。3つのアクションを同時に行うことで、組織は市場での持続的な供給不足にもかかわらず、持続可能なサイバー機能を構築できます。
01
アクション1：社内の能力と文化を育成して維持する
組織が必要とするハイブリッドな専門家は、外部市場から十分なスピードで供給されていません。リーダーは、内部から指揮者レベルの人材を育成し、離職率ではなく専門知識を高める文化を醸成する必要があります。
取るべきアクション
- 複数年にわたる開発パスを構築する：クラウド、ID管理、データガバナンス、エンタープライズリスクの各分野を横断するローテーションを行います。
- 入口を広げる：隣接分野の人材をアプリケーション開発、監査、分析、リスクからサイバーセキュリティの役割に移行させます。
- 人事部と連携してサイバーセキュリティを人材獲得エンジンとして捉え直す：成人がどのように学習してパフォーマンスを維持するかに根差した能力開発プログラムを確立します。
- 成長と定着を促進する：ウェルビーイング、業務量の透明性、責任を共有する仕組みを単なる副次的なメリットではなく組織的な前提条件として組み込みます。
- インテグレーターの役割に投資する：ツールの断片化を減らし、クラウド、ID管理、データ、アプリケーション、AI全体にわたる結合組織を提供するセキュリティアーキテクトなどが含まれます。
02
アクション2：役割とキャリアパスを再設計する
サイバーセキュリティは、企業全体の横断的な機能となっているにもかかわらず、そのキャリア構造は、依然として狭い垂直的な縦割り構造のままとなっています。専門家たちは成長の限界に達すると、それまでに培った経験を携えて組織を去っていきます。指揮者レベルの能力は、役割のデザイン、キャリアパス、そして企業全体を見渡す経験を通じて育成される必要があります。
取るべきアクション
- 従来のキャリアルートを超えてキャリアパスを拡大する：製品セキュリティ、AIガバナンス、クラウドプラットフォーム、アーキテクチャなどの分野に拡大し、ハイブリッド人材を育成します。
- 企業全体のリーダーシップ開発プログラムを通じてサイバーリーダーを育成する：サイバーリーダーがビジネス価値の創出におけるセキュリティの役割を理解し、明確にするのに役立ちます。
- リスクが実際に発生する場所にサイバー人材を組み込む：製品開発や変更管理、IT運用などにサイバー人材を組み込み、技術的な専門知識とビジネスの習熟度を高めます。
03
アクション3：人間を中心に据えて、AI、アーキテクチャ、パートナーシップを通じて人材を強化する
人材を再設計しても、現代の脅威の量とスピードに単独では対応できません。目指すべきは、AIによる能力強化であり、人間の代わりとなるのではなく、人間の能力を強化します。
取るべきアクション
- AIを活用して頻度の高いタスクを代行する：アラート相関、異常検出、誤設定分析、安全なコード生成などを代行し、実行者が戦略的なリスクに関する意思決定に集中できるようにします。
- シミュレーション環境を通じて基礎学習を維持する：自動化の恩恵を受けながら、人材が確かな直感力と判断力を身に付けられるように支援します。
- 人材戦略の先見性を高める：エコシステムインテリジェンスを通じて将来に必要なスキルポートフォリオを構築し、継続的に更新します。
- 統合されたセキュリティアーキテクチャを構築する：分断を減らし、ワークフローを統合し、効果的な運用に必要な統合環境を人間とAIに提供します。
- 長期的なパートナーを戦略的な組織能力の拡張と捉える：ベンダーをローテーションするのではなく、共に組織的な知識を高めます。
- エコシステムの知識を活性化させて内部の能力を強化する：構造化された脅威情報の共有や部門横断的なコラボレーションに参加することで、チームの学びと先見性を広げます。
これらのアクションを実行する組織は、希少なサイバー人材の獲得競争をやめ、その人材育成に乗り出します。その結果、今日の企業を守るだけでなく、今後のあらゆる障害を乗り越えて強くなるサイバーセキュリティ機能が生まれます。
出典
1.ISACA、『State of Cybersecurity 2025』、2025年9月29日発行。
2.アクセンチュア、『State of Cyber Resilience 2025』、2025年6月25日発行。
3.世界経済フォーラム、『Global Cybersecurity Outlook 2026』、2026年1月12日発行。
4.同上。
5.アクセンチュア、『State of Cyber Resilience 2025』、2025年6月25日発行。
