ホーム › 記事 › セキュリティ職に103社応募した記録

セキュリティ職に103社応募した記録

著者：SecBilly　公開 2026-09-09

セキュリティ・GRC のポジションに103社応募して、内定は3社でした。 書類が通ったのは32社、そこから最終まで残ったのが3社です。落ちた理由の79%は「経験不足」でした。

開発・インフラを11年やってから情報セキュリティに移り、いまは GRC を専任でやっています。この記事は、その4回目の転職活動でつけていた記録をそのまま出したものです。社名は出しません。数字だけ出します。

この記事の要点

• 応募103社。書類通過は32社（31%）、最終まで残ったのは3社
• 不採用理由の79%が「経験不足」。スキル不足でも志望動機でもない
• 日系の書類通過率は25%、外資は39%。面接を2段階以上進んだ数は1社 対 10社
• 応募の約8割はエージェント経由。面談まで行ったのは20社
• 103社に出し切るまで約2か月。自己紹介の原稿は9つの版があった

そもそも何をしていた人か

情報系の学位はありません。海外の大学で心理学をやってから、日本で開発の仕事に入りました。

Web アプリケーションとインフラを約11年。その後、同じ会社の中で情報セキュリティのリードに異動しました。転職でセキュリティに入ったわけではありません。

そこから GRC を専任でやるポジションを探して、この103社の応募が始まります。つまり「セキュリティ実務1年ちょっと」の状態で、セキュリティ職の中途採用に出たということです。この前提が、後で出てくる「経験不足79%」に直結します。

103社がどこで消えたか

記録していた数字をそのまま置きます。

いちばん狭いのは書類でした。 31%しか通りません。

※ 通過率は前の段階からの割合です。最終通過だけは当時の集計方法が確定できないため、割合を出していません。

後段の通過率は64%、57%と上がりますが、母数が11社・7社・4社と小さく、率として意味を持たせられません。±1社で20ポイント動きます。

率ではなく実数で見ると、はっきりします。103社のうち71社は、書類の段階で落ちています。最終面接でも落ちているので「会えば通る」わけではありません。ただ、時間を使うべきだったのは書類でした。

ここに気づくのが遅かったのが、この活動の一番の反省です。

落ちた理由の79%は「経験不足」だった

不採用83社のうち、理由が記録できたのは76社（92%）でした。その内訳です。

実際の文面は、たとえばこういうものです。

• 「5年以上の経験がない」
• 「セキュリティ領域よりも他業務の経験が長く、即戦力として期待できない」
• 「セキュリティの経験が1年程度で、このロールには早いと感じている」

「経験不足」は覆せない

志望動機やコミュニケーションで落ちたのは、それぞれ1件だけでした。返ってきた理由の大半は、年数に関するものです。

この内訳は段階別に分けていないので、「書類で切られた」とまでは言えません。ただ、書類で71社落ちていることと合わせると、年数が最初の関門になっていたのは確かだと思います。

これは短期間の準備で覆せるものではありませんでした。書類の書き方を変えても、セキュリティ専任の年数そのものは増えないからです。

当時の自分にやれたのは2つでした。ひとつは、開発11年をセキュリティ文脈に翻訳して書くこと。もうひとつは、年数で機械的に切らないところを探すことです。

（3つ目として資格がありますが、これは間に合いませんでした。記事の最後に書きます。）

自己紹介の原稿は9つの版があった

「時間を使うべきだったのは書類」と書きました。実際に何を変えたのか。

記録を見直したら、自己紹介の原稿が9つの版に分かれていました。長さは419字から769字まで開きがあります。

版の前後関係は特定できませんでした。 応募日と突き合わせても、活動の後半に長い版を使っている例があり、単純に短くしていったわけではありません。だから以下は「変化」ではなく、長い版と短い版の違いとして書きます。

