セキュリティエキスパート（情報セキュリティ監査）

どんな仕事か

コンピュータやネットワークに情報セキュリティ上の問題がないか客観的な立場から監査する。コンピュータやネットワークに対する攻撃に対して脆弱性がないか、情報漏洩に繋がるような問題点がないか、等々を一定の基準に基づき点検する。情報セキュリティ監査人と呼ばれることもある。

情報セキュリティ監査には「保証型監査」と「助言型監査」がある。対象となるコンピュータやネットワークが監査基準に照らして適切であると保証するのが「保証型監査」であり、監査対象の情報セキュリティ上の問題点を指摘し、改善に向けた助言を行うのが「助言型監査」である。セキュリティ監査を行う目的としては、会社や団体の情報セキュリティが適切か組織内で点検する「内部目的」と、会社や団体として外部に情報セキュリティが適切に行われていることを示すための「外部目的」がある。助言型監査は主に内部目的のために行われ、保証型監査は主に外部目的のために行われる。

監査の基準としては、経済産業省の「情報セキュリティ管理基準」及び「情報セキュリティ監査基準」並びに総務省の「地方公共団体における情報セキュリティ監査ガイドライン」等がある。経済産業省の「情報セキュリティ管理基準」では、情報セキュリティのマネジメントにおける計画、実行、点検、処置に必要な事項を示し、実施方法の例も記載されている。「情報セキュリティ監査基準」では、誰が監査するか、監査での遵守事項、監査実施の枠組み、監査報告での留意事項、監査報告書の記載方法が示されている。「地方公共団体における情報セキュリティ監査ガイドライン」では、地方自治体での実施を前提に、監査の手順、監査の項目等が示されている。また、国際標準化機構 (ISO) と 国際電気標準会議 (IEC) が共同で策定した、情報セキュリティのマネジメントに関する規格もある（ISO/IEC 27002）。これら監査基準、ガイドラインをもとに各組織が組織内でより具体的な監査基準を作成している場合が多い。

監査の対象は幅広く、コンピュータ、ネットワーク、オペレーティングシステム、データベース、アプリケーション、クラウド等の情報セキュリティ上の問題点を点検する。さらに、サーバルームに入る人を管理しているか、USBメモリー等が適切に扱われているか等、人の側も対象となる。

一般的には既に稼働しているコンピュータやネットワークの監査を行う。

監査を客観的に行うため、当該システムの開発者や運営者ではない第三者が監査を行う。まったく独立した監査会社が行う場合もあるが、グループ内の監査を専門に行う会社や部門がグループ各社のコンピュータやネットワークの監査を行う場合もある。第三者として独立した監査会社が行う場合は、最初に監査に関して、内容、方法、期間、経費等を顧客と打ち合わせる。グループ会社に対して行う場合は、まず監査を予告し、関係書類を出してもらう。

審査では関係書類を受け取り、監査基準に基づき運用されているか記録等を確認する。提出された書類に疑問点がある場合、必要であれば追加の資料提出を求めたり、ヒアリングを行ったりする。対象となるコンピュータやネットワークに対して脆弱性診断、ペネトレーションテスト等を行うことがあるが、その実施結果の報告書に基づき監査することも多い。

監査では膨大な量のドキュメントを確認するため、３名から５名程度でチームを作り、提出された書類等を点検し基準に適合しているかみていく。監査結果は監査報告書にまとめる。

