セキュリティエンジニア未経験可求人はインフラ出身者向け

「セキュリティ業務のご経験は問いません」という一文の下に、「Linux/Windowsサーバーの構築・運用経験(3年以上)」という条件がしれっと並んでいる——セキュリティエンジニア求人の必須要件欄で、こういう組み合わせを見ることがよくあります。

私はIT・Web業界を中心に800名以上の転職支援に携わっていますが、「未経験可」と書かれたセキュリティエンジニア求人を実際に開いてみると、そのほとんどが完全未経験者ではなく、インフラ・ネットワークエンジニア出身者を暗に想定していることに気づきます。今回は、求人票の必須要件からその実態を見分ける方法と、本当に未経験から入れる現実的な入り口職種を、実際に候補者を推薦してきた経験を交えてお伝えします。

目次

1. セキュリティエンジニア未経験可求人の実態、「未経験」は誰を指しているのか
2. 求人票の必須要件で見抜く、インフラ出身者専用の「未経験可」
3. インフラ・ネットワークエンジニア出身者が有利な理由、通過と不通過を分けた例
4. SOC監視専任求人は「やめとけ」と言われる理由、見分け方
5. 未経験からの現実的な入り口職種、何を経由すればいいか
6. 資格取得のロードマップ、実務経験とどう組み合わせるか
7. インフラ出身者が面接で問われること、職務経歴の語り方
8. セキュリティエンジニアの年収相場、doda実測値で見る
9. よくある疑問に答えます
10. 文系出身でもセキュリティエンジニアになれますか
11. 資格を取得すれば実務経験なしでも応募できますか
12. 何歳までなら未経験からセキュリティ職を目指せますか
13. SIerのヘルプデスクからでも目指せますか
14. まとめ、「未経験可」は求人票の必須要件で読み解く

セキュリティエンジニア未経験可求人の実態、「未経験」は誰を指しているのか

セキュリティエンジニアの求人票では、「未経験可」「未経験歓迎」という文言をよく目にします。ただ、この「未経験」が指しているのは、多くの場合「セキュリティ業務の実務経験がない」という意味であって、「ITインフラの実務経験がない」という意味ではありません。この2つを混同したまま応募してしまうと、書類選考の段階でつまずきます。

背景には、セキュリティ人材の需要が採用現場の体感として供給を上回っているという事情があります。「情報セキュリティ人材が十数万人規模で不足している」という話は、ここ十年ほどたびたび引用されてきましたが、出所をたどると経済産業省が2016年前後にまとめた推計を報道経由で伝えているものがほとんどで、当時の一次資料は私自身確認できていません。しかも予測対象の年はすでに過去のものになっているため、この記事では具体的な不足数を数字として引用するのは避けます。

数字は古くても、人手不足が構造的な課題として語られ続けてきたこと自体は、今の求人動向を考える上での背景として無視できません。私が担当してきた範囲でも、セキュリティ職の求人は掲載してから応募が集まるまでの期間が他職種より長引きやすく、企業側も採用基準を下げたくても下げきれない板挟みの中で「未経験可」という表記を使っている、という実感があります。

人手が足りないなら完全未経験者を積極的に採用すればいいと思われるかもしれませんが、実際の採用現場はそう単純ではありません。セキュリティインシデントの対応は、平常時のサーバー・ネットワークの挙動を理解していて初めて「何が異常か」を判断できる仕事です。企業側からすると、ゼロから育てるより、インフラ運用の土台がある人にセキュリティの知識を足す方が、実務投入までの期間が短くて済みます。この採用側の合理性が、「未経験可」の中身をインフラ出身者寄りに歪めている一番の理由だというのが私の見立てです。

私が実際に目にしてきた「未経験可」表記のセキュリティ求人を振り返ると、体感で7割前後は必須要件のどこかにインフラ・ネットワークの実務経験を条件として滑り込ませています。残りの3割ほどが、次の章で触れるSOC監視専任や研修型SESなど、本当に完全未経験からでも応募できる求人です。この比率はあくまで私が担当した範囲での肌感覚であり、統計として裏付けられた数字ではありませんが、応募先を選ぶときの心構えとしては十分参考になると思います。

