米国の雇用主が2026年1月から9月に掲載したサイバーセキュリティ求人は、235,786件でした。人材・ワークフォースインテリジェンス企業のCyberSNが追跡を始めて4年間で、この期間としては最も少ない数字です。同社は求人データ事業者のJobSpikrから掲載情報を取得し、重複を除いたうえで、各求人が記載するセキュリティ業務ごとに分類しました。
残った求人は、ガバナンス・リスク・コンプライアンス(GRC)の分野に傾いています。GRCは、組織のリスクを把握し、監査人や規制当局、取締役会に説明する役割を担うチームです。一方、ディフェンスはセキュリティ対策を運用・監視するエンジニアやアナリストを指します。ディフェンスは依然として求人の最大シェアを占めていますが、その割合は縮小しています。実務の技術職を目指す求職者は、より小さくなった市場に応募することになります。2027年の人員計画を練るCISOも、需要の中身が変化した分野で採用を進めることになります。
減少は実態であり、2025年と比べるとさらに大きく見える
この集計は米国のみが対象です。数えているのは求人の掲載件数で、雇用主が募集した数であり、実際に採用された人数ではありません。前年と比べると、減少幅は大きく見えます。掲載件数は、2025年の同じ期間の320,210件から26.4%減りました。ただし、2025年は例外的に好調な年でした。2024年と比べると、差は約4%に縮まります。端的に言えば、2026年は2025年の伸びをすべて失い、さらに少し落ち込んだ形です。
9か月のうち、2025年の件数を上回ったのは9月だけでした。それも差は400件に満たず、回復と呼ぶには小さすぎます。
CISO採用は停滞したのち再開
幹部クラスの求人も同じ経過をたどりました。CISOの求人は、記録的だった2025年から38.9%減り、2024年に近い水準に落ち着きました。今年の第2四半期から第3四半期にかけては、19.5%増加しています。
こうした変動の要因を尋ねたところ、CyberSNのCEOであるDeidre Diamond氏は次のように答えました。「セキュリティ幹部の採用に見られる変動は、セキュリティ責任者の必要性が根本的に低下したからというより、経営層(Cスイート)全体の混乱によるところが大きいのではないでしょうか」
「経営層では、幹部の大幅な入れ替わりや組織再編、優先事項の変更を目にしてきました。CEO、CIO、CFOなどの支援役の幹部が交代すると、セキュリティ採用は止まりかねません。募集中のポジションは保留になり、予算は見直され、新しい経営陣が優先事項を固めるまで採用の判断は先送りされます」と、DiamondはHelp Net Securityに語りました。「セキュリティの役職には、後ろ盾となる幹部や意思決定者、予算の承認が必要です。そうした関係が崩れれば、採用も滞ります」
Diamond氏は、もう一つの可能性にも触れました。「セキュリティ幹部のポジションをいったん廃止した組織が、その専門性なしでは実効的に運営できないと気づいたケースもあり得ます。ただ、私は経営層全体の不安定さが、今見られる変動の大きな要因だと考えています」
「セキュリティ幹部への需要が消えたわけではないでしょう。組織が事業や技術の戦略を見直すなかで、こうした役職の採用を先送りしたり、統合したり、再定義したりしているのかもしれません。変わりつつあるのは、その需要に応える組織の力かもしれません」
コンプライアンスの比重が拡大
2023年以降、求人に占めるGRCの割合は9.4%から14.8%に伸びました。一方、ディフェンスは47.1%から41.5%に低下しています。それでもディフェンスは求人の約4割を占めます。GRCの伸びの多くは、プライバシーおよびサイバーセキュリティ分野の弁護士の求人によるものです。上位10の職種カテゴリーのうち、今年の求人が前年より増えたのは、この職種だけでした。
攻撃側の職種は逆の動きを見せました。ペネトレーションテスターの求人は、2025年と比べて半減に近い水準まで減少しています。一部の小規模な専門職は増加しました。AIセキュリティエンジニアの求人は3倍以上に増えましたが、それでも約2,400件にとどまります。
こうした変化を受けて、セキュリティ責任者は2027年の投資先を見直すべきかと尋ねると、Diamond氏は次のように述べました。「この傾向は私には非常に納得がいきます。今、リスクは最大の議題です。リスク分野が伸びるのは意外ではありません」
「組織は、自社が直面するリスクを特定して理解し、そのリスクがどこに存在するかを見極め、対処法について情報に基づく判断を下すことに力を注いでいます。この focus が、リスク管理、ガバナンス、監査、コンプライアンスを支える人材の需要を自然に押し上げています」
「GRCの能力は、組織がリスクを見つけて理解し、それに関する意思決定に必要な可視性と説明責任を確保する助けになります」とDiamond氏は述べました。「組織がサイバーセキュリティの各種機能をどう優先づけるか、その考え方が変わりつつあるのだと思います」
翻訳元: https://www.helpnetsecurity.com/2026/10/16/cybersecurity-job-postings-talent-shortage/
