インフラエンジニアがセキュリティエンジニアになるには？活きる経験と5つのステップ

サーバーやネットワークの仕事を続けるうちに、「セキュリティの仕事に進みたい」と考えるインフラエンジニアは少なくありません。セキュリティは、インフラの知識を土台にした分野です。そのため、インフラエンジニアの経験は、セキュリティの仕事でそのまま強みになります。

ここでは、インフラエンジニアからセキュリティエンジニアになる方法を、活きる経験と足りなくなりやすい知識から解説します。セキュリティの仕事の種類と選び方に加えて、今の仕事のうちから始められる5つのステップもまとめました。

インフラエンジニアがセキュリティの仕事に進みやすい理由

セキュリティはインフラの上に成り立っている

サイバー攻撃の多くは、サーバーやネットワーク、OSのすきを突いてきます。攻撃を防ぎ、見つけ、対応するには、守る対象であるインフラの仕組みを知っていることが前提になります。

理由	内容
守る対象を知っている	サーバー・ネットワーク・OSの仕組みを理解しているため、どこが狙われるかを想像しやすい
ログを読める	運用・監視で身につけたログの読み方が、攻撃の痕跡を探す力につながる
現場の設定を変えられる	ファイアウォールやアカウントの設定など、守るための作業を自分で行える
人材が足りていない	セキュリティの人材は不足しており、インフラの経験者は求められやすい

インフラの経験が活きる場面

インフラの経験	セキュリティの仕事で活きる場面
サーバーの構築・設定	不要なサービスを止める、権限を絞るなどの安全な設定（ハードニング）
ネットワークの設計	ファイアウォールやVPN、ネットワークの分け方の設計
運用・監視	SOCでのアラートの分析、怪しい動きの発見
障害対応	インシデントが起きたときの切り分け、初動の対応
パッチの適用	脆弱性の情報を集め、対策の優先順位をつける

とくに、運用・監視と障害対応の経験は、SOCやインシデント対応の仕事に直結します。

障害対応とインシデント対応の違いは、［インシデント対応とは］で解説しています。

足りなくなりやすい知識

一方で、インフラの仕事だけでは身につきにくい知識もあります。

知識	内容
攻撃の手口	攻撃者がどんな手順で入り込み、どんな痕跡を残すか
セキュリティの仕組み	WAF、IDS・IPS、EDR、SIEMなど、守るための製品や仕組み
Webアプリケーションの仕組み	HTTPの中身や、Webアプリケーションの脆弱性の種類
ルールと管理	セキュリティのルールづくり、リスクの評価、法律や基準

これらは、資格の勉強や、仕事の中でセキュリティの作業に関わることで補えます。

セキュリティの仕事の種類と選び方

主なセキュリティの仕事

仕事	内容	インフラからの入りやすさ
SOCアナリスト	ネットワークやシステムを監視し、攻撃を見つけて報告する	入りやすい。運用・監視の経験がそのまま活きる
セキュリティエンジニア（設計・構築）	ファイアウォールやWAF、認証などの守る仕組みを設計・構築する	入りやすい。構築の経験が活きる
CSIRTのメンバー	インシデントが起きたときに、組織としての対応を取りまとめる	経験を積んでから。社内の調整の力も求められる
脆弱性診断	システムやWebアプリケーションの弱点を調べて報告する	学ぶことが多い。Webアプリケーションの知識が必要
ペネトレーションテスター	攻撃者の視点で実際にシステムを調べ、侵入できるかを確かめる	学ぶことが多い。高度な攻撃の知識が必要
セキュリティコンサルタント	セキュリティの方針づくりや、リスクの評価を支援する	経験を積んでから。ルールや基準の知識が必要

インフラエンジニアからは、SOCアナリストか、設計・構築のセキュリティエンジニアへ進むのが入りやすい道です。

SOCについては［SOCとは］で、セキュリティの仕事の全体像は［セキュリティエンジニアとは］で、攻撃者の視点で守る仕事は［ペネトレーションテスターとは］で紹介しています。

経験に合わせた選び方

今の経験	おすすめの進み方
運用・監視が中心	SOCアナリストとして、監視と分析の経験を積む
サーバーの構築が中心	サーバーの安全な設定や、EDRなどの導入を担うセキュリティエンジニアを目指す
ネットワークの構築が中心	ファイアウォールやVPN、WAFなどを担うネットワークセキュリティの仕事を目指す
クラウドの構築が中心	クラウドの設定の安全性を確かめる、クラウドセキュリティの仕事を目指す

今の得意分野を軸にしたまま、セキュリティの比重を少しずつ増やすと、無理なく移れます。

WAFなどの守る仕組みについては、［WAFとは］で解説しています。

セキュリティエンジニアになるための5つのステップ

STEP1 今の仕事でセキュリティに関わる

いちばん近道なのは、今の仕事の中でセキュリティの作業に手を挙げることです。

関わり方	例
設定の見直し	サーバーやネットワーク機器の設定で、不要な通信や権限がないかを確かめる
脆弱性への対応	新しい脆弱性の情報を確かめ、パッチの適用の計画を立てる
ログの確認	ファイアウォールやサーバーのログから、怪しいアクセスがないかを見る
社内の手順づくり	アカウントの管理やパスワードのルールを整える

