ISC2、2025年版「サイバーセキュリティ人材調査」の結果を発表

今年の調査結果からは、組織が直面しているリスクが「人員不足」から「スキル不足」に明確にシフトしていることが読み取れる。特に不足しているのは、AI、クラウドセキュリティ、リスクアセスメント、アプリケーションセキュリティ、セキュリティエンジニアリング、ガバナンス・リスク・コンプライアンス（GRC）といった領域であり、これらのスキルを持つ人材の発掘が難しく、かつ十分な人数を雇う予算がないことが、スキル不足の主な要因となっている。なかでも「競争力のある給与を提示していない」と回答している日本の回答者は39%に上り、世界平均（25%）を上回った。

また、AIを用いたサイバーセキュリティツールはすでに多くの組織で運用・テストされており、運用中のチームの63%が「生産性が大きく向上した」と回答している。一方で、AIを悪用した攻撃は増加している。小規模組織の方がAI関連インシデントの経験率が高く、70%が少なくとも1種類のインシデントを、58%が複数のインシデントを経験したと回答している。

出典：ISC2「2025 ISC2 Cybersecurity Workforce Study」をもとに当社が作成

ISC2は結論として、サイバーセキュリティリーダーや採用担当者に対し、次の5点を推奨している。

1. チームのモチベーション維持（柔軟な働き方・育成機会などの確保）
2. 人材・スキルへの投資（既存人材の体系的育成）
3. AIをリストラツールではなく、キャリア成長の機会として前向きに活用すること
4. サイバーセキュリティに関する経営としての明確な方針・戦略を示すこと
5. インシデントへの備えの強化

各組織は常に最新の脅威にさらされ、新技術に追随する必要があり、「スキル不足」への対応は急務である。一方で、今回の調査結果からは他社への転職を検討している専門職が少なくないことが読み取れる。既存人材の転職を防ぎつつ、スキルアップやマルチスキル化によってこの問題に対処するためには、単に学習と成長の余地を確保するだけでなく、従業員の声を丁寧に聞き、組織の目標と個人の優先事項を整合させることが求められている。

※）ISC2（アイエスシースクエア）は、情報セキュリティ分野の国際的な非営利団体で、CISSP （Certified Information Systems Security Professional）資格をはじめ資格試験の企画・運営、試験問題の作成・更新、認定プロセスの管理を行っている。正式名称は International Information System Security Certification Consortium。

【参考情報】
ISC2「2025 ISC2 Cybersecurity Workforce Study」
https://www.isc2.org/insights/2025/12/2025-ISC2-Cybersecurity-Workforce-Study