※本記事にはプロモーション（広告）が含まれています。
こんにちは！こきです。
「SOCって求人でよく見るけど、何をする仕事なの？」
「未経験からでもSOCアナリストになれる？」
この記事は、そんな方に向けて書いています。
僕はIT企業のインフラ担当（新卒・IT未経験スタート）から資格を取り、外資系コンサルに転職して、今はセキュリティコンサルタントとして働いています。
この記事では、SOCアナリストの仕事内容を、業界団体の資料をもとに、ITにくわしくない方にもわかるように解説します。あわせて、必要なスキルや、未経験から目指すためのステップも紹介します。
結論：SOCアナリストは「攻撃の兆しを見つけて、知らせる」仕事
- SOC（ソック）は、会社のシステムを見張り、攻撃の兆しを見つけるチーム
- SOCアナリストの仕事内容の中心は、ログ（記録）の監視・分析と、関係者への通知
- 見つけた問題への本格的な対応は、CSIRT（シーサート）などのチームと協力して進めることが多い
- ネットワークやサーバーの基礎知識があると、未経験からでも目指しやすい
セキュリティの仕事の中でも、SOCは「実務経験を積む最初の場所」として選ばれることがある仕事です。くわしく見ていきましょう。
SOCとは？CSIRTとの違い
SOCは「Security Operation Center（セキュリティ・オペレーション・センター）」の略です。会社のネットワークやパソコン、サーバーを見張り、サイバー攻撃の兆しを見つけるチームを指します。
SOCとあわせてよく出てくるのが、CSIRT（シーサート）です。業界団体ISOG-J（日本セキュリティオペレーション事業者協議会）の資料では、セキュリティの仕事を「運用」と「対応」に分けて、次のように説明しています。
| 区分 | おもな中身 | 呼ばれ方の例 |
|---|---|---|
| 運用（ふだんの仕事） | インシデントを見つけるための分析、セキュリティの仕組みの監視やメンテナンス | SOC |
| 対応（何か起きたときの仕事） | 見つかった事象に対するインシデント対応 | CSIRT |
（出典：ISOG-J「セキュリティ対応組織（SOC/CSIRT）の教科書」第3.1版）
ざっくり言うと、SOCは「見張って見つける」係、CSIRTは「起きたことに対処する」係です。ただし、同じ資料では、SOCやCSIRTが何をしているかは組織ごとに異なる、とも説明されています。会社によっては、1つのチームが両方を担当することもあります。
また、SOCには「自社の中にあるSOC」と、「セキュリティ会社が、たくさんのお客さまの監視をまとめて引き受けるSOC」があります。求人を見るときは、どちらのタイプかを確認しておくと、仕事のイメージがつかみやすくなります。
SOCアナリストの仕事内容
ISOG-Jの資料では、SOCが担う「即時分析」の仕事を4つに分けています。それぞれ、未経験の方にもイメージしやすい言葉で説明します。
ログを見張って、あやしい動きを見つける（リアルタイム監視）
SOCアナリストの仕事内容の中心です。会社のいろいろな機器やシステムが出すログ（いつ・誰が・何をしたかの記録）を見張り、攻撃の兆しがないかを分析します。
資料で挙げられている、監視するログの例は次のとおりです。
- ファイアウォールなど、ネットワーク機器のログ
- IPS/IDS（不正な通信を見つける・止める仕組み）やWAF（Webサイトを守る仕組み）など、セキュリティ機器のログ
- Webサーバーのアクセスログ
- Active Directory（社員のアカウント管理）やDNSなど、社内システムのログ
- EDR（パソコンのあやしい動きを見つけるソフト）やウイルス対策ソフトのログ
- クラウドサービスのログ
ログの種類がとても多いため、SIEM（シーム）と呼ばれる「ログをまとめて分析する仕組み」を使うのが一般的です。警告（アラート）が出たら、それが本当の攻撃なのか、問題のない動きなのかを見分けます。この見分けや優先順位づけは「トリアージ」と呼ばれます。
必要な情報を集めて、くわしく調べる（イベントデータ保管）
1つのログだけでは判断できないこともあります。その場合は、ほかのログや過去の記録も集めて、何が起きたのかを確かめます。集めた記録は、あとから調べられるようにまとめて保管します。
わかったことを関係者に知らせる（通知・警告）