小さな作業でも、「セキュリティの対策を自分で行った経験」として、転職のときに話せるようになります。

STEP2 セキュリティの基礎を学ぶ

攻撃の手口と、それを防ぐ仕組みを体系的に学びます。参考書で全体をつかみ、WAFやSOC、インシデント対応など、仕事に近いテーマから深めていきましょう。

STEP3 資格で知識を示す

資格	向いている人
情報処理安全確保支援士	セキュリティの知識を、国家資格として体系的に示したい人
CompTIA Security+	海外でも通じる、セキュリティの基礎の資格を取りたい人
ネットワーク機器メーカーのセキュリティの資格	ファイアウォールなど、ネットワークセキュリティの製品を扱う仕事を目指す人
クラウドのセキュリティの資格	AWSなど、クラウドのセキュリティを担いたい人

国内では、情報処理安全確保支援士が代表的です。

詳しくは［情報処理安全確保支援士とは］で、資格の全体像は［セキュリティエンジニアのおすすめ資格一覧］で紹介しています。

STEP4 自分の環境で手を動かす

自宅やクラウドに検証の環境を作り、セキュリティの設定や監視を試してみましょう。

試すこと	内容
サーバーを安全に設定する	不要なサービスを止め、ファイアウォールやSSHの設定を見直す
ログを集めて見る	複数のサーバーのログを1か所に集め、ログインの失敗などを確かめる
監視の通知を試す	不審なログインがあったときに知らせが届くようにする

検証は、必ず自分で用意した環境の中だけで行いましょう。他人のシステムに許可なく攻撃を試すことは、法律で禁止されています。

検証の環境の作り方は、［インフラエンジニアのポートフォリオの作り方］で紹介しています。

STEP5 異動や転職で仕事を移す

経験と知識がそろったら、社内の異動や転職で、セキュリティの仕事に移ります。

方法	内容
社内の異動	セキュリティの部署やチームがあるなら、上司に希望を伝える
SOCへの転職	運用・監視の経験を活かして、SOCアナリストとして入る
セキュリティの専門会社への転職	診断や監視、構築など、セキュリティの仕事を専門に行う会社へ移る
事業会社のセキュリティの担当	自社のシステムを守る担当として、インフラとセキュリティの両方を担う

職務経歴書や面接では、インフラの経験の中で、セキュリティに関わった場面を具体的に伝えましょう。たとえば、「ファイアウォールの設定を見直し、不要な通信を止めた」「障害対応で、不正なアクセスの可能性を切り分けた」といった経験です。

転職の進め方は、［インフラエンジニアの転職］で解説しています。

セキュリティエンジニアへの転向でよくある疑問

何年目くらいから目指せる？

決まりはありませんが、サーバーやネットワークの構築・運用を2〜3年ほど経験してから移る人が多くいます。守る対象の仕組みが分かっているほど、セキュリティの仕事で力を発揮しやすいためです。SOCアナリストなら、運用・監視の経験が浅くても目指せる場合があります。

セキュリティエンジニアになると年収は上がる？

上がる可能性はありますが、仕事の種類や会社によって大きく違います。セキュリティは専門性が高く、経験を積むほど評価されやすい分野です。

年収の考え方は、［インフラエンジニアの年収］で紹介しています。

プログラミングは必要？

必須ではありません。ただし、ログの分析や作業の自動化には、Pythonやシェルスクリプトがあると便利です。脆弱性診断などWebアプリケーションに関わる仕事では、プログラムを読む力が求められます。

今の会社にセキュリティの仕事がない場合は？

STEP1のように、今の仕事の中でできるセキュリティの作業を探しましょう。そのうえで、資格や自分の環境での検証で知識を補い、転職を考えます。

インフラのキャリアの全体像は、［インフラエンジニアのキャリアパス］で紹介しています。

まとめ

インフラエンジニアの経験は、セキュリティの仕事でそのまま強みになります。

この記事のポイントは次のとおりです。

• 進みやすい理由
  セキュリティはインフラの上に成り立っており、サーバー・ネットワーク・ログの知識が活きる。
• 足りなくなりやすい知識
  攻撃の手口、守る仕組み、Webアプリケーション、ルールと管理の知識を補う必要がある。
• 入りやすい仕事
  運用・監視の経験ならSOCアナリスト、構築の経験なら設計・構築のセキュリティエンジニアが入りやすい。
• 5つのステップ
  今の仕事でセキュリティに関わり、基礎を学び、資格を取り、自分の環境で手を動かし、異動や転職で移る。
• 転職での伝え方
  インフラの経験の中で、セキュリティに関わった場面を具体的に伝える。

セキュリティの仕事への一歩は、今の仕事の中にもあります。まずは、担当しているサーバーやネットワークの設定を、「攻撃者ならどこを狙うか」という目で見直すところから始めてみてください。