この数字の一次的な出どころは、ISC2（国際的なセキュリティ資格団体）が発行する「Cybersecurity Workforce Study 2023」です。IPAの『情報セキュリティ白書2024』はこれを引いて、日本国内のサイバーセキュリティ人材は2023年現在で約48万人、約11万人が不足していると記述しました。経済産業省の検討会も同じ数字を引用しています。

もう一つ、いまだに現役で流通しているのが「2020年に19.3万人不足」という数字です。こちらは経済産業省が2016年6月に公表した将来推計で、当時28.1万人だった情報セキュリティ人材が2020年には37.1万人必要になり、19.3万人足りなくなるという内容でした。目標年が6年前の推計が、いまも新しい記事に登場します。

「不足」という一語でまとめられている現象を、公開データで分解すると、少なくとも4つの別々の問題が入っていることが分かります。それぞれ処方箋が違うため、まとめて「人を増やせ」と言っても解決しません。

① 供給が動いていない — 求人24.3倍に対し転職者3.62倍

この記事で最も重要な一組の数字です。『情報セキュリティ白書2024』がリクルートの調査を引用して記しています。2023年のサイバーセキュリティ関連の求人数は2014年比で24.3倍に増加した一方、同分野への転職者数は3.62倍にとどまっている、と。

市場側の指標も同じ方向です。レバテックの調査によれば、2025年12月時点のセキュリティ関連の求人倍率は42.6倍、求人数は直近3年で約2.5倍に拡大しました（同社サービス内の数値であり全国統計ではない点には注意が必要です）。求人1件あたり応募者は極端に少ないという構図が続いています。

② 求人側が定義できていない — 「求人が多いのに応募が少ない」

ここが最も見落とされている論点です。『情報セキュリティ白書2024』は、SC3産学官連携WGの調査結果を引いて、こう指摘しています。

つまり「不足」の一部は、企業が自分で作り出しています。何をする人が欲しいのかを言語化できていないため、求人票が「高度な知見を有する方」といった曖昧な表現になり、応募する側も自分が該当するのか判断できない。結果として、求人数だけが積み上がります。

③ 需要と供給がすれ違っている

経済産業省の「サイバーセキュリティ人材の育成促進に向けた検討会」（2025年5月最終取りまとめ）は、より直接的な矛盾を指摘しました。中小企業は人材不足を課題に挙げる一方で、情報処理安全確保支援士（登録セキスペ）の中には「活躍の場がない」と考える人がいる——需要側と供給側が、互いを見つけられていないのです。

同検討会は対策として、中小企業への個別支援が可能な登録セキスペのリスト化と、支援機関を介したマッチングの促進を提案しています。これは「人を増やす」施策ではなく、すでにいる人を見つけやすくする施策です。

④ 抱えた人材を維持できていない

国家資格である登録セキスペの数字が、この問題を端的に示します。

登録者数は2024年10月の22,845名から2026年4月の26,453名へ、1年半で3,608名の増加。年あたり約2,400名のペースです。2030年に5万人へ到達するには年約5,900名の増加が必要で、現在のペースはその半分にも届いていません。

経済産業省の検討会は、この停滞の原因をこう分析しています。登録セキスペの活躍イメージを提示できていない（活躍の場がない）、人手不足の中小企業とのミスマッチが起きている、その結果として「登録更新に係る費用を支払うだけの動機が失われ、登録者数の大幅な増加には至っていない」。維持費用は毎年のオンライン講習（各2万円）と3年に1回の実践講習または特定講習（8万円）で、3年間で計14万円です。資格を取れる人材はいるのに、制度に乗り続ける理由がない——これは供給不足ではなく、維持の問題です。

なお2026年4月から、所定の実務経験がIPAに認定された登録セキスペは講習がオンラインのみとなり、8万円の実践講習が免除される制度が始まりました。国が「実務経験は実践講習と同等以上の訓練である」と認めた形で、維持コストの構造に手を入れた動きといえます。

2025年12月に公表されたISC2の人材調査（回答者16,029人）には、毎年の目玉だった「世界のワークフォースギャップ○○万人」という推計が載っていません。ISC2はその理由を、実務者が「人数を増やすこと」よりも「特定スキルの獲得」を重視するようになった、という意識の変化として説明しています。

同じ調査の中身を見ると、この判断の背景がよく分かります。

人員が足りないと答えた割合は6割強で例年並みですが、スキル不足を「重大」と感じる割合は1年で44%から59%へ跳ね上がりました。AIとクラウドという、この2〜3年で急速に前提が変わった領域が不足スキルの上位に来ていることが、その理由をそのまま説明しています。

グローバルな別調査も同じ方向を示します。Fortinetが29の国・地域の意思決定者1,850人に実施した2025年の調査では、侵害の原因の上位3つが「従業員の意識不足56%」「セキュリティスキル・訓練の不足54%」「製品の不足50%」でした。人の問題が、製品の問題を上回っています。同調査では67%が「スキル不足は組織に追加のリスクを生む」と回答し、アジア太平洋地域はその影響が最も大きい地域とされました。

