CyberSNのサイバーセキュリティ求人レポート、26%減少の一方でAIセキュリティ採用は急増
CyberSNは2026年9月までに米国のサイバーセキュリティ求人を235,786件記録した。前年比26.4%の減少となる一方、AIセキュリティエンジニアへの需要は268.3%増加した。
この対照が、最新のCyberSNサイバーセキュリティ求人レポートを特徴づけている。雇用主は全体としてセキュリティ職の募集を減らす一方、AIに焦点を当てた少数の職種を急速に拡大している。
これは、人工知能がサイバーセキュリティ業務をなくしているという単純な話ではない。雇用主がセキュリティチームに求める業務が、より明確に変化していることを示している。
従来型のセキュリティエンジニアリング、分析、ペネトレーションテスト、リーダーシップ職の求人はいずれも、異例の高水準だった2025年から減少した。一方で組織は、モデルの評価、AIインフラの保護、新たな自動化リスクの管理ができる専門家を求めた。
見出しとなる数値にも文脈が必要だ。比較対象の2025年は非常に好調であり、求人総数は2024年の同じ月々を約4%下回るにとどまった。
それでも、需要の分布は変わりつつある。市場は、確立されたセキュリティ実務をAIエンジニアリング、ガバナンス、データの専門知識と結び付けられる人材をますます評価している。
これは労働者と雇用主の双方にとって難題を生む。広範なサイバーセキュリティ採用と、ハイブリッド型AIセキュリティスキルへの集中需要の対立だ。
CyberSNサイバーセキュリティ求人レポートが示す分断された市場
中心的な変化はサイバーセキュリティ需要の消失ではなく、より少数で専門性の高い職種への集中である。
CyberSNは2026年1月から9月にかけて、米国のサイバーセキュリティ求人を235,786件集計した。この総数は、2025年の同期間における320,210件から減少した。
26.4%の減少により、CyberSNの4年間比較で1月から9月の合計は最低水準となった。対応する総数は、2023年が273,498件、2024年が244,911件だった。
これらの数値は、同組織のサイバーセキュリティ求人レポートに基づく。CyberSNはJobSpikrが提供した米国求人を集約し、ソース段階で重複求人を除外した。
その後CyberSNは、10カテゴリーにまたがる45の機能的役割を含む分類体系に求人を対応付けた。この手法は、一貫性に欠ける求人タイトルだけに依存せず、雇用主が求める業務を測定する。
この区別は重要だ。「security engineer」という肩書きは、複数の異なる職務を指し得る。ある雇用主はクラウドアクセスの専門知識を必要とする一方、別の雇用主はモデル評価と自動化されたインシデント対応を期待するかもしれない。
CyberSNはまた、その数値が雇用された人や採用完了数ではなく、求人投稿数を数えていることを強調している。1社が複数の求人を出すことも、掲載を取り下げることも、職位を埋めないままにすることもある。
したがって、このレポートは雇用主の需要シグナルを測定している。何人が職を失ったか、または求人のすべてが承認済みの採用を意味したかを確定するものではない。
2024年と比べると、年間の減少はそれほど深刻には見えない。2026年の総数は、その年の同等期間に記録された244,911件を約3.7%下回る程度だった。
2026年の最初の9か月のうち8か月は、2025年の対応月を下回った。しかし9月には、AIまたは機械学習の用語に言及した求人の割合が20%に達した。
9か月間全体では、追跡された求人の14.6%がこれらの用語に言及していた。これは1年前に記録された15.1%の割合をわずかに下回った。
総市場が縮小する一方で、期間後半にAI関連の表現が勢いを増したため、この2つの傾向は両立し得る。安定した比率も、特定職種内の大きな変化を隠している可能性がある。
CyberSNはAIセキュリティエンジニアの求人を2,409件確認し、比較対象となる2025年同期から268.3%増加した。サイバーデータサイエンティストの求人は203.5%増の1,493件となった。
これらの職種は、確立されたカテゴリーと比べると依然として小規模だ。セキュリティエンジニアの求人は44,083件、セキュリティアナリストの求人は24,095件に達した。
