サイバーセキュリティ業界の地図｜製品・診断・監視・事故対応

守る仕事を予防・検知・対応に分け、製品会社、診断、SOC、事故対応を整理。事業に関わる制度と、事業者の努力義務・基幹インフラ側の届出も確認できます。

「セキュリティ」と書かれた求人には、セキュリティ製品の開発、システムの弱点を探す診断、攻撃の兆しを24時間見張る監視の運用、被害を受けた会社に駆けつける事故対応、製品やサービスを売る営業まで幅があります。事業会社の中で、自社のシステムを守る担当者の求人もあります。同じ「セキュリティ」でも、製品を作る会社なのか、サービスを提供する会社なのか、守られる側の会社なのかで、仕事の相手も成果物も変わります。

この記事では、企業や組織の情報システムとネットワークを守るサイバーセキュリティの仕事を扱います。守る仕事の工程と、それぞれの工程で誰が何の対価を受け取るのか、市場の大きさと内訳、どんな会社が担っているのか、法律が誰に何を求めているのか、脅威と制度の変化がどの業務に影響するかを順に確かめます。

IT・通信の分野全体の中でセキュリティがどこに位置するかは、「IT・通信の業界地図」で扱っています。この記事は、その中のセキュリティだけを深めます。回線を持つ会社の稼ぎ方は「通信の業界地図」、SIerの元請と下請の関係は「SIer・システム開発の業界地図」で扱います。

個人向けセキュリティソフトの製品比較、能動的サイバー防御法のうち通信情報の取得などのまだ施行されていない部分と、安全保障政策の論点も扱いません。

サイバーセキュリティ基本法の第2条は、サイバーセキュリティを、電子的な情報の漏えい・滅失・毀損を防ぎ、情報システムとネットワークの安全性と信頼性を確保する措置がとられ、適切に維持されている状態と定めています。この状態を保つための製品とサービスを売る会社と、それを使って自社を守る会社がいます。

守る仕事は、工程で分けると分かりやすくなります。攻撃を受ける前に弱点を見つけて塞ぐ「予防」、攻撃の兆しを見つける「検知」、被害が起きたあとに原因を調べて立て直す「対応」です。このほかに、社員の教育や保険などの「周辺」の仕事があります。

業界団体の日本ネットワークセキュリティ協会（JNSA）は、市場を製品（ツール）とサービスに分けています（国内情報セキュリティ市場 2024年度調査報告）。製品は、パソコンなどの端末を守るエンドポイント保護・管理、社内と外のネットワークの境目で攻撃を防ぐ・見つけるネットワーク防御、メールやWebの中身を調べるコンテンツセキュリティ、誰に何の利用を許すかを管理するアイデンティティ・アクセス管理の4つです。製品は、予防と検知の両方に使われます。

サービスは3つの中分類に分かれます。1つ目はコンサルティング／診断で、システムの弱点を探す脆弱性診断や、セキュリティの規格の認証を取る支援が入ります。2つ目はマネージド・運用で、顧客のシステムの記録を見張って攻撃の兆しを知らせるSOC（セキュリティ・オペレーション・センター）、被害を受けた機器を調べて何が起きたかを確かめるインシデント対応・フォレンジック、攻撃の手口などの情報を届けるインテリジェンス情報提供が入ります。3つ目は周辺で、電子証明書、社員向けのリテラシー教育、資格取得の支援、保険です。

対価の受け取り方も、工程で違います。製品は利用料やその更新、診断やコンサルティングは案件ごとの作業、監視は継続して運用を任される契約、事故対応は被害が起きたときの依頼が中心になります。ただし、契約の形は会社や案件ごとに違います。

この記事では、JNSAの推計を市場の物差しにします。JNSAの会員による業界団体の推計で、公的な統計ではありません。「IT・通信の業界地図」で触れている総務省の統計とは数え方が違うため、この記事では総務省の統計の数字を使わず、JNSAの推計と足したり比べたりもしません。

