情報セキュリティ分野に特化した研究教育機関である米SANS Instituteは2014年4月、最新の調査報告書「2014 SANS Institute Salary and Professional Trends Survey」を公開した。この報告書は、2008年に公開された同様の調査報告書の増補最新版。4000人以上の回答者から集めたデータを基に、「給与レンジ」「学歴」「今後の採用見通し」など、さまざまな角度から情報セキュリティ分野のキャリア動向を分析している。

　優秀な情報セキュリティ技術者への需要の高さを考えれば、彼らの多くが高収入を得ているのは当然のことだ。SANSの調査では、年収が「10万ドル以上」という回答者が全体の半数近くに上り（2008年の調査では38％だった）、「8万～9万9999ドル」と答えた人が全体の4分の1近くを占めている。

　また調査によれば、経験年数が賃金水準を大きく左右するようだ。職種を問わず、情報セキュリティ業界での経験が「3年以下」の回答者は平均年収が7万5000ドルを下回っているのに対し、経験が「7年以上」の回答者は10万ドル以上となっている。管理職か非管理職かによっても、賃金水準は大きく異なる。「管理職」の回答者の平均年収が12万ドル以上であるのに対し、「非管理職」の回答者の平均年収は9万5000ドル強にとどまっている。

　SANS Instituteの理事を務めるスコット・キャシティ氏によると、2014年の調査結果は、情報セキュリティが専門的職業として然るべき方向に向かっていることを示しているという。

　「この分野の成長は正しく予測されていた。経済危機の影響で給与の伸び率は抑えられたが、それでも給与水準は6年前より上がっている」と、同氏は語る。

認定資格の価値は？

　調査結果からは、情報セキュリティ担当者の給与増額に寄与する要因を幾つか読み取れるが、圧倒的多数の回答者は「セキュリティの認定資格」を仕事で成功するための鍵と考えているようだ。

　実際、仕事で成功するための最大の要因として、5分の3近くの回答者が「認定資格」を挙げている。一方、「同業者との人脈」を挙げた回答者は40％以下、「学士号」や「修士号」を挙げた回答者は全体の4分の1に満たなかった。

　ただし、全ての認定資格が同等というわけではないようだ。回答者は、SANSの「GIAC Security Expert（GSE）」と（ISC）2の「Certified Information Systems Security Professional（CISSP）」を最も価値の高い資格として評価している。一方、主として経験の浅いセキュリティプロフェッショナルを対象としているCompTIAの認定資格「CompTIA Security+」は最下位グループに分類されている。

　自身も営利目的のセキュリティトレーニングと認定資格を提供するSANSが実施した調査であるからには、回答にバイアスが掛かっている可能性は否定できない。キャシティ氏はその可能性を認めた上で、認定資格は、その人物がセキュリティのポストに就く上で必要となる基本知識を持っていることを人事部に示す主要な指標となる場合が多いという。これはキャリアの早期の段階では特にそうだ。キャシティ氏によればこれは、セキュリティ分野のエントリーレベルのポジションは、ネットワーキングなど他のIT分野からセキュリティ分野に移ろうとしている志望者によって埋められるケースが少なくないからだ。

　「セキュリティ分野で競争力を付けたいのなら、多くの場合、適切な認定資格を取得することが正しい道となる。学士号と正式な教育によって、企業はその候補者が理論を身に付けていることを知ることができる。だが、候補者がスキルを身に付けていることを証明するのは、トレーニングプログラムと認定資格だ。ITスキルは間違いなく必要だが、学問だけでなく“技”の部分も重要なのだ」と、同氏は続ける。

　だが興味深いことに、SANSの調査を見ても、セキュリティの認定資格は回答者が考えているほどには、高い賃金や昇進を勝ち取る要因になっていないようだ。SANSは賃金の伸び率と認定資格の相互関係を明確に示す具体的なデータは提示せず、「多くの認定資格には最高5％の昇給効果があるようだ」と指摘するにとどめている。

　仮に認定資格によって5％給料が上がったとしても、最終学歴によって生じる格差と比べれば見劣りしてしまう。例えば、経験年数が「4～6年」で「高卒」のセキュリティ担当者の平均年収は7万5938ドルだが、経験年数は同じ（4～6年）でも、「学士号」を持つセキュリティ担当者は平均年収が8万4619ドルまで上がり、「修士号かMBA（経営学修士）」を持つ場合はさらに9万7109ドルになる。

　情報セキュリティ分野の人材派遣会社、米L.J. Kushner and Associatesのリー・クシュナー社長によれば、セキュリティの認定資格は候補者が足掛かりを得るためには効果的だが（特に、IT業界固有のスキルについて詳しくない人事担当者が候補者を選別する場合には）、そうした認定資格は「経験年数」や「スキルセット」と同じような形で賃金増額につながるわけではないという。