それでも成長率には意味がある。新規投資の方向性を示しているからだ。雇用主は、既存のすべての職務にAI関連タスクを追加するだけでなく、専門職を定義しているように見える。
SecurityWeekは、このレポートが縮小と明確な拡大領域を併せ持つことから、調査結果を「mixed bag」と表現した。同誌の労働市場分析も、求人投稿を決定的な雇用結果として扱わないよう注意を促している。
緊張関係はここから始まる。サイバーセキュリティは引き続き戦略的に重要だが、雇用主は、どの能力が追加人員を正当化するかについて選別を強めている。
求人減少はセキュリティ需要の消滅を意味しない
26.4%の減少は、力強かった年からの採用調整を測るものであり、サイバーセキュリティへの根本的な需要が26.4%崩壊したことを意味しない。
最も明確な証拠は、過去との比較にある。CyberSNは2025年9月までに320,210件の求人を記録しており、2023年と2024年の両方の総数を大きく上回っていた。
この高水準を基準にすると、2026年の減少はとりわけ劇的に見える。2026年を2024年と比較すると、その差ははるかに小さい。
CyberSNは、市場が変化した理由を把握しているとは主張していない。同レポートは、求人広告の背景にある予算判断や組織戦略ではなく、雇用主が何を募集したかに明確に焦点を置いている。
複数の説明が同時に成り立ち得る。企業は採用を減速させ、責任を統合し、請負業者への依存を強め、あるいは新たに生じる技術的ニーズに合わせて職務を再定義できる。
重複を除いた求人の減少は、従業員の定着期間が長くなったことや後任募集の減少を反映している可能性もある。セキュリティチームが同じ割合で縮小していることを自動的に示すわけではない。
長期的な政府予測は、もう1つの有用な基準点となる。米国労働統計局は、情報セキュリティアナリストの雇用が2024年から2034年にかけて29%増加すると見込んでいる。
同局は、この10年間で年間約16,000件の求人機会を予測している。職業見通しでは、その需要の一因としてサイバー攻撃、AI導入、デジタル商取引の拡大を挙げている。
BLSの予測とCyberSNの求人件数は、異なるものを測定している。BLSは長期的な職業雇用をモデル化する一方、CyberSNはより広範なセキュリティ分類体系における現在の求人広告を分析する。
両者を合わせると、継続するセキュリティニーズと不安定な採用パターンを持つ市場が描かれる。組織には依然として保護が必要だが、その必要性がすべての四半期や職種で円滑な需要を保証するわけではない。
縮小は、確立された職種で特に目立った。セキュリティエンジニアの求人は32.3%減少し、セキュリティアナリストの求人は比較対象の2025年同期から30.5%減少した。
ペネトレーションテスターの求人は45.9%減の3,063件となった。脅威ハンターの求人は40%減の1,013件で、サイバーセキュリティプロジェクトマネージャーの募集は39.4%減の783件だった。
サイバー内部脅威アナリストの求人は、掲載された職種の中で最も大きく減少した。9か月間で55.6%減の1,088件となった。
リーダーシップ層の採用も弱まった。CyberSNは、ChiefおよびBusiness Information Security Officer職を含むInformation Security Officerの肩書きを持つ求人を2,832件集計した。
これは2025年9月までに記録された4,632件を38.9%下回った。ただし、2024年の同じ月々に見られた2,808件に近い水準だった。
四半期ごとの動きは、年間比較をさらに複雑にする。CISOの求人は2026年第2四半期から第3四半期にかけて19.5%増加した。
セキュリティアーキテクトの求人は、同じ四半期比較で14%増加した。アプリケーションセキュリティエンジニアの求人は9.9%増、セキュリティエンジニアの求人は7.9%増となった。
こうした反発は年間減少を打ち消すものではない。1つの割合だけでサイバーセキュリティ求人市場全体を説明できない理由を示している。
レポートはまた、求人の22.9%がリモートとして分類されていたことも明らかにした。契約職は、認識された雇用形態を持つ求人の9.2%を占め、1.4ポイント上昇した。
契約による採用は、恒久的な職位を承認する前に企業が能力を試す手段になり得る。また、安定した人員数を増やすことなく、雇用主から労働者へリスクを移す可能性もある。