監査結果をもとに会社や団体の情報セキュリティに関して監査対象の顧客等と検討後に、社内規定等の見直しに参加することもある。

よく使う道具・機材・情報技術

2021年度時点の情報job tagの解説はこの年度から更新されていません。現在とは異なる場合があります。

ワープロソフト、表計算ソフト（Excel、Googleスプレッドシート等）、プレゼン資料作成ソフト（PowerPoint、Keynote等）、パソコン

主なタスク

job tagの就業者調査で重要度が高いとされたもの。実施率は、そのタスクを行っていると答えた人の割合です。

労働条件の特徴

監査対象となるのは大企業が多いことから、情報セキュリティ監査を行う側の会社も東京に集中している。

機密情報、個人情報を扱うため、多くは正社員であり、協力会社の社員が監査チームに加わることもあるが、その人も多くは協力会社の正社員である。賃金は月給制で、土日祝日が休み、朝から夕方までの勤務というところが多い。監査は計画的に行われ、時期により集中することはあまりないことから、特に残業時間や休日出勤が多いということはない。

近年、情報化が急速に進展し、最近ではデジタルトランスフォーメーション（DX）に取り組む会社も多く、あらゆるものがインターネットにつながるIoTも広がっている。2020年、コロナ禍でリモートワークが急速に広がり、新たな監査の必要性が生まれているという組織もある。一方でコンピュータやネットワークの安定稼働が社会から強く求められることから、仕事は質、量ともに拡大している。また、情報セキュリティ監査を実施しているのは大企業でもそれほど多くなく、必要性の認識が高まるとともに仕事が増えていくと考えられる。

働く環境の特徴

job tag の就業者調査で、この職業の人が答えた「仕事の性質」です。全職業の平均と比べて、特に高い項目と低い項目を並べています。

全職業の平均より高い

• 座り作業4.9(平均 3.2)
• 電子メール4.8(平均 3.5)
• ビジネスレターやメモの作成4.0(平均 3.1)
• 空調のきいた屋内作業4.8(平均 4.1)
• 他者と調整し、リードする3.5(平均 3.0)
• 機械やコンピュータによる仕事の自動化2.4(平均 2.0)

全職業の平均より低い:立ち作業、モノ、道具、制御装置を扱う手作業、歩行、走行

勤務のスケジュール:規則的 59%、不規則 33%、季節的 9%

一般的な就業形態

• 正規の職員、従業員83%
• 契約社員、期間従業員15%
• 派遣社員13%
• 経営層（役員等）11%
• パートタイマー7%
• 自営、フリーランス4%

この職業の一般的な就業形態として、job tag の就業者調査で選ばれた割合です。複数回答のため、合計は100%を超えます。回答した人の数が少ない職業もあるため、目安として見てください。

禄高(給与)

より広い職種の数値統計に「セキュリティエキスパート（情報セキュリティ監査）」だけの区分がないため、「他に分類されない専門的職業従事者」全体の数値を表示しています。

月給の中央値と分布(残業代・賞与を除く)

• 下から10%〜上から10%
• 真ん中の半分(下から25%〜75%)
• 中央値
• 平均

年収の推移

年齢別の年収

白抜きの点と破線は、推計労働者数が1,000人未満の区分です。 人数が少なく平均がぶれやすいため、参考値として見てください。 薄い棒(右の目盛り)は、賃金の統計の推計労働者数です。企業規模10人以上の会社などに雇われて働く人の数で、自営業の人や小さな会社で働く人を含まないため、下の「年齢別の就業者数」(国勢調査)とは対象が違います。

需要と将来性

より広い職種の数値求人倍率は「その他の専門的職業」全体の数値です。

有効求人倍率の推移

ハローワークを通じた求人・求職の数から計算した値で、民間の求人サイトの求人は含みません(パートタイムを含む常用)。

就業者数の推移

より広い職種の数値就業者数は「他に分類されない専門的職業従事者」全体の数値です。

国勢調査は5年ごとの調査です。会社員だけでなく、自営業や家族で営む仕事の人も含みます。 そのため、給与の統計(企業規模10人以上の会社などで働く人)とは対象が違います。2025年の国勢調査の職業別の結果は、2027年(令和9年)11月までに公表される予定です(総務省統計局の公表予定)。公表されたら、この推移に加えます。

年齢別の就業者数(2020年)

国勢調査の就業者数で、雇われて働く人のほか、自営業や家族で営む仕事の人も含みます。70歳以上はまとめています。

働き方の内訳(2020年)

