10月23日、Help Net Securityが「AI is taking cybersecurity jobs at junior and experienced levels alike」と題した記事を公開した。AIの導入によってサイバーセキュリティ職がジュニアから上級レベルまで幅広く削減されつつある実態について、Barracudaの最新調査をもとに詳しく紹介されている。

Barracudaが公表した「Cybersecurity Skills Gap Report」によると、AIを導入した組織の56%が、セキュリティ部門の人員削減を経験した。同レポートは複数国のセキュリティ実務者を対象に実施された調査であり、業界横断的な傾向を把握できる規模感を持つ。注目すべきは、その削減がエントリーレベルと上位レベルにほぼ均等に分布している点だ。「ジュニア職だけが影響を受ける」という従来の通念は、すでに崩れている。

一方で同じ組織が、脅威に対応するための専門知識不足を訴えているという矛盾した状況も報告されている。人を減らしながら、スキルが足りないと言う──この逆説が、AI導入期のサイバーセキュリティ現場の実態を端的に示している。

AIが変えるセキュリティの仕事内容

今後1年間で、AIと自動化はルーティンの分析、関連イベントの相関付け、対応策の提案といった作業を担うようになると予測されている。セキュリティ専門家の役割はシフトし、検知困難な攻撃の調査、AIの出力内容の検証、インシデント時の意思決定に集中するかたちに変わっていく。

また、長期的なセキュリティ優先事項の設定や、経営層へのリスク説明といった業務上の比重も増す。自動化ツールの監督には、提案された対応策の根拠を評価し、実行の妥当性を判断する能力が求められる。

BarracudaのSiroui Mushegian氏は次のように述べている。

「AIの影響が、多くのセキュリティチームがスキル、可視性、ガバナンスを整備できる速度を超えて、サイバーセキュリティの状況を変えている。組織はセキュリティチームを再設計し、AIと自動化の力を人間の専門性・判断力・可視性と組み合わせる必要がある」

スキルギャップが現場を圧迫

回答者のほぼ全員が、何らかのサイバーセキュリティスキルのギャップを報告した。最も多く挙げられたのはAIに関連したリスクへの対応力で、次いでアイデンティティ管理（IAM）やフィッシング脅威への対処が続いた。

さらに、回答者の半数が「追加リソースなしでデジタル業務の拡大を支えるよう求められている」と回答している。削減・スキル不足・業務拡大が同時進行している状況だ。なお、セキュリティ人材のスキルギャップ問題はBarracudaに限らず業界全体の課題として継続的に報告されており、ISC²の2024年調査でも世界的な人材不足が深刻化していることが示されている。

インシデント対応では人間が責任を持ち続ける

69%の組織が、AIや自動化と人間による調査・意思決定を組み合わせたインシデント対応体制を採用している。コンテキストの把握、判断、最終決定の責任は引き続き人間が担う。

AIの出力検証はセキュリティ専門家の業務において比重を増しており、エビデンスの理解、推奨事項の信頼性評価、ビジネスへの影響の考慮が求められる。

エントリーレベル削減がキャリアパスを破壊する

この調査で特に問題視されているのが、エントリーレベルの職種削減がキャリア開発に与える構造的なダメージだ。初歩的な業務や職種が失われると、将来のインシデント調査員・対応リーダー・セキュリティ意思決定者を育てる機会そのものが消える。

熟練した上位職を内部で育てるには、初級段階での実地経験が不可欠だ。エントリー職をAIに置き換えることは、短期的なコスト削減になっても、中長期的には組織のセキュリティ人材パイプラインを細らせるリスクを持つ。同様の懸念は、SANS Instituteの人材育成レポートでも繰り返し指摘されてきた論点であり、今回の調査はその傾向をあらためて裏付けるかたちとなっている。

報告書は、検知・対応・復旧・準備の各領域にわたるスキル投資と、自動化システムと監督する人間の役割を明確に定義することを推奨している。シニア人材には、AIリテラシー、アイデンティティ管理の専門性、コミュニケーション能力、ガバナンスと組織リスクの知識が今後求められるとしている。

詳細はAI is taking cybersecurity jobs at junior and experienced levels alikeを参照していただきたい。