　「人事部が極めて強い会社でなければ、認定資格にそれほどの意味はない。『このポストに就く人には10万ドルを支払うが、特定の認定資格を持っているなら12万ドルを支払う』というようなことをいう企業は当社の顧客にはいない」と、クシュナー氏は語る。

情報セキュリティ担当者のチャンスは拡大するが……

　情報セキュリティ担当志望者や他社への転職を考えている現役の担当者はこれまでも、多くの企業がセキュリティ担当者を積極的に採用していることを信じてきたが、SANSの調査結果は、それが正しかったことを裏付ける内容となっている。

　「この1年間に雇用主が情報セキュリティの担当者を増員した」とする回答者が全体の43％を占めたのに対し、「減員した」とする回答者は10％強にとどまっている。また、向こう1年間についての予測値は、こうした増員傾向が今後も続くことを示唆している。回答者の3分の1以上が「情報セキュリティ担当者の増員」を予想しているのに対し、「減員」を計画していると答えた回答者は全体の5％に満たなかった。

　さらに調査では、向こう2年間でセキュリティのどの分野のスキルが最も必要とされるかについても尋ねている。回答者が最も需要が高まると考えているスキルセットの上位には、「インシデントレスポンス（事故対応）」「クラウドコンピューティング／仮想化」「アナリティクス」が選ばれている。

　SANSのシニアアナリスト、バーブ・フィルキンス氏によれば、こうしたスキル別の需要傾向は、確かな裏付けはないながらも、業界がここ数年見てきた状況と一致しており、総じて、情報セキュリティ分野がこの先何年かは新たなチャンスを生み続けそうなことを示唆しているという。

　「私の見たところでは、この調査結果は、仕事に就くには情報セキュリティがかなり良い分野であることを示している」と、フィルキンス氏は語る。

認定資格はキャリア形成に必要な要素のごく一部

　もっとも、こうした大規模調査の結果は全ての人に役立つわけではないとクシュナー氏はいう。SANSの調査で「最も重要」と見なされたスキルセットにしても、「あまりに範囲が広い」か、「最近の出来事が原因で一番に頭に浮かんだだけ」の可能性があるという

　例えば、インシデントレスポンスの需要が高いのには、この1年間に米Targetなどの小売業者が相次いで大規模なセキュリティ侵害に見舞われ注目を集めたことが影響している可能性がある。需要の高いスキルは一瞬にして変わる可能性もある。例えば、将来、サイバー攻撃によって重要な公共インフラが襲われるようなことがあれば、恐らく、SCADA（産業監視制御システム）のセキュリティスキルについて言及する回答者がはるかに多くなるはずだ。

　さらにクシュナー氏によれば、最先端の環境で働いた経験（クラウドを多用している企業でセキュリティを担当するなど）がないのであれば、たとえセキュリティの認定資格を持っていても、魅力的な求人広告の多くは恐らく、自分で対処できる範囲を超えている可能性が高いという。だから、昇進を目指すセキュリティプロフェッショナルにはまず「自分の最終目標」を理解し、その上で、その目標にたどり着くための行動を起こすようアドバイスする。「例えば、CISO（最高情報セキュリティ責任者）になりたいのなら、純粋な技術スキルよりもビジネススキルに重点を置く方が賢明であり、恐らくMBAを取得することも効果的だ」と、同氏は語る。

　逆に、採用責任者や人事部は、今のレベルを上回る条件を提示しなければ、他社からセキュリティ分野の人材を引き抜くのは難しいことを理解する必要がある。クシュナー氏は、ポストが埋まるのに本来より長い時間がかかるケースがよくあるのは、能力のある経験豊富な候補者に対し、企業が賃金期待値を調整したがらないからだと指摘する。実際、SANSなど各種の調査は、情報セキュリティ業界の給料レンジが上昇しつつある現状を裏付ける内容となっている。

　「現在、顧客企業の1社が侵入テストの専門家を採用しているが、その要求レベルは極めて高い。今回の調査で言及されている給与レンジでは、この顧客企業は高い期待に応えられる候補者を見つけることはできないだろう」と、クシュナー氏は語る。

　「情報セキュリティの人材に高い需要があることには疑問の余地がない。だが、次の点を理解しておく必要がある。目の前に本当に明るい市場が開けているのは、何か差別化要因となるスキルを身に付けた優秀な情報セキュリティプロフェッショナルだけであるということだ。平均的なスキルを持つ人たちにもチャンスはある。だがその大半は、特に他と違っていたり他より良いチャンスであることはない。職を変えるといっても単に違うロゴの付いたゴルフシャツに着替える程度のものだ」（クシュナー氏）