セキュリティアラートをコードで管理する検知・対応エンジニア

2週間で4社が同じ職名を新たに出した

10月9日時点で、AI製品を売る会社5社が検知・対応（Detection & Response）またはインシデント対応（Incident Response）のエンジニアを募集している。そのうち4社は9月28日以降に求人を新しく出した。Notionが9月28日にSecurity Engineer, Detection and Responseを、Replitが10月5日にSecurity Engineer, Incident Responseを出した。DatabricksのStaff Security Engineer, Incident Responseは10月8日、AnthropicのSenior/Staff Security Engineer, Detection & Responseは10月9日の掲載だ。Vercelは7月に出したSecurity Software Engineer, Detection & Responseの募集をまだ続けている。

この職がまずAI企業で増えている理由は、Anthropicの求人の役割紹介の最初の一文に書かれている。モデルの能力が高まるほど、そのモデルを攻撃したり悪用したりしようとする人々の関心も高まる、というものだ。AIレッドチームが攻撃者の目で弱点を探すなら、この専門分野は反対側に立つ。実際の攻撃に気づく検知ルールを作り、インシデントが起きれば被害の範囲を絞って封じ込める。

5件の求人には共通点が二つある。一つは、この仕事をソフトウェア開発として扱っていることだ。Notionは検知と対応をソフトウェアエンジニアリングの一分野とみなし、検知ルールはコードであり、基盤は製品であり、測定が重要だと書いている。Vercelは、溜まったアラートを順に処理する職ではなく、仕組みを作る職だと明言した。もう一つは、5社のうち4社が、LLMやエージェントを検知と対応の作業に使う仕事を業務として挙げていることだ。Vercelはそれを、AIとエージェントが対応担当者の仕事をどこまで安全に肩代わりできるかを試す仕事だと説明している。

米労働統計局（BLS）は、この仕事が属する情報セキュリティアナリストの雇用が2025年から2035年にかけて21%増え、全職業の平均を大きく上回る速さで伸びると見込む。10年間で毎年平均1万4,100件の求人が生まれる見通しで、2025年の年収中央値は12万9,180ドルだ。

何も起きなかった1年を数字で示す

セキュリティの仕事は成果が見えにくい。うまくいくほど何も起きず、何も起きなかったことは評価面談で説明しにくい。新しい求人はこの問題に測定で答えている。Notionは、検知の網羅範囲、検知までの平均時間（MTTD）、アラートの品質といった指標を定めて追跡する仕事を業務に含めた。Replitは、誰の責任も問わない事後レビューを主導し、改善項目を最後までやり切ることと、机上演習で備えの穴を見つけることを求めている。

5社すべての求人に、オンコール当番が含まれている。アラートは夜中にも鳴り、その時間に判断する人が必要だからだ。誤報で人を起こすルールは対応チームを疲れさせ、本物の攻撃の最中に黙っているルールはもっと悪い。測定が検知そのものと同じくらい重視されるのはそのためだ。

ルールはコードで書き、アラートの質を測る

最初の関門は、検知ルールを書く言語だ。NotionはSigma、KQL、SPL、YARA-L、EQLといった検知用クエリ言語のいずれかの実務知識を求め、まだ知らなくてもSQLやPythonに強く、すぐ覚える意欲があればよいとしている。何を検知するかは、攻撃者の行動を整理したMITRE ATT&CKのような枠組みから選ぶ。Vercelは、ルールもテストとコードレビュー、自動デプロイ（CI/CD）を通すよう明記した。

ルールが読むログを集めるのもこの職の担当だ。Vercelの求人は、サーバー、コンテナ、業務端末にosqueryとeBPFのセンサーを展開し、センサーがシステム性能に与える負荷と段階的な展開まで責任を持つよう求める。ログを収集して形式をそろえ、文脈を付け加えて保存するSIEMパイプラインと、そのコスト管理も同じ求人に入っている。クラウド運用の経験は5社すべてが求め、ReplitはGoogle Cloudの権限管理、監査ログ、GKEを具体的に挙げた。

対応は自動化と指揮に分かれる。ホストを隔離し、漏れた認証情報とセッションを無効にし、証拠を集めるツールを自分で作る。Replitは、インシデント時に指揮官を務めてセキュリティ、SRE、開発、法務を一つの方向に動かし、その後のレビューを率いる人を求めている。文章力も欠かせない。Notionは手順書、設計文書、インシデント記録を明快に書く力を求めた。夜中に同じアラートを受けた別の人が、その文書だけを見て同じ判断にたどり着けなければならない。

運用、システム、開発のいずれかから入る

BLSによれば、情報セキュリティアナリストは学士号から始めるのが一般的で、多くがIT部門、特にネットワークやコンピュータシステムの管理者として働いた経験を持つ。求人側も入口を広く開けている。Notionは幅広い経験レベルで採用するとし、検知エンジニアリング、セキュリティ運用、インシデント対応、脅威ハンティング、またはそれに近いセキュリティやソフトウェアエンジニアリングの経験3年以上を目安に挙げた。Anthropicは歓迎条件として、ソフトウェアエンジニアリング7年以上と、検知・対応の経験7年以上を並べて書いている。開発者として働いた年月も同じ重さで数えるということだ。

日本でこの仕事に最も近いのは、SOC（セキュリティオペレーションセンター）とCSIRTだ。どちらから始めても、アラートを処理するところで止まらず、そのアラートを生み出すルールとツールを直す側へ移っていくことで、海外の求人が言う検知・対応エンジニアになる。

シニアになると報酬の幅が広がる。Replitの求人の年収レンジは23万から36万ドル、Vercelはサンフランシスコの基本給を20万8千から31万2千ドルとしている。ただし、すべての求人が海外からの応募者に開かれているわけではない。Databricksは米国政府の秘密取扱資格（Secret）を取得できる適格性を必須条件とし、学士号とインシデント対応の経験7年以上、または修士号と5年以上を求める。資格の重みも求人ごとに違う。ReplitはGCIH、GCFA、GCFRといったインシデント対応、フォレンジックの資格を歓迎条件に挙げつつ、それと同等の実務経験でもよいとしている。

学生なら、求人の要件を逆にたどって準備できる。自分で作った演習環境でログを集め、そのログから攻撃の痕跡を捉えるルールを書き、テストまで付けてみる。Notionが歓迎条件に挙げたパープルチームやブルーチームの演習のように、攻撃をまねて検知を直した経験は、それ自体が履歴書の一行になる。