OTセキュリティとは？年収・必要スキル・未経験からの入り方【製造業×IT】

30代のキャリアチェンジの記事で「製造業出身→OTセキュリティは深刻な人材不足領域」と書きました。この記事はその深掘りです。

結論から言うと、OTセキュリティはセキュリティ業界の中で最も供給が追いついていない領域のひとつで、製造業・プラント・設備系の経験を持つIT人材にとっては、経歴がそのまま参入障壁の内側になる稀有な市場です。

OTセキュリティとは何か

OT(Operational Technology)は、工場の生産ライン、プラントの制御システム、ビル設備など「物理世界を動かすシステム」の総称です。PLCやSCADAといった制御機器の世界で、ITとは別の進化をしてきました。

このOTがネットワークにつながり始めた(スマートファクトリー、遠隔監視、IoT化)ことで、これまで「隔離されているから安全」だった世界に、ITと同じ脅威が流れ込んでいます。ランサムウェアで工場が止まる事案は、もはや海外の話ではありません。

なぜ人が足りないのか: 文化の断絶

OTセキュリティ人材が育たない理由は、技術の難しさより文化の断絶にあります。

	ITの常識	OTの常識
最優先事項	機密性(情報を守る)	可用性(ラインを止めない)
パッチ適用	速やかに当てる	「動いているものに触るな」
機器の寿命	3〜5年で更新	10〜20年使い続ける
再起動	定期メンテで普通	生産停止=大事故

ITセキュリティの正解(すぐパッチを当てろ、すぐ隔離しろ)をOTに持ち込むと、現場から出入り禁止になります。私もキャリアの中で工場系のシステムに触れる機会がありましたが、「動いているものに触るな」の重みはITの比ではないと肌で感じました。両方の言葉を話せる通訳が決定的に不足している──これがOTセキュリティ市場の本質です。

誰が参入できるのか

• 製造業の情シス・設備システム担当: 最有力。工場の力学(ラインの重み、現場との関係)を体で知っていることが最大の資産
• プラント・インフラ系エンジニア: 制御系ネットワークやフィールド機器に触れた経験は、そのまま職務経歴になる
• ITインフラ出身者: 工場経験がなくても、NW・セキュリティの土台+「OTの流儀を尊重する姿勢」で参入可能。IEC 62443やNIST SP 800-82といったOTセキュリティの標準を学んでおくと、面接での解像度が変わります

入り方の現実ルート

1. 製造業の社内セキュリティ: 自社工場のセキュリティ対策要員として。求人票では「OTセキュリティ」と書かれず「生産システムのセキュリティ強化」等の表現で出ることが多い
2. セキュリティベンダー・コンサルのOT部門: 大手SIer、監査法人系、専業ベンダーがOT部隊を拡大中
3. 制御機器メーカー・FA系企業: 自社製品のセキュリティ対応部門

いずれも慢性的な人手不足で、「OTとITの両方が分かる」だけで面接のテーブルにつけます。年収レンジもセキュリティ職の相場の中で上位帯に乗りやすい領域です。

求人と年収の実態

OTセキュリティの求人は、一般的なセキュリティ職より年収レンジが高めに設定される傾向があります。求人サイトに出ている募集を見ると、おおよそ次のような分布です。

• OTセキュリティエンジニア（事業会社・工場側）：500〜900万円程度
• OTセキュリティ製品ベンダー：500〜800万円程度
• OTセキュリティコンサルタント：700万円超の募集も見られる

参考として、dodaやIndeedで「OTセキュリティ」と検索すると、実際の募集要項が確認できます。件数はIT系セキュリティより少ないですが、その少なさが競争率の低さでもあります。

注意点として、この年収レンジは募集要項の上限を含んだ幅です。未経験に近い入り口だと下限側からのスタートになります。ただ、IT系セキュリティで同等の年収に届くまでの年数と比べると、到達は早い傾向があります。

この領域で求められるスキル

求人票を読むと、要求されるものは大きく3層に分かれます。

必須になりやすいもの

• ネットワークの基礎（セグメント分離、ファイアウォール、通信の可視化）
• 資産管理・脆弱性管理の実務経験
• 製造現場・設備側の事情への理解（止められない、更新できない、が前提）

あると強いもの

• IEC 62443（産業用オートメーション・制御システムのセキュリティ規格）の知識
• NIST SP 800-82（産業用制御システムのセキュリティガイド）の知識
• PLC・SCADA・DCSなど制御システムの基礎理解
• ISMS・監査対応の経験（工場の認証取得に絡む）

意外と評価されるもの

工場の現場担当者と話ができることです。この領域の失敗の多くは技術ではなく、「情シスが現場を止めた」という組織間の摩擦から起きます。現場の言い分を理解した上で落とし所を作れる人は、それだけで貴重です。

インフラ運用の経験者が有利なのは、「止められないシステムを触ってきた」感覚がそのまま通用するからです。

未経験から入る場合の現実的な順序

いきなりOTセキュリティ専任は難しいので、段階を踏みます。

• ①製造業のIT部門・情シスに入る：工場のネットワークに触れる立場を作る。ここが最も現実的な入り口
• ②工場側のセキュリティ案件を拾う：資産棚卸し、ネットワーク分離の検討、監査対応など
• ③規格の知識を足す：IEC 62443やNIST SP 800-82を読み、社内提案の根拠にする
• ④専任ポジションへ：社内で作るか、実績を持って外に出る

①②の段階は社内異動でセキュリティに入る戦略とほぼ同じ進め方です。製造業に在籍しているなら、その環境自体が資産になります。

まとめ

• OTセキュリティは「ITの常識が通じない」ことが参入障壁=経験者の堀になっている
• 製造業・設備系の経験は、この領域では若手のIT技術より高く売れる
• 求人は「OTセキュリティ」の名前で出ないことも多い。探し方も含めてエージェントの情報網が活きる領域

前職ドメインを掛け算する発想の全体像は「30代からのセキュリティキャリアチェンジ」に書きました。

なお、すでに製造業の情シスにいる場合は、工場側の案件を実際にどう拾うかを製造業の情シスが工場セキュリティを担当するにはにまとめました。現場と衝突しない進め方も書いています。

OT領域の経験を書類にどう書くかは、職務経歴書の翻訳例文集を参考にしてください。制御系の経験は希少なので、具体的に書けるほど有利です。

---

この記事は業界一般の情報と筆者個人の経験に基づくものであり、特定の組織の見解ではありません。