必要なスキル・知識

全職業の平均と比べて特に求められるスキルは、プログラミング、企業・組織の活動の評価、合理的な意思決定です。 知識ではコンピュータと電子工学、通信技術、公衆安全・危機管理が特徴的です。

水準はスキルが0〜7程度、知識が0〜5程度で、数字が大きいほどその仕事で高いレベルが求められることを表します。

なり方・学び方

情報セキュリティ監査を専門に行う会社に入るか、IT企業に入り、セキュリティ部門等に配属されて、情報セキュリティ監査を担当する。正確な就業者数等統計はないが、大卒が多く、理系も文系もおり、男女ではやや男性が多いと考えられる。情報セキュリティ監査は2000年以降、整備されてきており、整備に合わせて、情報セキュリティ関係やシステムの運用等の業務を行ってきたベテランが監査を行うようになったことも多く、若年者の比率は高くない。

経済産業省の情報セキュリティ監査制度に基づく情報セキュリティ監査人資格制度があり、特定非営利活動法人の日本セキュリティ監査協会（JASA：Japan Information Security Audit Association）が認定試験を行っている。情報セキュリティ監査人資格制度には、監査チームのリーダーとして監査計画を作成、監査し、報告を行う「公認情報セキュリティ主任監査人」、監査計画の策定や実際の監査、報告を行い、主任監査員の指導のもとでリーダーとして監査を主導する「公認情報セキュリティ監査人」、監査チームにOJTとして参加し、監査を支援する「情報セキュリティ監査人補」、監査チームのリーダーからの要請に応じて監査に対してさまざまな助言を行う「情報セキュリティ監査アソシエイト」がある。これらの資格を持っていることが望ましいが、持っていなくても業務は可能である。情報処理推進機構（IPA）の国家試験「情報セキュリティマネジメント試験」、「情報処理安全確保支援士試験」の知識は業務をする上で役立つ。

採用後、監査チームの一員となり、OJTで知識やスキルを身に着けていくことになる。日本セキュリティ監査協会等のセミナーや研究会に参加することもある。

監査チームの一員に加わり、実業務を通じてノウハウを習得し、上記の「情報セキュリティ監査人補」「公認情報セキュリティ監査人」「公認情報セキュリティ主任監査人」へとスキルを高め仕事の幅を広げていく。

新しい仕事であり、特定のキャリアルートがあるというわけではないが、情報セキュリティ関係の脆弱性診断やデジタルフォレンジックのような仕事に移る人もいる。

倫理性、責任感、正確さ、チームワークが求められ、デジタル技術の進化に対応した知識やスキルの継続的な更新も必要となる。また、書類の交換、ヒアリング等が多いことからビジネスマナーが必要であり、文書作成やコミュニケーションのスキルも求められる。

関連する資格

• 公認情報セキュリティ主任監査人
• 公認情報セキュリティ監査人
• 情報セキュリティ監査人
• 情報セキュリティ監査アソシエイト

資格の詳細ページでは、受験資格・受験料などを試験の実施団体などの公式情報をもとに、出典と確認日つきでまとめています。

関連団体

• 特定非営利活動法人 日本セキュリティ監査協会（JASA：Japan Information Security Audit Association）

スキルが近い職業

スキル・知識の傾向が似ている職業です。必要なスキルの重なりが大きいほど、転職のときに経験を活かしやすいと考えられます。

• セキュリティエキスパート（オペレーション）年収の目安 610万円セキュリティエキスパート（情報セキュリティ監査）とくらべる →
• ITコンサルタント年収の目安 889万円(参考値)セキュリティエキスパート（情報セキュリティ監査）とくらべる →
• 運用・管理（IT）年収の目安 610万円セキュリティエキスパート（情報セキュリティ監査）とくらべる →
• システムエンジニア（基盤システム）年収の目安 889万円(参考値)セキュリティエキスパート（情報セキュリティ監査）とくらべる →
• ソフトウェア開発（パッケージソフト）年収の目安 578万円セキュリティエキスパート（情報セキュリティ監査）とくらべる →