長い版と短い版で、何が違うか

長い版（769字）は、卒業年から全部書いていました。大学を出て、1社目で何年、部署がなくなって2社目へ、そこからEC開発へ、という時系列です。ほとんどが開発の話でした。

短い版（419字）は、前半の経歴を「2社でWebアプリと社内業務システムの開発保守を経験しました」の1行に圧縮しています。 社名も年数も落としています。

そして短い版に共通して入っているのが、これです。

• 「LAMP環境をベースに、外部からの攻撃に対する基礎的なセキュリティをミドルウェアで対応した」
• 「DoS対策、パスワードのハッシュ化、サーバーの分離といった基礎的なセキュリティを講じた」

開発者だった時代にやっていたセキュリティを、掘り起こして書いているということです。

なぜそれが効くと考えたか

理由が記録できた不採用76社のうち、79%は「経験不足」でした。ここで言う経験とは、セキュリティ専任としての年数です。

その年数は増やせません。増やせるのは「セキュリティに触れていた期間」の見せ方だけです。

開発11年のあいだ、セキュリティを一切やらなかったわけではありません。ミドルウェアの設定も、認証まわりも、攻撃への対処もやっています。それを書いていなかっただけでした。

ただし、これが通過率を上げたという証拠はありません。 版の順番が特定できない以上、書き方を変えた結果として通ったのかは検証できていません。

「1年と短いですが」と書いていた版がある

もうひとつ、版によって有無が分かれる表現があります。

ある版に、「1年と短いですが、主な成果としましては」と書いていました。自分から経験の短さに触れる書き方です。謙遜のつもりでした。

これが原因だったのかは分かりません。 ただ、事実として次の2つがありました。

• 自分から経験の短さを申告する一文を書いていた版がある
• ある選考の終盤で、自己評価の厳しさを指摘されて不採用になったことがある

相手はすでに職務経歴書で年数を知っています。自分の場合は、こちらから言い直す必要はなかったと思っています。

日系と外資で、通過率がこれだけ違った

応募先を日系と外資に分けて、後から集計しました。

書類通過率で1.6倍の差があります。それ以上に効いているのが右端で、面接を2段階以上進んだのは日系1社に対して外資10社でした。

個人開発の話に反応したのは外資だけだった

職務経歴書には、個人でやっているサービスの開発も書いていました。

この話に触れられたのは、面接が英語で行われたときだけです。 日本語だけで進んだ面接では、一度も質問されませんでした。

推測ですが、募集要項の年数を先に見るところと、何ができるかを見るところがあったのだと思います。同じ職務経歴書を出しても、読まれ方が違いました。

この数字の限界

これは一人の、一回分の記録です。 n=91（分類できた分）で、日系・外資の分類も社名から機械的にやった概算です。

そしてこの差を「外資のほうが入りやすい」と読むのは危険です。自分は最初から外資を本命にして探していました。社会人の最初の2社は日系でしたが、職場の雰囲気が合わず、3社目から外資に移っています。

つまり外資の求人には準備を厚くしていたということです。応募先の選び方も、書類の合わせ方も違います。通過率の差には、この偏りが混ざっています。

言えるのは「自分の場合はこうだった」までです。

エージェントは20社に会った

経路を分類できた91社のうち、約8割がエージェント経由でした。直接応募（LinkedIn など）は20社ほどです。

そして、面談まで行ったエージェントは20社ありました。1社で完結させようとはしませんでした。

良かったのは3社

この記事に広告リンクはありません。当サイトは将来、転職エージェントの紹介で収益を得る予定ですが、 2026年9月時点で以下の3社を含むどの会社とも、金銭的な関係はありません。実際に利用した個人の感想です。

