エンジニアからセキュリティ・GRCへ移った記録

フルスタックエンジニア約11年 → 情報セキュリティ1年3か月 → GRC。転職活動でつけていた記録の数字を、そのまま出しています。社名は出しません。

記事

• セキュリティ・クラウド・AI系イベント22件の公式ページに、採用の案内は無かった。懇親会があるのは12件、無料は13件 24件の公式ページを読んだ。採用ブース・採用枠の案内は0件、「リクルーティングの場ではなく」と明記した会が1件。懇親会は12件、本体が無料は13件、個人の参加を明記したのは5件
• 「開示すべき重要な不備」を出した44社の本文を読んだ。ITを不備の区分に挙げたのは6社、うち4社は基幹システムの入れ替え EDINET の178件を読んで「有効でない」44社に絞った。ITを不備の区分に挙げたのは6社、うち4社は基幹システム導入時のテスト不足。サイバー攻撃を原因にした社は0
• 面談した転職エージェント20社を厚労省のサイトで引いた。手数料率が載っていたのは7社 法人では18社。就職者数は21人〜約8.8万人、手数料実績率が載っていたのは7社。よかった3社のうち2社は空欄
• 有価証券報告書の「事業の状況」に「サイバーセキュリティ」と書いた3月決算の上場企業は16% 金融庁が EDINET を数えた表を3年ぶん。371/2,261社（16.4%）。語がある会社でもサステナ欄に書くのは28.3%
• バックアップは9割が取っていて、復元できたのは2割だった 警察庁の被害組織アンケート5年分。取っていた89%、復元結果に答えた組織の22%が復元。Sophos 日本の58%とは分母が違う
• enWorld 経由で9件応募して、見送りの知らせ7件のうち6件に理由がついていた 応募9件はすべて見送り。見送りの知らせがメールに残る7件のうち、6件に理由がついていた
• 「セキュリティ人材11万人不足」を出したISC2は、2025年版で推計をやめている 出典は2023年4〜5月の調査で日本の回答者は936人。求人数ではない。ISC2は2025年版で推計自体をやめている
• クロールが12日間止まり、再発防止を作った8日後に、デプロイが「完了」と出たまま動いていなかった Google が12日間クロールしなかった件と、その再発防止が0件のまま「完了」と出た件。どちらも画面には成功と出ていた
• セキュリティ職に103件応募した記録 書類通過31%、不採用理由の79%は「経験不足」。日系と外資の通過率の差まで
• エージェント20社に会って分かったこと エージェント経由32%、直接応募30%。通過率はほぼ変わらなかった
• セキュリティには転職ではなく、社内で手を挙げて入った GRC にはシステムを理解している人が少ない
• 転職4回のうち3回は、辞めるきっかけが自分発じゃなかった 猶予は2か月・1か月・3か月とバラバラ。効いたのは他社の選考状況の共有と、希望額を毎回上げたこと
• セキュリティ転職の面接は、ほとんど実技試験だった 覚えている技術質問は4つ。ただし落ちたのは実技のほうだった
• 「実務5年以上」を公的統計で調べたら、同じ5年ではなかった 調べたら根拠は見つからなかった。3職種で形が揃わず、求人の5年と統計の5年は別物だった
• セキュリティ求人を10件読んだら、6件が必須経験年数を書いていなかった 必須年数の記載は4件、年収は1件、必須資格は0件。n=10の第1回
• セキュリティ資格は必須じゃなかった。それでも勉強している理由 求人10件で必須資格は0件。それでも勉強しているのは勤務先の要件だから
• 非エンジニアへの説明の次に戸惑った、2つのこと SOX/ISMSの理解と、自分の仕事の効果の測り方。捨てる習慣は特になかった
• GRCは勧めません。ただし、人と話すのが好きなら 勧めるのはインフラかアプリケーションセキュリティ。分かれ目は人と話すのが好きかどうか
• 証跡集めを自動化すると、監査される対象が増えることがある 反対はされなかった。止まったのは権限の取得と保存先の決定だった
• 情報処理安全確保支援士に3回落ちました。落ち方が毎回違います 通勤時間だけで累計50〜70時間。3回とも落ちて、落ち方が毎回違った記録
• ランサムウェア1件で、漏えい報告が2,745件になった 個人情報保護委員会の9四半期。最多7,141件のうち2,745件は1つの事案だった
• 登録セキスペの登録者数は2026年10月に29人減った。総数が減るのは2019年4月以降で3回目 IPA の公表値16時点。2026年10月は29人減で、総数が減るのは2019年4月以降で3回目。新規を足すと引き算も合わない
• AIに記事を書かせたら、7本の記事に事実でない記述が9件入っていた 公開前のレビューで9件止まった。検査の仕組みそのものが伏せる情報を漏らした件も書いている
• 自分の転職活動は、有効求人倍率という指標に1件も入っていなかった 応募時の有効求人倍率は1.28。ただしこの指標は自分が通った経路を測っていなかった

数字で見るセキュリティ転職

上の2つの倍率は分母が違うので、そのまま比べられません（42.6倍はレバテックのサービス内、1.18倍はハローワーク扱いの有効求人倍率）。 数え方と限界は セキュリティ転職の数字と出典 に書いています。毎年更新して差分を追いかけます。

選ぶ・読むときに

• 転職エージェントの比較 — 面談してよかった3社と、条件で選べる会社を分けて並べています。面談した3社には紹介料が発生するリンクを置いていません。条件で選べる会社のほうは広告リンクです
• セキュリティとGRCの仕事で読んだ本 — 読んだ本だけを載せています。リンクは Amazon のリンクで、購入があると当サイトに報酬が発生します

書かないこと

• 勤務先が特定できる情報（社名・案件・顧客・自社のセキュリティ構成）
• 自分が使っていないサービスの「おすすめ」
• 出典のない数字