求職者にとって実務的なメッセージは厳しい。広範な需要は残っているが、雇用主はより狭い要件を設定し、多くの従来型キャリアパスに対する緊急性を低下させている。
企業にとって、求人減少は効率性に関する誤解を招く可能性がある。チームが職務を統合したり採用を先延ばしにしたりしても、未充足の責任は残る。
AIセキュリティエンジニア需要は小さな基盤から伸びている
AIセキュリティエンジニアへの需要は急速に伸びているが、2,409件の求人では235,000件を超える市場全体の減少を相殺できない。
268.3%の増加は、このレポートで最も大きな反転だ。これは、雇用主が「AIの知識」への一般的な要求を超え、AIシステムの保護に特化した職位へ移行していることを示唆している。
AIセキュリティエンジニアは、モデル、学習データ、推論システム、人工知能を利用するアプリケーションにセキュリティ制御を適用する。この仕事には、AIを活用した攻撃のテストも含まれ得る。
こうした責任は、アシスタントを使ってアラートを要約するだけの業務とは異なる。AIシステムがどのように振る舞い、データと接続し、本番環境内で意思決定するかを理解する必要がある。
小さな出発点は不可欠な文脈だ。職種は3倍になっても、市場の中では小さな割合にとどまり得る。
AIセキュリティエンジニアの求人は、CyberSNが追跡した求人総数の約1%を占めた。この職種は戦略的に注目すべきだが、職を失ったアナリストやマネージャーの代替市場にはまだなっていない。
サイバーデータサイエンティストへの需要も同様のパターンを示す。203.5%増となったものの、求人は1,493件で、最大規模の従来型カテゴリーを大きく下回る。
より広い分布は、スキル移行を示すより強い証拠となる。AIへの言及は研究職求人の32.7%に見られ、11.7ポイント増加した。
攻撃側の求人では23.3%、ガバナンス、リスク、コンプライアンスの求人では19.8%に見られた。これらの割合は、それぞれ4.8ポイントと2.1ポイント上昇した。
研究職には、新たな攻撃手法の研究やモデルの振る舞いの評価が含まれ得る。攻撃側チームは、レッドチーミングや敵対的演習を含め、敵対者に先んじてシステムをテストする。
ガバナンス、リスク、コンプライアンスのチームは、技術的な露出を方針、統制、説明責任のある意思決定へと変換する。モデルの挙動は予測や監査が難しい場合があるため、AIはこの業務を拡大させる。
Cisco主導のAI Workforce Consortiumによる別の調査も、この方向性を裏付けている。同調査はIndeed、Cornerstone、Lightcastのデータを用い、G7経済圏におけるサイバーセキュリティ求人需要を分析した。
同コンソーシアムは、AIスキルを必要とするサイバーセキュリティ求人の割合が、2025年10月から2026年3月にかけて平均28.5%だったと明らかにした。これは比較可能な前年同期の割合の2倍だった。
同組織のAIセキュリティ調査は、Python、コンテキストエンジニアリング、AIセキュリティ、エージェントオーケストレーション、機械学習運用という、繰り返し現れる5つの能力領域を特定した。
これらのカテゴリーは、なぜ移行が摩擦を生むのかを説明している。セキュリティアーキテクチャ、ソフトウェアエンジニアリング、データシステム、モデルの振る舞いのすべてに、同等の深い知識を持ってキャリアを始めた専門家は少ない。
雇用主は、希少なハイブリッド型の専門家を採用することで対応できる。また、既存スタッフを再教育し、複数人の専門知識を組み合わせ、あるいは学際的なチームを中心に職務を再設計することもできる。
コンソーシアムは、シニア職を示すタイトルを持つ候補者が強く選好されていることを明らかにした。G7比較では、シニア職のサイバーセキュリティ求人はジュニア職の求人をはるかに上回るペースで増加した。
これは経験のパラドックスを生む。雇用主は新興システムをすでに理解している人材を求める一方、それらのシステムは従来型の経験要件を支えられるほど成熟していない。
CyberSN自身のレポートでは、JobSpikrの推定分類に基づき、エントリーレベルとされた求人はわずか9.5%だった。ただし、雇用主はシニア職のタイトルを用いずに高度な期待を記すことが多いため、この数値は慎重に解釈すべきだ。
