セキュリティエンジニアという仕事自社サービスを守る監視・初動対応担当
自社サービスを守る監視・初動対応担当
SOC(Security Operation Center。セキュリティ上の異変を見張る専門の部隊)の一員として、自社のサービスやシステムに届く脅威をログ(システムの利用記録)から見つけ、事故(インシデント)になりそうなときは初動対応を行います。守る対象が自社の一つのサービスや環境に絞られる分、システムの普段の動きを深く理解し、「いつもと違う」を見抜く力が磨かれる仕事です。
事業会社の専任ポジションはインフラ運用やセキュリティ運用の経験者が対象になりやすい
月の残業は目安15〜25時間程度(求人情報などに基づく参考値。夜間・休日のアラート対応で呼び出されることがあり、上振れしやすい)
情報が少なく参考程度。求人の中心的なレンジで、大手金融・通信などの上位ポジションは1000万円を超える例もある
- 業務内容
- SIEM(さまざまな機器のログを1か所に集めて、怪しい動きを自動で警告してくれるツール)が出す警告(アラート)を確認し、本物の攻撃なのか誤検知なのかを見分ける(例: 深夜に海外から管理者アカウントへ何度もログインが試みられていないかを調べる)
- 不正アクセスやウイルス感染の疑いが見つかったとき、被害を広げないための初動対応(例: 該当のパソコンをネットワークから切り離す、パスワードを変更してもらう)
- 事故が起きたときの経緯の記録と、開発・情報システム・広報・法務など関係部署への報告の取りまとめ
- 誤検知が多い警告の条件を見直し、本当に危ないものだけが鳴るように監視ルールを調整する
- 具体的な業務イメージ
午前は、前日の夜から朝までに届いたアラートを確認し、「すぐ調べるもの」「様子を見るもの」「問題なしとして閉じるもの」に振り分けます。午後は、気になったアラートの詳しい調査(関連するログをたどって、誰が・いつ・どこから何をしたのかを組み立てる)や、監視ルールの調整、開発チームや情報システム部門との打ち合わせに時間を使います。自社で24時間体制を組める会社は多くなく、夜間は外部の監視サービスに任せたり、呼び出し待機(オンコール)にしたりする体制が見られます。
届くアラートの件数は、会社の規模や監視ツールの設定によって大きく異なります。そのため、誤検知を減らして調べるべきものに集中できるようにする調整そのものが、重要な仕事の一部です。
成果物とツールの対応では、ログの検索・集計にはSIEMの検索機能とExcel(調査結果の件数集計)、事故の経緯をまとめる報告書にはWordや社内の記録ツールでの時系列の整理力が求められます。
- この仕事のやりがい
- わずかな違和感から攻撃の兆候を見つけ、被害が出る前に食い止められたときの手応え
- 自社のサービスの仕組みを深く理解でき、守る対象に当事者として向き合える
- 事故対応を通じて、開発・法務・広報など多くの部署から頼られる存在になれる
- 向いている人
- 「いつもと違う」小さな変化に気づき、根拠をたどって確かめるのが好きな人
- 緊急時にも落ち着いて、手順に沿って優先順位をつけられる人
- 技術的な内容を、他部署の人にも分かる言葉で説明できる人
- 向いていない人
- 突発的な呼び出しや、夜間・休日の対応に強いストレスを感じる人
- 地道なログの確認や、同じ種類のアラートの繰り返しの対応が苦手な人
- 最新の攻撃手法を学び続けることに負担を感じる人
- つまずきやすいポイント
- 大半のアラートが誤検知で、本物を見逃していないかという不安を抱えやすい
- 何も起きていない時期は成果が見えにくく、投資の必要性を社内に説明しづらい
- 少人数で担当するため、休日や夜間の対応が特定の人に偏ることがある
- 必要スキル
- ログ分析力 ネットワーク・OSの基礎知識 初動対応の判断力 関係部署への報告・調整力 最新の攻撃動向の情報収集力
- その後のキャリアパス例
- CSIRTのリーダー・セキュリティ責任者(CISO=最高情報セキュリティ責任者 候補)へ
- 脆弱性診断(システムの弱点を調べる検査)や、プロダクトセキュリティ(自社サービスそのものの安全性を開発段階から高める仕事)など、より攻撃・設計寄りの領域へ
🎮 この職種を疑似体験
深夜、管理者アカウントに海外から大量のログイン失敗が続いたあと、1回だけログインに成功したというアラートが出ました。あなたの次の一手は？
実務ではこう対応することが多いです
誤検知が多いことは事実ですが、「失敗が続いたあとに成功した」というパターンは不正ログインの典型的な兆候です。朝まで放置すると被害が広がる可能性があるため、まず一時的に被害を止める動きが優先されます。
◎ それが実務でも評価される対応です
不審なアカウントを止めて被害の拡大を防ぎつつ、侵入後に何をされたかを確認し、経緯を記録して報告する流れが基本です。緊急時にも落ち着いて優先順位をつけ、手順に沿って動けることが、この仕事で向いている人の条件です。
実務ではこう対応することが多いです
全社のネットワークを止めると、本来影響のない業務やサービスまで止まってしまいます。影響範囲を見極めたうえで、必要な範囲だけを切り離す判断が求められます。
実務ではこう対応することが多いです
一人で抱え込むと、判断が遅れたり、関係部署の対応準備が間に合わなくなったりします。状況が見えた段階で早めに責任者へ共有し、役割を分担する進め方が多いです。
この職種で転職を考えたら
相性の良い転職エージェントは人によって違います。求人の量や、担当者との相性を見るためにも、2〜3社まとめて登録しておくのがおすすめです。
セキュリティエンジニアの求人・選考ノウハウに強いタイプ
求人を見る(準備中)
自分のペースで求人を探したい人向け
求人を見る(準備中)※上記リンクの一部はアフィリエイトプログラムを経由しています。他の求人リンクは準備中で、提携が完了し次第順次差し替えます。
掲載の年収は各パターンの求人情報から算出した中央値の参考レンジです。経験・スキル・企業規模により変動します。