JNSAの2024年度調査（2025年6月）によると、2023年度の国内情報セキュリティ市場は、実績の推定値で1兆6,665億円です。前の年度の1兆4,628億円から13.8%増えました。JNSAの公開資料一覧で2026年10月31日時点に確認できる最新の実績は2023年度で、2024年度は見込みの1兆7,995億円です。この記事の「2023年度」の数字は、2024年度の市場の大きさではありません。

2023年度の1兆6,665億円のうち、製品が9,942億円（59.7%）、サービスが6,724億円（40.3%）です。サービスの内訳は、コンサルティング／診断が2,888億円、マネージド・運用が2,727億円、周辺が1,108億円です。

1兆6,665億円はJNSAの公表値です。内訳は百万円単位の値を億円に四捨五入したため、足し合わせても合計と一致しないことがあります。

マネージド・運用の約7割（計算値で72.4%）は、SOCが占めています。インシデント対応・フォレンジックは427億円で、SOCより小さな市場です。事故が起きたときの調査より、日ごろの監視を任せる契約のほうが、金額の上では大きくなっています。

JNSAは、EDR（端末の不審な動きを見つけて止める製品）について、大手企業ではほぼ導入が一巡したとしています。そのうえで、EDRを作る会社や、セキュリティに強いIT企業に運用を任せるMSS（マネージド・セキュリティ・サービス）の需要に合わせて、導入や乗り換えが増えていると説明しています。JNSAの説明からは、製品を買って終わりではなく、製品の運用をサービスとして任せる流れが読み取れます。

JNSAは、市場を推計するために1,040社を調べ、751社を分析の対象にしています。751社は、業態でA〜Hの8つに分けられています。

社数が多い順に、セキュリティサービスを提供する事業者の163社（21.7%）、システムの構築などもできる二次・三次の販売店の149社（19.8%）、海外メーカーまたはその日本法人の143社（19.0%）です。国内のセキュリティ製品メーカーは129社、販売店・商社は58社、大手SIerは52社、コンサルティング会社は36社、サイバー保険などのその他は21社です。

751社のうち、製品だけを扱う会社は189社、サービスだけを扱う会社は149社で、製品とサービスの両方を扱う会社が413社と半分を超えます。また、751社の売上を単純に合計すると72兆1,168億円になり、そのうちセキュリティの事業は2.9%です。分析の対象には、SIerや販売店のように、セキュリティ以外の事業が売上の大半を占める会社が多く入っています。

求人の会社がどの業態に当たるかは、JNSAは示していません。図の会社の例は、この記事の当てはめです。JNSAの業態には「通信会社」の区分がありません。この記事では、回線とあわせてセキュリティを売る通信会社を、別の担い手として置きました。

海外メーカーは、社数では5社に1社ほどを占めます。この社数は会社数の割合であり、海外製品と国内製品の売上割合を示すものではありません。

この記事では、セキュリティの会社の大きさを比べません。製品メーカーの多くは地域別の売上しか示さず、サービスを提供する会社の多くは、親会社の大きな事業区分の中に入っているためです。ここでは、会社が何を開示しているかを1社ずつ確かめます。会社どうしの大きさは比べていません。

トレンドマイクロは、国内のセキュリティ製品メーカーです。2025年12月期の売上高2,760億円のうち、日本の売上は878億円で、計算値で約32%です（2025年12月期決算短信）。トレンドマイクロの場合、日本では法人向けが伸び、自社の「Trend Vision One」を背景に、AIを使った次世代のSOCに関わるセキュリティが大きく伸びたと決算短信で説明しています。個人向けでは、携帯電話ショップでの販売が伸び続けています。製品メーカーでも、監視の仕組みや携帯電話の販売店の店頭とつながる事業があることが分かります。