それでも、市場からのシグナルは一貫している。企業は即戦力となる業務遂行能力を求め、長期的な学習期間への投資には消極的だ。
この圧力は、すでに実務経験を持つ専門家にも及ぶ。ペネトレーションテスターが、モデル固有の障害モードを学ばずに既存業務をAIレッドチーミングと呼び替えるだけでは不十分だ。
同様に、AIエンジニアがアイデンティティ管理、脅威モデリング、インシデント対応、規制対象リスクを自動的に理解しているわけではない。増加している職種は、難度の高い2つの専門領域が交わる地点にある。
専門家は、断片的なキーワードを集めるのではなく、実務への適用経験を記録することで備えられる。実践的なポートフォリオでは、モデル評価、データアクセス、ログ記録、インシデント対応を一つのプロジェクト内で結び付けられるだろう。
エンジニアリングチームにも、設計判断、テスト結果、既知の制約について検索可能な記録が必要だ。共有の技術ナレッジベースは、セキュリティチームとAIチームをまたいで、こうした証拠を保持する助けになる。
目標は、登場するすべての新ツールを追いかけることではない。モデルや自律エージェントがアーキテクチャに組み込まれても、確立されたセキュリティ上の判断がなお有効であることを示すことだ。
タイトルが変わらなくても、従来の職種はAI業務を取り込んでいる
より大きな労働力の変化は、AIの責務が通常のセキュリティ業務の一部となりつつある、なじみ深い職種の内部で起きている。
CyberSNによると、追跡対象の全求人のうち14.6%がAIまたは機械学習に関する用語に言及していた。この割合は、2025年の同時期からほぼ変化していない。
一見すると、この安定した数値は専門職需要の急増と矛盾するように見える。説明は、職務上の責任とタイトルが重なり合っている点にある。
CyberSNは、AIセキュリティエンジニアを、より広範なセキュリティエンジニア職の中の役割として扱っている。この系列は参考として表示するが、全体の合計には別途加算していない。
雇用主は、セキュリティエンジニアを募集しながら、候補者にモデルアクセスのレビュー、エージェント活動の監視、検索パイプラインの保護を期待する場合がある。別の雇用主は、明示的にAIセキュリティというタイトルを使うかもしれない。
タイトルの違いが、必ずしも能力の違いを示すとは限らない。組織の成熟度、報酬体系、あるいは採用担当者が理解しやすい表現を反映している可能性がある。
このため、広範なサイバーセキュリティ採用は専門化と競合する。チームは、従来型の候補者すべてがAIの知識を持つとは想定できない一方で、新たなリスクごとに別の専門家を配置することもできない。
この圧力は、特にセキュリティオペレーションセンターで顕著だ。AIはアラートを要約し、調査を充実させ、クエリを提案し、反復的な対応手順を自動化できる。
自動化は、全体の責任を減らさずに定型業務を減らせる。分析が高速化すれば、チームはより多くのイベントを調査し、より多くのデータを統合し、より広い攻撃対象領域に対応できるようになることが多い。
AIシステム自体も、新たなセキュリティ業務を生み出す。チームはモデルアクセスを制御し、プロンプトと出力を検査し、接続されたデータを保護し、自動化された操作を監視しなければならない。
メールを検索したりインフラを変更したりする権限を持つエージェントは、外部アクセスのないチャットボットとは異なるリスクをもたらす。その誤りはシステム境界を越える可能性がある。
したがってセキュリティ専門家は、敵対的な悪用と偶発的な障害の両方を理解する必要がある。AIシステムが何にアクセスし、何を保持し、何を開示し、何を変更できるのかを評価しなければならない。
サイバーセキュリティ採用の動向は、管理職にも圧力がかかっていることを示している。ディレクター職の求人は32.5%減、リード職は41%減、マネージャー職は前年同期比で24.4%減少した。
これらの数値は、雇用主が変わらない組織階層の上にAI専門家を単純に追加しているわけではないことを示唆する。一部の企業は、必要なリーダーシップ職と調整役の数を見直している。
しかし、ガバナンス上の責任が消えているわけではない。CyberSNは、ガバナンス、リスク、コンプライアンスが全求人に占める割合を2023年比で5.4ポイント増やしたと報告している。
サイバーセキュリティおよびプライバシー弁護士の求人も、前年同期比9.1%増の24,193件となった。この役割はレポート内で最大規模のカテゴリーの一つとなった。