求人票の必須要件で見抜く、インフラ出身者専用の「未経験可」

求人票の必須要件欄の文言を並べてみると、その求人が本当に完全未経験者向けなのか、それともインフラ出身者向けなのかがかなりはっきり見えてきます。私が候補者に確認を勧めているのは、必須要件と歓迎要件の境界線がどこに引かれているかです。

上の表の上3行のように、Linuxサーバーの運用経験やネットワーク機器の設定経験が「必須」として明記されている場合、その求人は事実上インフラ出身者専用です。「セキュリティ業務の経験は不問」という文言は、あくまでセキュリティ特有の知識については研修でカバーする、という意味であって、ITインフラの土台まで免除してくれるわけではありません。

実際に私が担当した求人票の一つには、こういう並びがありました。「セキュリティ製品(SIEM、EDR等)の運用経験は不問、丁寧に研修します」という歓迎コメントのすぐ下に、必須要件として「Linux/Windowsサーバーの構築・運用経験3年以上」「ネットワーク機器(FW、L2/L3スイッチ)の設定・保守経験」の2行が並んでいます。

この求人票を最初から最後まで読むと、「セキュリティは未経験でいい」と「サーバー・ネットワークの実務経験は必須」という2つのメッセージが同居していることが分かります。応募先を検討する際は、歓迎要件の柔らかい言葉に安心せず、必須要件の欄だけを抜き出して読み直す習慣をつけると、こうした二重構造を見落としにくくなります。

一方で下2行のように、シフト制の監視業務や研修中心の育成体制が前面に出ている求人は、完全未経験者にも実際に開かれています。ただしこの2つには、次の章で触れる別の注意点があります。求人票を読むときは、必須要件の1行目に何が書かれているかをまず確認する癖をつけておくと、応募先を絞り込む段階での無駄打ちがかなり減ります。

「文系理系不問、研修充実」という表現には、もう一つ注意したい点があります。SES企業が自社研修としてセキュリティの基礎講座を用意し、研修修了後に客先常駐先を割り当てるという形態の求人がこの文言でよく見られますが、実際に配属される案件がセキュリティ専門業務とは限りません。研修中は「セキュリティエンジニアとして育成します」という説明でも、配属先ではヘルプデスクや一般的な運用保守業務が中心になっていた、という相談を受けたこともあります。この場合、研修と配属後の実態にギャップがないかを、契約前の面談で具体的に確認しておく必要があります。

インフラ・ネットワークエンジニア出身者が有利な理由、通過と不通過を分けた例

必須要件の文言だけでは実感が湧きにくいと思うので、実際に私が同じ求人へ二人の候補者を推薦したときの話をします。

その求人は、ECサイトを運営する事業会社のセキュリティ運用チームによるSOCアナリスト募集で、求人票には「未経験可」と明記されていました。同じ月に、41歳・経験17年のKさん(独立系SIerで通信キャリア向けのネットワーク保守を担当)と、28歳・IT業界完全未経験のLさん(前職は小売チェーンの店舗マネージャー)、この二人を同じ求人に推薦しました。

結果は分かれました。Kさんは書類選考を通過し、一次面接では過去に対応したネットワーク障害の切り分け方を深掘りされたものの、落ち着いて答えきって内定に至りました。面接官が実際に聞いていたのは、セキュリティの専門知識ではなく、「普段と違う通信を見たときに、まずどこを疑うか」という切り分けの思考回路でした。Kさんが17年のネットワーク保守で培ってきたのは、まさにこの部分です。

Lさんは書類選考の段階で不採用となり、企業の採用担当者からは「サーバー・ネットワークの実務経験がないと、インシデント発生時の状況把握に時間がかかってしまう」という率直なフィードバックをもらいました。求人票の「未経験可」という表記だけを見て応募したLさんにとって、この結果は正直なところ想定外だったと思います。事前にLさんの職務経歴書を見た時点で、私自身も正直なところ通過の可能性は五分五分だと感じていましたが、本人の希望を尊重してそのまま推薦しました。