ラックは、監視・診断・事故対応を手がけるセキュリティサービスの会社で、KDDIの連結子会社です（KDDI 2026年3月期決算短信）。会社概要では、2025年度の連結売上高は628億円、2026年3月31日時点の連結従業員数は2,467名です（会社概要）。この売上には、システムインテグレーションや情報システム関連の商品の販売も入っており、セキュリティだけの金額ではありません。ラックは、後で説明する情報セキュリティサービス基準の審査登録を、脆弱性診断（ペネトレーションテストを含む）、デジタルフォレンジック、セキュリティ監視運用、機器検証の4つで受けていると掲載しています。

野村総合研究所（NRI）は、データセンターの運営やIT基盤の構築を行う「IT基盤サービス」の事業区分の中で、さまざまな業種の顧客に情報セキュリティサービスを提供しています（2026年3月期決算短信）。セキュリティだけの売上は開示されていません。SIerやコンサルティング会社がセキュリティの子会社や部門を持つ例です。

通信会社は、回線やネットワークとあわせてセキュリティを売っています。NTTは、ドコモなどの総合ICT事業の法人事業で、ネットワークの機能とセキュリティの機能をまとめたNaaS（ネットワークをサービスとして提供する形）の「docomo business RINK」を提供しています（NTT 2025年度決算短信）。ソフトバンクは、法人向けのエンタープライズ事業のうち「ソリューション等」の売上4,950億円が増えた理由に、クラウドやセキュリティのソリューションなどを挙げています（有価証券報告書 第40期）。IIJは、アウトソーシングサービスの売上676億円が、セキュリティ関連サービスなどで14.3%伸びたとしています（2026年3月期決算短信）。3社とも、セキュリティだけの売上は開示していません。

同じ「セキュリティの会社」でも、製品を作る会社、サービスを専門にする会社、SIerやコンサルティング会社の一部門、通信会社の法人事業の一部と、置かれ方が違います。求人票では、募集する部門が会社のどの事業に属するかを確かめます。

通信の事業（電気通信事業法の登録・届出）と違い、この記事で扱うサイバーセキュリティ事業には、事業そのものを一律に対象とする共通の許可・登録制度はありません。法律が求めているのは、主に守る側の事業者と、システムを供給する側の取り組みです。義務の強さは、法律と対象によって違います。

いわゆる能動的サイバー防御法の正式な名前は「重要電子計算機に対する不正な行為による被害の防止に関する法律」で、2025年5月に公布されました。届出と報告の義務を負うのは、経済安全保障推進法で国が指定した基幹インフラの事業者（特定社会基盤事業者）のうち、政令で定める重要な電子計算機（特定重要電子計算機）を使う「特別社会基盤事業者」です。すべての会社が対象ではありません。第45条は、重要な電子計算機の使用者や製品の供給者などを加えられる、情報共有と対策のための協議会を定めています。

この法律は、段階的に施行されます。届出（第4条）と報告（第5条）の規定は、2026年10月1日に施行されました（e-Govの改正履歴で、2026年4月1日施行の版にはなく、10月1日施行の版に入っていることを確認）。施行の時点ですでに特定重要電子計算機を導入している事業者は、施行の日から6か月以内に届け出ます（附則第4条）。協定にもとづく通信情報の取得などの規定は、e-Govに収録されている2026年10月1日施行の版にはまだ含まれていません。附則では、第3章から第7章までなどは、公布から2年6か月を超えない範囲で政令で定める日に施行するとしています。この記事では、まだ施行されていない部分は扱いません。

情報セキュリティサービス基準適合サービスリストは、情報処理推進機構（IPA）が公開しています（サービスリスト）。区分は、情報セキュリティ監査、脆弱性診断（オプションとしてペネトレーションテスト）、デジタルフォレンジック、セキュリティ監視・運用、機器検証の5つです。基準に適合するかの審査と判定は、日本セキュリティ監査協会（JASA）が運営しています。サービスを選ぶ企業が、事業者を見比べる手がかりになります。

