転職しないセキュリティキャリア──情シス・インフラから「社内異動」でセキュリティに入る戦略

セキュリティに進む方法は転職だけではありません。むしろリスクが最も低く、成功率が高いのは社内異動です。

いま情シスやインフラ部門にいる人は、セキュリティ部門(またはセキュリティ担当という役割)まで、転職者よりはるかに近い場所に立っています。この記事はその距離の詰め方です。

なぜ社内異動が最強なのか

私自身、まさにこの社内異動でインフラ運用からセキュリティ・統制側に移りました。経験者として断言しますが、この移動の本質は「職を変える」ことではなく「役割を拾う」ことです。

多くの会社で、セキュリティ関連のタスクは誰の担当でもないまま放置されています。これらは全部、手を挙げれば拾える「足がかり」です。

ISMS・Pマークの事務局手伝い: 監査対応の資料集め、規程の見直し補助。地味ですが、GRC実務の入口として最良(GRCの記事で書いた穴場領域の実務経験になる)
取引先セキュリティチェックシートの回答: 営業部門が持ってくるアレです。回答作業はセキュリティ管理の全領域を俯瞰できる教材
生成AI利用ルールの整備: 今いちばん「誰かやって」状態になりやすいテーマ。手を挙げた人がそのまま社内のAIガバナンス担当になる例は珍しくない(作り方はこちら)
セキュリティ教育・訓練の企画: 標的型メール訓練の運営、新人向け研修資料の作成
インシデント対応体制の文書化: 「何かあったら誰に連絡するか」が整理されていない会社は多い

ポイントは、これらが兼務から始められること。異動願いを出す前に、実績を先に作るのです。

拾った仕事を、形にするための様式

社内に落ちている仕事を拾ったあと、実際に手が止まるのは「どう書いて、どう通すか」です。施策提案書やリスク受容記録シートなど、拾った仕事を前に進めるための5つの様式を記入例つきでまとめました。

上のリストから1つ、業務時間の1割で拾う。上司には「セキュリティ側の要件が分かるとインフラ運用の質も上がるので」と、現業へのメリットで説明すると通りやすい。

拾った仕事の成果を、評価面談や社内報告の場で「セキュリティ業務」として言語化する。「チェックシート回答を標準化して回答工数を半減」のように、業務改善の形にすると強い。

セキュリティ担当の増員、委員会の改組、監査指摘への対応強化──組織がセキュリティ体制を見直すタイミングは必ず来ます。そのとき「すでに一部やっている人」が最有力候補になる。公募や自己申告制度があるなら、実績と一緒に出す。

参考までに、私自身が異動前にやっていたことを書いておきます。

こうして並べると、単なる「サーバー運用」ではなく、システム・ログ・監視・セキュリティに近い領域へ、少しずつ経験を広げていたことが分かります。意図的にそうした部分もありますが、目の前の仕事を拾っていった結果でもあります。

上司への説明で意識したのは、「セキュリティをやりたい」という興味だけで話さないことでした。そうではなく、これまでの経験をセキュリティ側で活かしたいという説明にする。インフラ経験があるから、移っても技術面で貢献できる、という筋にしました。

つまり「未経験からセキュリティ」ではなく、「インフラで積んだ経験をセキュリティへ横展開する」という考え方です。結果的にそれが、インフラ→セキュリティ戦略・ガバナンスというキャリアに繋がりました。

年収は上がらない: 異動では給与テーブルが変わらないのが普通です。市場価値と社内給与の差は開いていくので、年収の構造は把握しておく。異動で経験を作り、数年後に外の市場で換金する「二段構え」が定石
社内にセキュリティ組織が無い場合: 拾える仕事はあっても「異動先」が存在しないパターン。この場合は①②で実績だけ作り、それを職務経歴書に書いて転職する方が早い
「便利屋」で終わるリスク: 兼務のまま何年も塩漬けにされそうなら、期限を切って判断する

異動を決める前に、外の相場を見ておく

社内異動では給与テーブルが変わらないのが普通です。だからこそ、動く前に市場が同じ経験にいくら払うかを知っておくと、二段構えの判断がぶれません。今すぐ転職しなくても、登録して求人を眺めるだけで基準ができます。