Lさんはその後、ヘルプデスク職を経由するキャリアに切り替え、社内SEのポジションでサーバー・ネットワークの実務を1年半ほど積みました。その上で同じ会社が改めて出したSOCアナリスト求人に再応募したところ、今度は書類選考を通過し、最終的に内定を獲得しています。遠回りに見えても、インフラの実務経験を先に積んでから応募し直す方が、結果的に早く着地するというのは、Lさんのケースだけでなく他の候補者でも繰り返し見てきたパターンです。

同じような通過・不通過の分かれ方は、この二人に限った話ではありません。私が同時期に複数のセキュリティ求人へ候補者を推薦した記録を振り返っても、インフラ・ネットワークの実務経験がある候補者の書類通過率は、完全未経験の候補者よりも明らかに高い傾向がありました。求人票に「未経験可」と書かれていても、選考の実態がインフラ経験者を軸に回っていることは、特定の1社に限った偏りではないというのが私の実感です。

SOC監視専任求人は「やめとけ」と言われる理由、見分け方

前の章で触れた「未経験可」求人のうち、シフト制の監視業務を中心とするSOCアナリスト職には、別の注意点があります。ネット上で「セキュリティエンジニア 未経験 SOC やめとけ」という検索が目立つ理由は、この監視専任ポジションの実態にあります。

SOCの一次監視は、アラートを見て決められた手順に沿って一次対応するだけの業務に留まりがちです。24時間365日体制のため夜勤・早朝勤務のシフトが組まれ、しかもアラートの大半は過検知や既知の事象で、判断らしい判断をしないまま時間だけが過ぎていく職場も少なくありません。数年たっても分析・解析といった一段上の業務に進めず、市場価値が上がらないまま年齢を重ねてしまう、という相談を私は何度も受けています。

ただし、すべてのSOC監視専任求人が同じというわけではありません。監視業務の中からインシデント分析(L2)やフォレンジック調査に進めるキャリアパスが実際に運用されている職場もあります。求人票の文言だけではこの違いを判断しきれないので、面談・面接の場では次のような聞き方を候補者に勧めています。

これらの質問に、具体的な人数や事例で答えられる採用担当者がいる職場は、監視業務を入り口として実際に活用できる可能性が高いと私は見ています。逆に「今後整備していく予定です」という将来形の返答しかできない職場は、監視専任のまま数年が過ぎるリスクを覚悟しておいた方が現実的です。

体制の厚みも見ておきたいポイントです。私が求人票の裏取りをした中では、監視チームの人員が5人未満で、しかも入れ替わりが激しい職場ほど、一人あたりのシフト負担が重くなり、分析業務に手が回らないまま離職者が出て、また未経験者を補充するという循環に陥っているケースが目立ちました。逆に10人以上の体制でローテーションを組み、監視と分析の担当をあえて緩やかに分けている職場では、数年かけて分析職に移った実例を具体的に話してもらえることが多い印象です。

未経験からの現実的な入り口職種、何を経由すればいいか

ここまでの話を踏まえると、完全未経験からセキュリティエンジニアを目指す場合、いきなりセキュリティ専任の求人に応募するより、インフラの実務経験を先に積む方が回り道のようで実は近道です。私が支援してきた中で実際に多いルートは、次のいずれかです。

インフラエンジニアからセキュリティ職への転向で、私がよく目安として伝えているのはインフラ実務経験3年前後です。1〜2年ではサーバー・ネットワークの基本を触った段階に留まりがちですが、3年ほど経つと障害対応や構成変更を一人で回せるようになり、セキュリティ求人の必須要件を実質的に満たせる水準に届く候補者が増えてくる印象です。もちろんこれは目安であって、担当してきた業務の幅によって前後します。

