【PR・広告】本記事にはアフィリエイト広告（PR）が含まれています。
- SOC・CSIRT・脆弱性診断・ペンテストの役割の違い
- 職種別の年収レンジと未経験の入りやすさ
- 未経験から専門職へ進むキャリアパスの考え方
SOC・CSIRT・脆弱性診断・ペンテストは名前が似ていますが、役割も年収レンジも未経験からの入りやすさも別物です。未経験ならSOCの監視業務が入口になりやすく、専門性を高めたいなら診断・ペンテストへ進むのが現実的なルートとされています。
セキュリティ職に興味を持つと、SOC・CSIRT・脆弱性診断・ペンテストという似た響きの職種名が並んでいて混乱した人も多いと思います。僕自身、最初は「セキュリティエンジニア」とひとくくりに考えていましたが、実際は業務内容も求められる経験もかなり違いました。この記事では4つの職種を横並びで比較し、自分に合う選び方を整理します。セキュリティ職全体の「なり方」の総論はセキュリティエンジニアになるにはの記事、未経験からの転職ステップは未経験からセキュリティ転職する方法の記事もあわせてご覧ください。
📣 無料でセキュリティ職向け求人を見てみる
職種ごとの求人傾向を知るだけでも今後の方向性が見えてきます（登録・相談無料）。
SOCとCSIRTの違い｜「監視」と「対応指揮」
SOC（Security Operation Center）は24時間365日体制でログやアラートを監視し、不審な兆候を検知する役割が中心とされています。一方CSIRT（Computer Security Incident Response Team）は、実際にインシデントが発生した後の対応指揮・原因調査・全社的な調整役という位置づけです。セキュリティベンダー各社の解説でも、SOCが「検知」、CSIRTが「対応と統率」という役割分担で語られることが多いようです。
つまりSOCは「異常を見つける」現場、CSIRTは「見つかった後にどう動くか」を決める司令塔に近いイメージです。SOCの中でも監視専任のTier1、分析を担うTier2、CSIRTと連携する上位層とレベルが分かれているケースもあります。
脆弱性診断とペネトレーションテストの違い｜「スキャン」と「手動侵入」
脆弱性診断は、専用ツールを使ってシステムやアプリの既知の脆弱性を網羅的に洗い出す、比較的定型的な業務とされています。ツールが検出した結果を確認・報告する側面が強く、手順が体系化されている分、開発・インフラの実務経験がある人であれば比較的入りやすい領域と言われています。
これに対しペネトレーションテスト（ペンテスター）は、複数の小さな脆弱性を手動で組み合わせ、実際に侵入できるかどうかを試す高度な業務です。攻撃者視点での発想力や幅広い技術知識が求められるため、実務経験を積んでからのステップアップ先として語られることが多い職種です。
【比較表】4職種の年収・未経験可否・特徴早見表
| 職種 | 年収レンジ目安 | 未経験可否 | 特徴 |
|---|---|---|---|
| SOC(Tier1) | 350万〜450万円程度とされる | 〇 入りやすい | 交代制・夜勤あり、監視中心 |
| CSIRT | 500万〜700万円程度とされる | △ 経験優遇 | 調整力・判断力重視 |
| 脆弱性診断 | 平均609.8万円程度という公的データも | △ 実務経験があると入りやすい | ツール中心の定型診断 |
| ペンテスター | 400万〜1200万円程度と幅広い | × 実務経験を積んでからが現実的 | 手動侵入・攻撃者視点 |
※脆弱性診断の609.8万円は厚生労働省「job tag」職業情報提供サイトの公開データ（2026年時点）を参考にしています。その他の職種・レンジは各種求人・転職メディアの公開情報を基にした目安です。実際の年収は企業規模・経験年数により異なるため、最新の条件は各社公式サイトや求人票でご確認ください。
📣 無料相談で専門職向けの求人・案件相場を聞いてみる
脆弱性診断・ペンテストのフリーランス案件は月100万円〜180万円程度という情報もあり、専門性次第で単価が変わります（相談無料）。
どの職種からどの職種へ進める？キャリアパスの実際
未経験からの王道は、SOC Tier1で監視業務を経験しながらログ分析やインシデント対応の基礎を積み、そこからCSIRTや脅威ハンティングへ進むルートとされています。もう一つは、開発やインフラの実務経験を活かして脆弱性診断へ入り、経験を重ねてペンテスターへステップアップするルートです。SOC経由で診断・ペンテストへ横移動するケースもあるようです。
自分はどの職種を目指すべき？選び方のポイント
- 完全未経験なら、まずSOC Tier1で監視・アラート対応の基礎を積むのが現実的
- 調整力・コミュニケーションに自信があるならCSIRT志向も視野に
- 地道な作業が苦にならず手堅く専門性を積みたいなら脆弱性診断
- 攻撃者視点で考えるのが好き・開発やインフラの経験が豊富ならペンテスター
- 資格はCEH・OSCP・Security+などが評価されやすいとされる（情報処理安全確保支援士は別記事で詳述）
僕は最初「セキュリティ=かっこいい攻撃系」というイメージでしたが、実際にセキュリティ職の知人何人かに話を聞くと、SOCの地道な監視業務から始める人が大半でした。夜勤もあるという地味な面まで知れたのは、実際に現場にいる人の話を直接聞けたからだと思います。※個人の体験・感想であり、効果・成果を保証するものではありません。
📣 無料でCSIRT・診断職への転職を相談する
経験者向けのセキュリティ求人は非公開が多く、専門エージェント経由での紹介が有力な選択肢になります（相談無料）。
まとめ
- SOCは監視、CSIRTは対応指揮という役割分担がある
- 脆弱性診断はツール中心、ペンテストは手動での侵入試行
- 年収は脆弱性診断で609.8万円程度という一次データもあるが職種・経験で幅がある
- 未経験の入口はSOC Tier1が現実的とされる
- 専門性を高めたいなら経験を積んでから診断・ペンテストへ進むのがおすすめです
よくある疑問
Q. 文系・完全未経験でもセキュリティ職を目指せますか？
A. SOC Tier1であれば文系未経験からの採用実績もあるという声があります（エージェントへのヒアリングによる情報です）が、IT基礎知識の学習は必須になります。
Q. 資格取得とCTF・HackTheBoxはどちらを優先すべきですか？
A. 未経験段階では資格で基礎知識を示し、実務に近づいたらCTF等で実践力を補うバランスが良いとされています。
※本記事の年収・統計データは公開情報を基にした目安であり、個々の待遇を保証するものではありません。最新の求人条件は各社公式・エージェントにてご確認ください。