組織が自動化だけでは解決できない問題に直面する中、この変化は理にかなっている。許容可能なリスクを決め、説明責任を割り当て、コンプライアンスを文書化する人材が必要だ。
そのため、技術的なAIセキュリティ業務とガバナンスは互いを補強する。エンジニアはシステムの挙動を特定し、法務・リスクの専門家は組織が受容できる挙動を判断する。
最も圧力を受けるのは、役割が反復可能な作業の狭い集合として扱われる人々だ。最も強い立場にあるのは、技術的な実行力に判断力、コミュニケーション、オーナーシップを組み合わせられる人材である。
これは、すべてのアナリストが機械学習エンジニアになるべきだという意味ではない。アナリストには、モデルを利用するシステムを調査し、セキュリティを自動化すると主張するツールを評価するための十分なAIリテラシーが必要だということだ。
雇用主にも相応の責任がある。既存の求人にAI要件を長々と追加しても、有資格候補者が生まれるわけではない。
チームには現実的な職務境界、研修へのアクセス、経験を積むための監督付きの機会が必要だ。さもなければ、採用市場は信頼できる能力ではなく、誇張された履歴書を報いることになる。
数字だけでは証明できないAIとサイバーセキュリティ採用の実態
このレポートは市場縮小と専門職の成長の相関を示すが、AIが全体的な減少を引き起こしたことまでは証明していない。
CyberSNは、自らの分析を「なぜ」ではなく「何」を示すレポートだと説明している。この方法論上の限界は、その数値から導かれるすべての結論に反映されるべきだ。
このデータセットは、自動化が業務を置き換えたために雇用主が職種を取りやめたのかを明らかにしない。また、社内異動、昇進、継続雇用、非公開の採用も測定していない。
求人が消えるのは、その職種が充足されたためかもしれない。予算が凍結されたため、あるいは雇用主が採用プラットフォームを変更したために消える場合もある。
レポートは、JobSpikrの米国求人掲示板およびFortune 500のデータセットにある求人情報を使用している。重複除去と分類体系の手法は一貫性を高めるが、すべての採用チャネルを捉えることはできない。
採用担当者は、専門職の採用でプライベートネットワーク、社内紹介、ダイレクトソーシングをますます利用している。候補者が不足する場合、こうしたチャネルは大きな意味を持ち得る。
職種レベルの比較も、タイトル検索と説明文フィルターに依存している。CyberSNは、一部の系列がより広範なクエリと重複する一方、特定の一般的なタイトルは対象に含めるためにサイバー関連用語を必要とすると指摘している。
これらの選択は合理的だが、分類上の不確実性をもたらす。職務記述には、採用後に従業員がほとんど使わない希望的なスキルが頻繁に含まれる。
AIに関する用語は、特にこの問題の影響を受けやすい。企業は、意味のある運用上の責任を定義せずに、求人へ「generative AI」や「LLM」を追加できる。
年間比較も例外的な基準年から始まっている。2025年の求人総数は2023年と2024年の両方を上回っており、2026年の減少の一部は正常化を表す。
リーダーシップに関するデータはこの効果を示している。CISO求人は2025年から大きく減少したが、2024年の水準にほぼ正確に戻った。
9月の加速にも同様の注意が必要だ。AIに言及する求人が月間で20%を占めたことは注目に値するが、1か月だけで持続的な傾向は立証できない。
CyberSNは他の複数カテゴリーで1か月単位の急増を確認し、それらを傾向とは別に扱った。AI関連の勢いにも同じ規律ある観察が必要だ。
ほかのデータセットは、対象地域、プラットフォーム、定義が異なるため、異なる結果を示し得る。CiscoのG7調査では、それ以前の6か月間にサイバーセキュリティ需要全体が増加していることが示された。
これはCyberSNが示す米国での減少を否定するものではない。地理、時期、分類体系によって、市場の見かけ上の方向性が変わることを示している。
労働者調査は別の視点を加える。ISC2の労働力調査では、AIを利用している専門家は概して、新たな雇用機会とスキル開発の機会を見出していることが示された。
調査における楽観論は、雇用主が人員数を維持することの証明にはならない。求人の減少も、AIがこの職業を消滅させることの証明にはならない。