出典と注意

• 職業情報提供サイト(job tag)「仕事内容、タスク、スキル・知識、関連資格」数値系 ver.7.00・解説系 ver.7.01
• 賃金構造基本統計調査「一般労働者 職種 第1表・第5表(e-Stat)」2025年(推移は2023〜2025年)
• 国勢調査「職業(小分類)別就業者数(e-Stat)」2020年(推移は2010〜2020年)
• 職業安定業務統計(一般職業紹介状況)「長期時系列表_21_職業別労働市場関係指標（実数）（令和4年4月～）(e-Stat)」2023〜2025年

使っている統計について

賃金構造基本統計調査(e-Stat)

厚生労働省が毎年行う基幹統計(統計法で特に重要と定められた統計)です。 事業所が、働いている人ごとの給与を記入する調査で、職種・年齢・企業規模などの区分ごとの給与がわかる国の代表的な賃金統計です。 このサイトの数値の範囲は一般労働者(短時間労働者を除く)、企業規模10人以上です。

職業安定業務統計(一般職業紹介状況)(e-Stat)

厚生労働省が、全国のハローワークで受け付けた求人と求職の数を集計した業務統計です。 民間の求人サイトや人材紹介会社の求人は含みません。

国勢調査(e-Stat)

「国勢調査は、日本に住んでいるすべての人及び世帯を対象とする国の最も重要な統計調査で、国内の人口や世帯の実態を明らかにするため、5年ごとに行われます。」 (総務省統計局「令和2年国勢調査に関するQ&A」問1-1) 職業別の就業者数は、調査票の一部を抽出して集計した推計値です(抽出詳細集計)。 範囲は15歳以上の就業者(雇用者のほか、自営業主・家族従業者などを含む)です。

厚生労働省 職業情報提供サイト(job tag)(ダウンロードページ)

厚生労働省の職業情報サイトです。スキル・知識・タスクの数値は、独立行政法人労働政策研究・研修機構(JILPT)がその職業に就いている人へのアンケートで集めたものです。

データの対応関係

• 賃金:「他に分類されない専門的職業従事者」の数値(より広い職種)
• 求人倍率:「その他の専門的職業」の数値(より広い職種)
• 就業者数:「他に分類されない専門的職業従事者」の数値(より広い職種)
• 年収と就業者数は、統計の「他に分類されない専門的職業従事者」の数値です。

数字の見方

• 年収の目安:きまって支給する現金給与額 × 12 + 年間賞与その他特別給与額(いずれも平均。一般労働者、企業規模10人以上)。平均値なので、一部の高い人に引っ張られて実感より高く出ることがあります。
• 給与の対象は労働基準法第9条の労働者(雇われて働く人)。事業主は含まず、役員も原則含まない。パート・アルバイトなどの短時間労働者は含みません。
• 月々の給与は、調査した年の6月分の給与です。基本給のほか残業代・通勤手当・家族手当などを含み、税金・社会保険料を差し引く前の額です。
• 賞与は、調査した年の前年1年間(原則1月〜12月)に支払われた額です。
• 用語の定義は厚生労働省の用語の説明と調査の概要によります。

数字の計算方法や読み方は「統計の読み方」にまとめています。

独立行政法人労働政策研究・研修機構(JILPT)作成『職業情報データベース 簡易版数値系ダウンロードデータ ver.7.00』職業情報提供サイト(job tag)より2026年10月30日にダウンロード(https://shigoto.mhlw.go.jp/User/download)、『職業情報データベース 解説系ダウンロードデータ ver.7.01』職業情報提供サイト(job tag)より2026年10月30日にダウンロード(https://shigoto.mhlw.go.jp/User/download)を加工して作成