2025年から2027年にかけて、日本のサイバーセキュリティ体制は制度的な転換点を迎えます。そして、そのすべてが人材需要の増加を伴います。

国はどれだけ採ろうとしているのか

ISC2の2025年調査から、日本の回答者1,225人分の結果を世界平均と並べます。

ISACAが2025年に3,800人超を対象に行った調査でも、65%の組織に未充足のセキュリティ職があり、55%のチームが人手不足、約半数が定着に苦戦していました。世界的に採用は難しく、日本はさらに条件が悪い、という位置づけです。

給与を見ると差はより鮮明です。民間求人サービスの推計では、日本のセキュリティエンジニアの平均年収は約600万円。一方、米国の同職種は13万〜17万ドル前後とされています（職務範囲の定義や為替の影響が大きく、単純比較には限界があります）。国内の求人倍率が42.6倍であることを踏まえれば、採用で勝つことを前提にした人材戦略は、多くの日本企業にとって現実的ではありません。

2026年4月3日、内閣官房国家サイバー統括室（NCO）は「サイバーセキュリティ人材フレームワーク2026」を公表しました。令和7年10月に設置された検討会（座長：後藤厚宏 情報セキュリティ大学院大学教授）での議論と、2026年2月17日から実施したパブリックコメントを踏まえて取りまとめられたものです。

注目すべきは、公表資料に書かれた目的です。

ここには「人数を増やす」という言葉が出てきません。国が公式に、人材不足の主要因を「見えていないこと」と「すれ違っていること」だと位置づけたということです。第2章で分解した4つの正体のうち、②と③に真正面から手を入れる政策設計になっています。

手引き書が示す活用場面も、そのまま企業の実務に落とせます。

当面は事業者の協力のもとで実践による効果検証を積み上げ、ユースケースを踏まえた段階的な普及を図る方針とされています。つまりいま試している企業が、実質的に標準の作り手側に回れるタイミングでもあります。

IPAが4,191社を対象に実施した「2024年度 中小企業における情報セキュリティ対策に関する実態調査」（2025年5月公表）の結果は、率直に言って厳しいものでした。

「外部研修を活用しない理由」の内訳が重要です。費用の高さ（48.4%）と並んで、「適切な演習がない・分からない」が40.6%。これは意欲の問題ではなく、選び方が分からないという情報の問題です。国のフレームワークが「教育訓練のミスマッチ解消」を目的に掲げた理由が、この数字に表れています。

そして見過ごせないのが、この調査で明らかになったもう一つの事実です。過去3年間にサイバー攻撃の被害に遭った中小企業のうち、約7割で取引先にも影響が及んでいました。中小企業のセキュリティは、もはやその企業だけの問題ではありません。

ここまで数字を並べてきましたが、最後に「なぜ人なのか」を3つの角度から整理します。

理由1：侵害の原因の1位と2位が、どちらも人だから

Fortinetの2025年調査で、IT意思決定者が挙げた侵害の原因は、意識不足56%、スキル・訓練の不足54%、製品の不足50%の順でした。製品を買っていないことより、使える人がいないことのほうが、侵害の原因として上位に来ています。同調査では86%が2024年に1回以上の侵害を経験し、28%は5回以上、52%は被害額が100万ドルを超えたと回答しています。製品は買えば手に入りますが、判断する人は買っても即座には手に入りません。

理由2：技術も産業も海外依存で、判断だけは自前が要るから

政府の年次報告「サイバーセキュリティ2026」は、人材不足に続けてこう書いています。「サイバーセキュリティに関する技術・産業も多くを海外に依存する状況にある」。製品もクラウドも脅威インテリジェンスも海外製という前提の中で、自組織にとって何が重要で、どのリスクを受け入れるかを決められるのは、自組織の人間だけです。ここを外注しきることはできません。だから国は、新しいサイバーセキュリティ戦略（2025年12月23日閣議決定）の3本柱の一つに「我が国のサイバー対応能力を支える人材・技術に係るエコシステム形成」を据えました。

理由3：供給を増やす余地が、まだ大きく残っているから

悲観的な話ばかりではありません。2025年3月に男女共同参画会議の専門調査会へ提出された提言では、IT人材の男女比が5:5になれば2030年の79万人不足はほぼ解消できると試算されています。2030年に必要なIT人材は現在の約120万人＋不足79万人＝約199万人。男女が5:5なら96万人＋96万人＝192万人となり、ほぼ埋まる計算です。現状の情報サービス産業の男女比は78.1:21.9——供給の余地は、まだ人口の半分側に残っています（IT人材全体の試算であり、セキュリティ人材単独の推計ではない点には注意が必要です）。Fortinetの調査でも、採用で四年制大学卒を考慮する企業が52%、資格を考慮する企業が65%あり、要件を緩めて入社後に育てる方針に切り替えれば、対象となる母集団は大きく広がると指摘されています。実際、同調査で「採用に苦戦している」と答えた割合は52%で、2021年の60%からは改善しています。