人の資格では、国家資格の情報処理安全確保支援士があります。2016年の情報処理の促進に関する法律の改正で生まれた資格です（IPA 情報処理安全確保支援士）。2026年10月1日時点の登録者は26,424名、平均年齢は44.5歳です。勤務先の業種は、業種を回答した登録者のうちの割合で、情報処理・提供サービス業が35.9%、ソフトウェア業が22.6%、製造業が9.4%、運輸・通信業が6.9%です（登録者の内訳。登録申請のときの任意回答の集計で、分母は登録者の総数ではありません）。これは資格の登録者の数で、セキュリティの仕事に就いている人の数ではありません。IT企業だけでなく、製造業などの事業会社に勤める登録者もいます。

IPAの「情報セキュリティ10大脅威 2026」の組織向けの順位では、1位がランサム攻撃による被害で11年連続、2位がサプライチェーンや委託先を狙った攻撃、3位がAIの利用をめぐるサイバーリスクで、初めて選ばれました。4位はシステムの脆弱性を悪用した攻撃です。この順位は、IPAの選考会の投票で決めたもので、被害の件数や市場の大きさの順ではありません。

ランサム攻撃は、データを暗号化するなどして身代金を求める攻撃です。被害が起きると、何が起きたかを調べるフォレンジックと、システムを立て直す支援の仕事が生まれます。被害の兆しを早く見つける監視の仕事にも関わります。

委託先を狙う攻撃は、守る範囲を自社の外へ広げます。守る側の会社は、自社だけでなく委託先や取引先の対策を確かめる必要が出てきます。製品やシステムを供給する側には、基本法が、利用者の安全に配慮した設計・開発と、維持管理に必要な情報の継続的な提供に努めることを求めています。能動的サイバー防御法の第42条では、国（内閣総理大臣や、供給する事業を所管する大臣）が知った脆弱性の情報を、供給者に提供できる仕組みもできました。製品の開発や、脆弱性に対応する仕事に関わる変化です。

EDRの導入が一巡し、運用を外部に任せる需要に合わせた導入が増えている（JNSA）ことは、監視・運用の仕事を増やす方向に働くと、この記事では見ています。トレンドマイクロは、日本でAIを使った次世代のSOCに関わるセキュリティが伸びたと説明しています。

特別社会基盤事業者にとっては、2026年10月1日から、侵害を知ったときの報告が法律の義務になりました。社内のセキュリティ担当には、報告に必要な事実をそろえる役割が加わります。

セキュリティの仕事は、工程と立場によって、相手と成果物が変わります。

職種の名前は会社によって違います。ラックは採用情報で、職種をシステムエンジニア、営業、プロジェクトマネージャー、ホワイトハッカー、セキュリティエンジニア、コーポレート部門に分けています（採用情報）。各職種がどの工程を担うかは、募集ごとに確かめます。「SOCアナリスト」のような呼び方は、この記事では職種名ではなく、監視の仕事の説明として使っています。

求人票では、次の3点を確かめます。

• 工程：予防（診断・コンサルティング）、検知（監視・運用）、対応（事故対応・フォレンジック）のどこを担うのか。製品の開発か、サービスの提供か
• 立場：製品メーカー、サービスの会社、SIerや通信会社のセキュリティ部門、守られる側の事業会社のどれか。相手が社外の顧客か、社内の部門か
• 会社の中での位置：セキュリティが会社の主な事業か、SIや回線、製品の販売とあわせて売る一部門か。部門の売上が開示されていなくても、募集する部門の仕事の範囲は求人票で確かめられる

セキュリティが、IT・通信の分野全体のどこに位置するかは「IT・通信の業界地図」で確かめられます。回線とあわせて売る通信会社の稼ぎ方は「通信の業界地図」、SIerの受託の構造は「SIer・システム開発の業界地図」で整理しています。