人材育成が成功したかどうかは、本来こう定義できます。「対象者の能力が上がり、その能力が実際に使われ、組織に評価され、更新され続けている」ことです。逆に言えば、能力が上がっても使われなければ育成ではなく、使われても評価されなければ定着せず、評価されても更新されなければ数年で価値を失います。

この定義をセキュリティ人材の配置転換に当てはめると、判定軸は次の4つに絞られます。異動そのものの是非ではなく、この4条件が異動後も残っているかどうかが、育成と消耗を分けます。

まず、日本企業が実際にどうやってセキュリティ人材を育てているのかを見ます。ここで最も精度の高い公的データが、金融庁と日本銀行が共同で実施しているサイバーセキュリティセルフアセスメント（CSSA）です。2023年度は地域銀行99先、信用金庫254先、信用組合145先の計498の金融機関が回答しており、業態全体をほぼ網羅した悉皆に近い調査になっています。

この調査には「人材育成の取り組み」という設問があり、何を実施しているかが実施率で並びます。結果は、日本企業の育成観をはっきり映し出しています。

この表の読み方は明快です。お金で買える施策ほど実施率が高く、設計が必要な施策ほど実施率が低い。外部研修への参加奨励は約7割が実施している一方で、育成を意識した配置は4社に1社、育成計画にいたっては5社に1社を切ります。

報告書自身も、この構図をはっきり書いています。即効性を意識した取り組みは半数以上が実施している一方、「サイバーセキュリティ人材の育成に配慮した長期的な人事ローテーションやセキュリティ人材育成計画の策定など、中長期的に取り組む先は限定的」である、と。つまり、公的な調査が「日本企業は配置で人を育てていない」と認めているわけです。

同じ傾向は、IT人材全体の調査でも出ている

これは金融業界に限った話ではありません。IPA（情報処理推進機構）が2025年8月に公表した「デジタル時代のスキル変革等に関する調査（2024年度）」でも、同じ構造が確認できます。

個人側の回答では、キャリア開発について3割の人が「キャリア教育や計画的な配置・育成、参照できるモデルなどが無いこと」を阻害要因として挙げています。企業側を見ると、キャリア開発支援を行っていない企業は中堅中小で4〜6割、従業員1,001名以上の大企業でも約2割弱。さらに、DXを全社的に推進している企業ですら「人材類型やスキルを定義」できているのは3割未満でした。

スキルを定義していない組織は、当然ながらスキルの毀損も測定できません。「営業へ異動しても専門性は失われない」という主張が社内で反証されないのは、それが正しいからではなく、測っていないからである可能性が高いのです。

当事者側から見ても「使う機会」が問題になっている

もう一つ、当事者側の調査を挙げます。JNSA／ISEPAのキャリアデザインワーキンググループが2026年3月に公表した速報（全国のセキュリティ関連業務従事者1,000人、2025年12月調査）では、資格を取得した人の記述に「実務で使う機会が少ない」「会社の評価が低い」「自己満足にとどまる」という声が並び、必要な施策として「取得資格を活かせる業務やプロジェクトへの優先配置」が挙げられています。

学ばせることと、学んだ能力を使わせることは、別の施策です。前者だけを実施して後者を欠く状態は、当事者側から見ると「投資はさせるが回収させない」構造として体験されます。

結果は、ローテーションを「良いもの」とも「悪いもの」とも言い切らない、しかし極めて示唆的なものでした。態度や柔軟性には効くが、能力開発と離職抑制には効いた証拠がないのです。

この図で注目すべきは、点線で囲まれた下半分です。ローテーションの導入根拠として最もよく語られる「能力開発」と「定着（離職の抑制）」が、いずれも有意水準に達していません。能力開発は r=0.13（p=0.10）、離職の抑制は r=0.12（p=0.20）でした。

誤解のないように補足すると、これは「ローテーションに効果がない」という証明ではありません。「効果があるという十分な証拠が、現時点の研究の集積からは得られていない」という意味です。研究デザインの多くが相関研究であり、因果の特定にも限界があります。

それでも、実務的な含意ははっきりしています。「ローテーションは人を育てる」という命題は、証明済みの前提として扱ってよいものではないということです。効いていたのは職務満足・キャリア成功・労働の柔軟性——つまり本人の主観的な充実感と、組織側の人員配置の融通性でした。後者は、率直に言えば会社側の利益です。

2025年に Psychological Bulletin に掲載された手続き的技能の保持・減衰に関するメタ分析は、457本の報告から1,344の効果量を統合した、この分野で現時点最大級の統合研究です。

結論は明確でした。訓練で得たパフォーマンス向上の半分が失われるまでの期間は、正確性でおよそ6.5か月、速度で13か月、混合指標で11か月。そして減衰は、非使用期間が長くなるほど強まります。

「10年の経験が消える」のではなく、落ちる層と残る層がある

この点を、実務の言葉に翻訳します。10年の経験がまるごと消えることはありません。しかし、能力は均質な塊ではなく層構造になっており、上の層から順に、異なる速度で劣化します。

この整理が重要なのは、社内の議論がしばしば噛み合わない理由を説明するからです。会社側は「10年の経験がなくなるわけではない」と言い、本人は「現場に戻れなくなる」と感じる。どちらも正しい。会社は第3層の話をし、本人は第1層と第2層の話をしているだけです。

国自身が「実務経験は訓練と同等」と制度で認めた

ここで、日本の制度が最近示した判断を紹介します。国家資格である情報処理安全確保支援士（登録セキスペ）には講習の受講義務があり、毎年のオンライン講習（各20,000円）に加えて、3年に1回、実践講習または特定講習（80,000円）を受ける必要があります。3年間の維持費用は合計14万円です。