enWorld・BRS・Skillhouse の3社が良かったです。共通していたのは同じ1点でした。

押しが強くないこと。 こちらが「このポジションは違うと思う」と言ったときに、そのまま引いてくれる。無理に応募を勧めてこない。

セキュリティの求人は数が限られているので、エージェント側も出せる案件が少ない。そこで数を押してくるところと、押してこないところに分かれました。

連絡が来なかったところが2社あった

社名は出しません。不採用になったあと、連絡や理由を確認できなかったエージェントが2社ありました。

こちらから聞いても、手元の記録では返信を確認できていません。何が足りなかったのかが分からないので、次に活かせません。

逆に言うと、理由を返してくれるエージェントは価値があります。 この記事の「79%が経験不足」という数字は、理由を返してくれた会社があったから集計できたものです。

面接で実際に聞かれたこと

技術的な質問で、実際に出たものを挙げます。どれもセキュリティ職の一次面接クラスです。自分がどう答えたかも書きます。

エンコード・暗号化・ソルト・ハッシュの違いは何か

4つとも「データを別の形にする」ので混同されますが、目的が全部違います。

ソルトだけ役割が違います。同じパスワードでも別のハッシュになるようにするもので、レインボーテーブル対策と、「同じハッシュ＝同じパスワード」が漏れるのを防ぐためのものです。

「Base64 は暗号化ではない」が言えるかどうかが、この質問の最初の関門だと思います。

セキュリティの情報はどこから得ているか

これは正解のない質問です。 普段の習慣がそのまま出ます。

答えられないと「日常的に追っていない」ことが伝わります。逆に、情報源を挙げたうえで「どれをどの頻度で見て、何に使っているか」まで言えると、そこで会話が広がりました。

送信時に暗号化と圧縮の両方をするなら、どちらを先にやるか

教科書的な答えは「圧縮が先、暗号化が後」です。

理由は、暗号化したデータはランダムに近くなり、圧縮がほとんど効かなくなるからです。順序を逆にすると圧縮の意味がなくなります。

ただ、ここで止めると半分です。圧縮を先にすると、圧縮率が中身に依存するので、暗号文の長さから中身を推測できてしまうという副作用があります。これを突いたのが CRIME や BREACH と呼ばれる攻撃です。

だから現代の答えは「圧縮が先。ただし秘密情報と攻撃者が操作できるデータを、同じ圧縮の単位に入れない」になります。

この質問は、順序ではなく「なぜ」を見ています。 CRIME まで触れられるかどうかで、開発者の知識か、セキュリティの知識かが分かれるところだと思います。

4回とも、自分から辞めた転職ではない

これが4回目の転職でした。きっかけを並べます。

1. 組織再編
2. 契約の終了
3. 方針の不一致
4. ポジションの消滅

4回とも、自分の意思で辞めたわけではありません。 会社側の事情で動くことになった転職です。

それでも年収は毎回上がりました。240 → 300 → 500 → 600 → 800（万円）です。

受け身の転職でも上がることはある

意図して設計したキャリアではありません。都度、そのとき動ける範囲で動いた結果です。

ただ、英語を軸にしたところで一段上がっています。3社目で500万に乗ったのがそこでした。

まとめ

• 応募103社、書類通過32社（31%）、最終まで残ったのは3社
• 理由が記録できた76社のうち79%が「経験不足」。志望動機やコミュニケーションではない
• 103社のうち71社は書類で落ちている。時間を使うべきだったのは書類だった
• 日系の書類通過率25%、外資39%。面接を2段階以上進んだのは1社対10社
• 4回とも受け身の転職。それでも年収は240万から800万になった

この記録は一人分の、一回分です。一般則として使えるものではありません。それでも「セキュリティ職の中途採用で、経験1年の人間がどこで落ちるか」の実測値としては、そう出回っていないと思います。

RISS と CISA は学習中です。取れたら、それで通過率が変わるのかも記録します。

関連する記事

• エージェント20社に会って分かったこと
  エージェント経由と直接応募で通過率はほぼ同じだった。では何に価値があったのか
• セキュリティには転職ではなく、社内で手を挙げて入った
  GRC にはシステムを理解している人が少なかった