ホーム › 記事 › GRCは勧めません。ただし、人と話すのが好きなら

GRCは勧めません。ただし、人と話すのが好きなら

著者：SecBilly　公開 2026-09-20

GRCにいる自分が言いますが、エンジニアにGRCは勧めません。代わりに勧めるのは2つです。

勧めたいのはインフラセキュリティかアプリケーションセキュリティです。

先に立ち位置を書いておきます。外資1社・コンプライアンス寄りのGRC・1年分の話です。GRCにも技術寄りの持ち場はあるはずで、そこは自分には見えていません。

この記事の要点

エンジニアにはインフラセキュリティかアプリケーションセキュリティを勧める
GRCを勧めるのは、人と話すのが好きな場合だけ
分かれ目は、人と話すのが好きかどうか
開発者に伝えたいことがひとつ：監査対象の設定を変えるなら、先に相談してほしい
このサイトは転職の紹介で報酬を得ています（記事末に開示）

代わりに勧めるのは、インフラかアプリケーション

同じセキュリティでも、インフラセキュリティかアプリケーションセキュリティを勧めます。

ただし自分はその2つを実務でやっていません。中身がどうかを語れる立場にはないので、勧めるという事実だけ書いておきます。

判断の材料になりそうなこと

勧めない理由そのものは、うまく言葉にできていません。ただ、材料になりそうな事実はあります。時間の使われ方です。

多い — ドキュメントの作成と更新、会議
少ない — 手を動かしてものを作る

これはGRCに移って戸惑ったことに書いたとおりです。「セキュリティをやりたい」の中身が技術そのものなら、ここは見ておいたほうがいいと思います。

ただし、人と話すのが好きなら

ここだけは逆になります。

人と話すのが好きなら、GRCは向いています。というより、そこが向き不向きの分かれ目だと思っています。

監査人、経理、法務、外部の会計士と話す
技術を知らない相手に、仕組みがどう守られているかを説明する

資格より先に要るのは監査人と会話が成立することだと書きましたが、向き不向きも同じ軸だと思っています。

開発者に伝えたいことが、ひとつだけあります

GRC側から見て、開発している人に知っておいてほしいことです。

監査対象になっているものの設定を変えるときは、先に相談してほしい。

これだけです。理由までは、自分でもうまく説明できません。

このサイトの立場について

開示しておきます。このサイトは転職エージェントの紹介で報酬を得ています。

ただし、この記事で勧めているインフラセキュリティやアプリケーションセキュリティに進む場合も、エージェントは同じです。GRCを勧めないことで、こちらが収益を捨てているわけではありません。

比較ページの作りも書いておきます。実際に面談した会社を上に置いていますが、そこには報酬リンクがありません。報酬が発生するのは、面談していない会社を並べた下のブロックだけです。

まとめ

エンジニアに勧めるのはインフラセキュリティかアプリケーションセキュリティ
GRCは勧めない。理由はうまく言葉にできていないが、時間の使われ方は材料になる
ただし人と話すのが好きなら向いている。そこが分かれ目
開発者への依頼はひとつ：監査対象の設定を変えるなら、先に相談してほしい

一人の意見です。ただ、自分がいる場所を勧めないというのは、書いておく価値があると思っています。