資格については、CCNAや基本情報技術者、情報セキュリティマネジメントは書類選考で「学習意欲の証拠」として効きますが、それ単体で実務経験の不足を埋めてくれるわけではありません。求人票の見極め方という点では、「未経験可」求人全般の危険信号や、肩書きと実態がずれやすいSRE求人の見抜き方も、考え方の土台として参考になると思います。

資格取得のロードマップ、実務経験とどう組み合わせるか

資格は取る順番を間違えると、時間をかけた割に評価につながりにくくなります。私が候補者に勧めている順番は、まずCCNAでネットワークの基礎を固め、並行してインフラ運用の実務に就く、というところから始めます。基本情報技術者は、セキュリティを含むIT全般の基礎知識を体系的に示せる点で、書類選考の補強材料になります。

実務経験を2〜3年ほど積んだ段階で、情報セキュリティマネジメントを取得しておくと、セキュリティ職への応募理由に説得力が出てきます。国家資格である情報処理安全確保支援士は、難易度・登録更新の手間ともに重く、実務未経験の段階で取りにいく資格ではありません。私の感覚では、セキュリティ職として実務経験を1〜2年積んだ後、専門性をさらに高めたいタイミングで挑戦する資格だと位置づけておくのが現実的です。

なお、IPA（情報処理推進機構）は2026年3月末のプレスリリースで、情報処理技術者試験の制度を2027年度から見直す方針を示しています。情報セキュリティマネジメントや基本情報技術者は2027年度の春頃、情報処理安全確保支援士は2027年度の夏から秋頃に新制度へ移行する予定とされ、IPA自身が「検討状況であり変更の可能性がある」と断っています(出典：IPAプレスリリース)。この記事で挙げた順番を変える必要はありませんが、受験日を決める前にIPAの最新の案内で試験区分と時期を確かめておくと安心です。

インフラ出身者が面接で問われること、職務経歴の語り方

書類選考を通過した後、面接ではセキュリティの専門知識そのものより、インフラ運用の中で培った判断力を掘り下げられることが多いです。Kさんの面接がまさにそうでしたが、「過去に対応した障害で、最初に何を疑い、どう切り分けたか」という具体的なプロセスを聞かれるケースが目立ちます。

ここで評価されるのは、正解にたどり着いたかどうかより、平常時の状態を基準に異常を見つける思考の順番を持っているかどうかです。職務経歴書や面接で「サーバーの運用保守を担当していました」とだけ書いてしまうと、この思考プロセスが面接官に伝わりません。「通常時のCPU使用率・通信量を把握した上で、閾値を超えたアラートから原因を切り分けていた」というように、判断の起点と手順をセットで語れると、セキュリティ職の選考でも評価されやすくなります。

面接前の準備としては、過去に対応した障害・トラブル対応を2〜3件、原因の仮説をどう絞り込んだかという順番で棚卸ししておくことをお勧めします。件数の多さより、1件あたりの説明の解像度が高い方が、面接官には実務能力として伝わります。

セキュリティエンジニアの年収相場、doda実測値で見る

年収の相場感も、実際のデータで押さえておきます。dodaが公表している職種図鑑によると、データベース・セキュリティエンジニアの平均年収は518.6万円、年間賞与は97.4万円で、年収分布では300万円台が27%と最も多い層になっています。調査期間は2023年9月〜2024年8月、転職時の平均年齢は32.3歳とされています(出典：doda「データベース／セキュリティエンジニアとはどんな職種？」)。

注意したいのは、この数字がデータベースエンジニアと合算した職種区分であり、純粋なセキュリティ職だけの値ではないことです。調査期間も約2年前になるため、記事ごとに年収の数字が割れている背景には、こうした職種の括りと調査時期の違いがあります。本記事の数字は水準を掴むための目安として読んでください。