最も妥当な解釈は、その二つの主張の間にある。AIは、セキュリティ専門知識に対する根本的な需要を解消するよりも速く、需要の構成を変化させている。
この移行は依然として労働者に害を及ぼし得る。市場は長期的な需要を維持しながら、キャリアの階段を短くし、アクセス可能な初級職の入口を減らすことがある。
組織に負担をかける可能性もある。経験豊富なハイブリッド専門家に責任を集中させると、ボトルネックが生じ、後継者育成が難しくなる。
したがって読者は、二つの安易な物語を避けるべきだ。サイバーセキュリティはAIによって崩壊しているわけでもなければ、恒久的な人材不足によって自動化から守られているわけでもない。
現在の証拠が示すのは再配分だ。不確実なのは、その規模、持続性、そしてこの分野に参入する人々への影響である。
変化が持続するかを示す3つのシグナル
次に注目すべき3つのシグナルは、専門職の求人件数、より広範なAI要件、そして基盤的なセキュリティ職全体の回復である。
第一に、2026年末から2027年初頭にかけて、AIセキュリティエンジニア求人の絶対数を注視すべきだ。
再び3桁の成長率となれば注目を集めるだろうが、より重要なのは基盤となる件数だ。2,409件の求人から持続的な5桁の需要へ成長すれば、専門化という仮説はより強まる。
横ばいであれば、雇用主がまったく新しい雇用カテゴリーではなく、初期段階の専門家層を必要としていたことを示唆する。減少すれば、持続的な採用再編という主張は弱まる。
第二に、通常のセキュリティエンジニアリング、ガバナンス、攻撃側業務、研究職の中で、AIスキルがどの程度頻繁に登場するかを追跡する。
9月の20%という割合は有用な基準値となる。数か月にわたる継続的な増加は、AIへの期待が専門職のタイトルを超えて広がっていることを示すだろう。
一般的な言及よりも詳細が重要になる。モデルセキュリティ、エージェントオーケストレーション、評価、データ統制、AIインシデント対応に関する要件は、運用面での導入を示している。
「AIへの精通」といった曖昧な言及は、より弱い証拠となる。実務の実際の変化ではなく、採用上の流行を反映している可能性がある。
第三に、専門職の成長を、セキュリティアナリスト、ペネトレーションテスター、脅威ハンター、マネージャー、エントリーレベル人材の採用と比較する。
AI採用の持続と並行してこれらの職種が回復すれば、拡大を示すことになる。雇用主は、より広範な職業を空洞化させずに新たな能力を追加していることになる。
減少が続けば、より厳しい結論を支持する。組織が予算をシニア専門家に集中させる一方で、サイバーセキュリティへの従来型の参入経路を縮小していることになる。
四半期ごとの動きは、すでに暫定的ながら前向きなシグナルを示している。セキュリティエンジニア、アプリケーションセキュリティエンジニア、セキュリティアーキテクト、CISOの求人はいずれも第2四半期から改善した。
ただし、この改善が年間の減少を覆すには持続する必要がある。季節的な採用パターンや単発の急増は、短い期間の分析を容易に歪める可能性がある。
候補者は、セキュリティの基本原則を損なうことなく、隣接領域のスキルを身につけるべきだ。脅威モデリング、アクセス制御、ソフトウェアセキュリティ、インシデント対応、ガバナンスは、依然として中核にある。
AIに関する知識は、こうした基盤を拡張する場合に価値を発揮する。ツールへの慣れやプロンプト作成の用語だけで成り立つなら、脆弱なものになる。
採用担当者は、非現実的な要件リストを並べるのではなく、実践的な判断力を評価すべきだ。入社時点で必要なスキルと、従業員が安全に習得できるスキルを区別する必要がある。
経営陣もまた、求人件数の減少が真の生産性向上を反映しているのか、それともリスクの先送りなのかを問うべきだ。募集がないからといって、根本的な業務が消えたことを意味するわけではない。
CyberSNのサイバーセキュリティ求人レポートが捉えているのは、確定した結論ではなく、移行期にある労働市場だ。その最も鋭い示唆は、規模と方向性の対比にある。
従来型の職種は依然として求人の大半を占める一方、AI security engineerへの需要は、雇用主が新たなリスクをどこに見込んでいるかを示している。どちらの事実も重要だ。
専門職の採用は業界を拡大させるのか。それとも、サイバーセキュリティを少数のシニアなハイブリッド職へと狭めていくのか。今後数期のレポートが、その答えを示すはずだ。