そして経済産業省は2026年4月、新たに「実務経験者に対する講習制度」を創設しました。所定の実務経験があるとIPAが認定した登録セキスペは、講習がオンラインのみとなり、3年に1回の実践講習（8万円）が免除されます。理由として、日々の実務を通じて「実践講習と同等以上の知識・技能をすでに修得している」人が多いことが挙げられています。

実際、認定の要件として示されている実務経験は「セキュリティが関係する業務は6か月以上、含まれる場合は1年以上」といった水準です（申請受付は2026年10月1日〜12月28日、申請手数料3,500円）。営業部門でセキュリティ業務が一切ない配置の場合、この要件を満たせるかどうかは、異動後に何を正式業務として残せたかにかかってきます。第9章で扱う交渉が、資格維持コストにまで直結する理由がここにあります。

まず正直に書きます。「セキュリティ人材を無関係部署へ異動させた企業の離職率が何ポイント高い」という直接の統計は、公開資料の中に確認できませんでした。したがって「必ず辞める」とは言えません。ここで検証できるのは、辞めやすい条件が揃っているかどうかだけです。

ISC2が2025年に実施した世界規模の人材調査（回答者16,029人）では、日本から1,225人が回答しています。日本の結果を世界平均と並べると、日本の特徴がはっきり出ます。

特に効くのが1行目です。日本のセキュリティ人材の職務満足度は51%で、世界平均を17ポイント下回っています。人手が足りず（42%）、給与でも引き留められず（39%）、業務量に押し潰されている（50%）。この状態で経験者を専門外へ動かせば、残った人の負荷はさらに増えます。

ISACAが2025年に3,800人超を対象に実施した調査でも、65%の組織に未充足のセキュリティ職があり、55%のチームが人手不足、約半数が人材の定着に苦戦していると回答しています。NISTが2025年1月に公表した人材白書（NICEの作業部会による調査）では、実務者の約3分の1が「自分のスキルが十分に活用されていない、または職務が合っていない」と感じており、幸福度を上げる要因の筆頭には「キャリアの成長機会」が挙がりました。さらに、「自社にセキュリティチーム向けの明確なキャリア枠組みがある」と考える管理職は半数にとどまります。ただしこの調査は回答が100件未満・米国中心と白書自身が限界を明記しており、傾向の参考として扱うべき数字です。

そして市場側です。レバテックの調査によれば、2025年12月時点のセキュリティ関連の求人倍率は42.6倍、求人数は直近3年で約2.5倍に拡大しました。経済産業省の検討会（2025年5月最終取りまとめ）も、国内のセキュリティ人材が約11万人不足しているという民間推計を引きつつ、登録セキスペを2025年4月時点の約2.4万人から2030年に5万人へ増やす目標を掲げています。

ここで会社側の視点に立ちます。専門人材を畑違いの部署に動かす判断は、多くの場合、担当者の悪意ではなく制度の欠落から生まれます。原因を分解すると、おおむね次の4つです。

ここまでの検証を判定表にまとめます。左列が「育成として機能する異動」、右列が「専門性の償却になる異動」です。異動先が営業かどうかは、判定軸に入りません。営業でもセキュリティ提案や顧客リスク説明を正式業務として担うなら左列になり、セキュリティ部門内の異動でも実務も評価も伴わなければ右列になります。

会社が「これも育成だ」と主張するなら、その主張は検証可能なはずです。人事部門が匿名集計で提示できる数値を7つ挙げます。これらを持たずに育成効果を語るなら、その育成効果は実証されていないと判断して構いません。

会社の制度が変わるのを待っていると、第4章で見た通り、第1層の能力から失われていきます。ここからは、異動を受ける本人が実際に取れる手を、時系列で整理します。

フェーズ1：最初の3か月——「関与を残す交渉」をする

異動直後は、社内で最も交渉力がある時期です。理由は単純で、前任者としての引き継ぎ責任がまだ残っているからです。この時期に「完全に切り離す」のではなく「一部の関与を正式業務として残す」交渉をします。ポイントは、会社の負担にならない形で提案することです。

これらはいずれも、感情ではなく組織側の利益として提示している点が重要です。「専門性を失いたくない」という主張は個人の希望として処理されますが、「事故時の初動が速くなる」「商談が止まらない」は業務上の理由として処理されます。

フェーズ2：3〜12か月——「維持する層」を1つに絞る

すべてを維持しようとすると、確実に失敗します。時間は有限であり、業務外の学習だけで第1層から第3層まで支えるのは現実的ではありません。手を動かす領域を1つだけ選び、そこだけは実技として維持するのが、最も費用対効果の高い戦略です。

フェーズ3：1年以降——復帰と転職の判断ラインを決めておく

1年を過ぎたら、感情ではなくあらかじめ決めた基準で判断します。異動の時点で判断ラインを言語化しておくと、後から迷いません。

この記事が主張できないこと

誠実に書いておきます。この記事には、次の限界があります。

それでも残る結論

これらの限界をすべて差し引いても、次の非対称性は残ります。

最後に、この記事の主張を一文で書きます。

そして、この結論は当事者にとっても両刃です。会社に設計がないことを確認できたなら、設計を自分で持つしかないということでもあります。最初の3か月で関与を交渉し、維持する領域を1つ選び、判断ラインを先に決めておく。会社の制度が追いつくのを待つより、その3つのほうが早く効きます。