「セキュリティエンジニアは年収1000万円も狙える」という煽り気味の紹介を見かけることがありますが、実測値ベースではそこまで高い水準が中心というわけではありません。300万円台が最多層という分布を見ると、インフラ出身者がキャリアの入り口として入る場合、前職の年収からそう大きく変わらない水準でスタートすることが多いというのが私の実感に近い数字です。

年収を伸ばしていけるかどうかは、肩書きよりも、SOC監視のような定型業務から分析・設計・診断といった専門業務にどれだけ踏み込めているかにかかっています。同じ「セキュリティエンジニア」でも、監視のオペレーションに留まる人と、脆弱性診断やインシデントレスポンスの設計まで担う人とでは、数年後の年収レンジが大きく開いていく印象があります。

出身ルート別に見ると、インフラエンジニアとして年収500万円前後だった人がセキュリティ職に転向する場合、初年度は同水準か、20万〜40万円程度の上乗せで着地することが多いというのが私の担当実績に近い感覚です。一方、ヘルプデスクやSOC監視専任からのスタートでは、実務経験がまだ浅い分、前職と同水準かやや下がった提示を受け入れて入社し、2〜3年かけてインフラ出身者の水準に追いつくケースが目立ちます。焦って高い年収を求めるより、専門業務に踏み込める職場を選ぶ方が、結果的に数年後の年収を左右すると私は考えています。

よくある疑問に答えます

文系出身でもセキュリティエンジニアになれますか

文系・理系という学歴の区分自体は、書類選考でほとんど問われません。見られているのは学歴ではなく、サーバーやネットワークの実務経験の有無です。文系出身でヘルプデスクやインフラ運用の経験を積んだ候補者が、事業会社のセキュリティ職に転向した例も何度も見てきました。

資格を取得すれば実務経験なしでも応募できますか

CCNAや情報セキュリティマネジメントは、学習意欲を示す材料としては有効ですが、必須要件に「実務経験◯年以上」と明記された求人では、資格だけで免除されることはほとんどありません。資格は実務経験を補強する材料であって、代替する材料ではないと考えておいた方が現実的です。

何歳までなら未経験からセキュリティ職を目指せますか

dodaのデータでは転職時の平均年齢が32.3歳とされており、私の実感でも30代前半までにインフラ実務経験を積んで応募する候補者が中心です。40代以降でも、マネジメント経験やインフラでの豊富な実務経験があれば通過する例はありますが、その場合は完全未経験としてではなく、インフラでの管理職経験を評価される形になることが多いです。

SIerのヘルプデスクからでも目指せますか

事業会社のインフラ部門でなければならない、ということはありません。SIerやSESでのヘルプデスク・運用保守経験でも、サーバー・ネットワークに実際に触れた経験として評価されます。重要なのは所属形態よりも、担当した業務の中身をどれだけ具体的に語れるかです。

まとめ、「未経験可」は求人票の必須要件で読み解く

セキュリティエンジニアの「未経験可」求人は、完全未経験者に広く門戸を開いているように見えて、必須要件の1行目を読むと、実際にはインフラ・ネットワークエンジニア出身者を想定していることがほとんどです。KさんとLさんの結果が分かれたのも、セキュリティの知識量ではなく、ITインフラの実務経験の有無が効いたからでした。

求人票の「未経験可」という4文字ではなく、必須要件欄に何が書かれているかを先に読む、この一手間があるかどうかで、応募すべきかどうかの判断が変わってきます。完全未経験からセキュリティ職を目指すのであれば、いきなり専門職を狙うより、ヘルプデスクやインフラ運用でサーバー・ネットワークの実務経験を積むルートの方が、結果的に早くたどり着けるというのが、この記事で一番伝えたかったことです。

すでにインフラ・ネットワークの実務経験を積んでいる方は、その経験がセキュリティ職の必須要件を実質的に満たしている可能性が高いことに、まず気づいてほしいと思います。逆にこれから実務経験を積む段階の方は、焦って「未経験可」の文字だけを頼りに応募先を絞るのではなく、必須要件欄を読み比べながら、今の自分に届く求人と、数年後に届く求人を分けて考えてみてください。