セキュリティ責任者の求人募集は採用ではない。それは空白である。

今週、あるベトナムの求人サイトの1ページに、サイバーセキュリティ職20件、プラットフォーム職20件、AI職20件——そのうちいくつかは1日以内に投稿されたものだった。それぞれの求人票は、仕事は存在するのにまだ誰もやっていないと企業が認めているようなものだ。そのギャップこそが本当の市場だ。

今週、ベトナムの求人ボードを開いて数えてみよう。ITviecの求人一覧の1ページには、サイバーセキュリティの職種が20件、プラットフォームとDevOpsの職種が20件、AIエンジニアリングの職種が20件、フィンテック専任のポジションが7件掲載されていた。そのうちいくつかは、過去18時間以内に投稿されていた。証券会社の情報セキュリティ責任者。決済会社のCISO。2つの銀行のアプリケーションセキュリティエンジニア、コンプライアンス担当者、ネットワーク専門家。

人材需要というのが通常の解釈であり、それは正しい。しかしソフトウェアを購入する人にとって、より重要な第二の解釈がある：上級セキュリティ職の求人は、仕事が存在するのに、まだ誰もその責任を負っていないという公開表明である。

空席が実際にもたらすコスト

情報セキュリティ責任者は、部屋の一席ではない。この役割は一つのプログラムを担う：どのシステムがレビューされるか、ベンダーが新しい連携機能をリリースしたときに何が起きるか、規制当局に誰が答えるか、午前2時にインシデントがどのようにエスカレーションされるか、そして先月稼働した決済フローがこれまで脅威モデリングされたことがあるかどうか。

その席が空いても、仕事は止まらない。ただ順番待ちの列に積まれるだけだ。

その列は理論上のものではない。過去2週間、この媒体は、フランスの銀行が自らの認可済み決済経路を通じて約1億ユーロを失った事例と、偽の就職面接と汚染された開発者パッケージから始まったBinanceのインシデントを取り上げた。どちらもファイアウォールの障害ではなかった。どちらも、セキュリティプログラムが責任を持つべきプロセスの失敗だった。すなわち、指示を承認することと、開発者がインストールするものを審査することだ。

CISOを採用している企業が必ずしも問題を抱えているわけではない。CISOとアプリケーションセキュリティエンジニアとコンプライアンス担当者を同じ月に採用している企業は、そのプログラムをゼロから急速に構築していることを示している。

採用だけでは解決しない理由

採用だけに頼る道筋が見た目より遅い理由は3つある。

シニアセキュリティ人材の採用には数か月かかる。 情報セキュリティ責任者やCISOの採用は6桁の意思決定であり、国内で信頼できる候補者はおそらく20人程度しかいない。募集開始から戦力化までには、週単位ではなく四半期単位で測られる。

最初の90日間は発見の期間である。 新しいセキュリティ責任者は、最初の期間をシステムの把握、オーナーの特定、契約書の読み込みに費やす。それは必要な作業であり、同時に何も修正されない期間でもある。

一人はプログラムではない。 優秀な採用者であっても、バックログを引き継ぐ。パッチ未適用のサービス、文書化されていない連携、誰もレビューしていないベンダーアクセス、スライド資料の中にしか存在しないセキュア開発プロセスなどである。そのバックログを解消するのはリーダーシップの仕事ではなくデリバリーの仕事であり、その役割が提供する以上の人手を要する。

買い手が犯す誤り

本能的には、これを人員配置の問題として扱いたくなる。セキュリティ担当者が必要だから、一人採用しよう。 その結果、シニア人材が最初の1年を、リソースが決して割り当てられない仕事のための、非常に高額なプロジェクトマネージャーとして過ごすことになる。

代替案は、ひとまとめにされがちな2つの問いを切り離すことだ。

誰がセキュリティプログラムを所有するのか？ それは採用だ。採用であるべきだ。
プログラムが指示する作業のバックログを誰が担うのか？ それはキャパシティであり、同じ形で用意される必要はない。

最初の問いだけに答えると、企業はCISOを置きながら何も進まない状態に陥ります。2番目の問いだけに答えると、誰も責任を持たない仕事をベンダーが行う状態に陥ります。

ABN Asiaの位置づけ

ABN Asiaは、AIシステム、銀行・決済エンジニアリング、ネットワークおよびアプリケーションセキュリティの3領域でソフトウェアを構築し、セキュリティを確保しています。当社の仕事の大部分は、まさに上記のギャップ、つまり「これを修正する必要があると分かっている」段階と「責任者が動き始めた」段階の間に位置しています。

実際には、当社と仕事をする方法は2つあるということです。

採用と並行して。 固定スコープのセキュリティレビューまたはデリバリーチームが即座に稼働し、新しいセキュリティリードが本来なら四半期かけてまとめる成果物——アーキテクチャマップ、脅威モデル、優先順位付けされた指摘事項、セキュア開発チェックリスト——を作成し、ポジションが埋まった時点で引き継ぎます。採用された人は、白紙の状態ではなく、すでに草案のあるプログラムとともに着任します。

採用の代わりに、デリバリー部分については。 その役割を実際に埋めるのが難しい場合、常駐型チームがエンジニアリングを担います。決済経路の堅牢化、サードパーティ統合のレビュー、レビュー工程をパイプラインに組み込み、四半期ごとのイベントではなくすることです。

私たちは、ベンダーがセキュリティリーダーを代替するとは意図的に主張していません。実際に代替できるものではありません。リスクを負い、例外を承認し、規制当局に対応するのは、社内の誰かでなければなりません。私たちが取り除くのは、その人が着任するまで何もできないという言い訳です。

次に何が起こるか

セキュリティまたは決済のポジションが空いているなら、正直な問いは採用するかどうかではなく、その間に何を動かすかです。ABNは書面のブリーフから始め、30分の通話を行い、その後3営業日以内に書面見積もり付きの固定スコープ提案を提示します。スコープが現実のものになる前に価格を提示することはありません。

求人情報は公開されています。そこに示されるギャップは秘密でもなく、採用している企業への批判でもありません。それは単に、仕事がある場所を示しているだけです。

出典：ITviecの公開求人一覧、2026年11月7日時点のスナップショット（1ページにサイバーセキュリティ20件、プラットフォーム/DevOps 20件、AI 20件、フィンテック7件の求人）；本誌のCrédit Mutuel Arkéaインシデント（2026年11月5日）に関する報道およびBinanceインシデント報告書。

日本語版は Ai 支援を使用しているため、小さな間違いが存在する可能性があることをご了承ください。

著者

Ai-Banking-NetworkSecurity (ABN), ABN ASIAは、アカデミアに深く関わり、アメリカ、オランダ、ハンガリー、日本、韓国、シンガポール、ベトナムでの仕事経験を持つ人々によって設立されました。ABN ASIAは、学問とテクノロジーが機会と出会う場所です。最先端のソリューションと優れたソフトウェア開発サービスにより、ビジネスがレベルアップし、グローバルシーンに挑戦できるよう支援しています。私ちの取り組み: より速く。より良い。より信頼性が高くなります。ほとんどの場合、価格も安くなります。

いつでも、ITサービス、デジタルコンサルティング、既製のソフトウェアソリューション、または提案依頼書（RFP）をお探しの際は、お気軽にお問い合わせください。お問い合わせ先は[email protected]です。お客様のテクノロジーに関するニーズにお応えします。