攻撃の可能性が高いとわかったら、関係者に知らせます。資料では、報告にまとめる内容として、被害を受けた端末、攻撃の手口や経路、情報漏えいの有無、影響の大きさ、すぐにやるべき対処などが挙げられています。
この報告がインシデント対応の出発点になります。そのため、わからないことは「わからない」とはっきり書くことも大切だとされています。
報告への質問に答える（レポート問い合わせ対応）
報告を受け取った人からの「この通信は止めたほうがいい？」「影響はどこまで？」といった質問に、メールや電話、チャットなどで答えます。外部の会社のSOCであれば、お客さまからの問い合わせに対応することもあります。
（出典：ISOG-J「セキュリティ対応組織（SOC/CSIRT）の教科書」第3.1版 付録「B. 即時分析」）
SOCアナリストの働き方と、その先のキャリア
交代勤務があるかは求人で確認する
攻撃は、夜中や休日にも起こります。そのため、監視を止めないように、夜間や休日を含む交代勤務を取り入れているSOCもあります。一方で、日中の勤務が中心で、夜間は別のチームや外部の会社に任せている職場もあります。
勤務の形は会社ごとに大きく違うので、応募の前に求人票や面接で「シフトの有無」「夜勤の頻度」を確認しておきましょう。
経験を積むと、より深い分析や対応の仕事へ
ISOG-Jの資料では、即時分析とは別に「深掘分析」というカテゴリーがあります。ログや通信の記録、パソコンに残った証拠をくわしく調べて、何が起きたのかを明らかにする仕事（フォレンジック分析など）です。
SOCで経験を積んだあとは、次のような道があります。
- 深掘分析（フォレンジックなど）の専門家
- CSIRTで、インシデント対応を指揮する役割
- 脅威情報（攻撃グループや手口の情報）を集めて分析する役割
- セキュリティの仕組みを設計・提案するエンジニアやコンサルタント
SOCでは毎日いろいろなログや攻撃の兆しに触れるため、「実際の攻撃がどう見えるか」を知っていることが、その後のキャリアでも強みになります。
SOCなどで実務経験を積んだあとに、次のキャリアを考えるときは、セキュリティ職に特化した転職エージェントに相談する方法もあります。
セキュリティエンジニアの仕事の種類や、全体のロードマップは、こちらの記事でまとめています。
▶ 未経験からセキュリティエンジニアになるには？必要なスキルと4ステップのロードマップ
SOCアナリストに必要なスキルと向いている人
必要なスキル
| スキル | なぜ必要か |
|---|---|
| ネットワークの基礎 | 通信のログを読むには、IPアドレスやポート、通信のしくみの理解が欠かせない |
| サーバー・OSの基礎 | WindowsやLinuxのログ、アカウントのしくみがわかると、あやしい動きに気づきやすい |
| 攻撃の手口の知識 | よくある攻撃のパターンを知っていると、アラートの意味を判断しやすい |
| 文章で伝える力 | 調べた結果を、相手が次の行動を決められる形で報告する必要がある |
最初からすべてを完ぺきにそろえる必要はありません。特にネットワークとサーバーの基礎は、インフラの運用や監視の仕事でも身につけられます。僕も新卒・IT未経験で、インフラ担当からスタートしました。
向いている人
- 細かい違いや「いつもと違う」ことに気づくのが得意な人
- わからないことを、自分で調べるのが苦にならない人
- 決められた手順を守りながら、落ち着いて作業できる人
- 新しい攻撃の手口やニュースに興味を持てる人
逆に、同じ作業のくり返しが続く時期もあります。「毎日まったく違う仕事がしたい」という人は、仕事内容をよく確認してから選ぶと安心です。
未経験からSOCアナリストを目指す3ステップ
ステップ1：ITとセキュリティの基礎を資格で学ぶ
まずは、ITとセキュリティの全体像を学びましょう。資格の勉強は、学ぶ範囲が決まっているので、何から手をつければいいか迷いにくいのがメリットです。
- ITパスポート：ITの基礎を幅広く学べる国家試験
- 情報セキュリティマネジメント試験：セキュリティの基本ルールを学べる国家試験
- CompTIA Security+：セキュリティの基礎を幅広く問う国際資格。実技に近い問題もある
Security+の試験の形式や難易度は、こちらの記事でまとめています。
▶ CompTIA Security+の難易度と勉強法｜日本語で受験できる？試験の形式と新バージョン（V8）の注意点
▼スマホで試験対策ができるオンライン講座
国家資格などの試験対策講座を、スマートフォンやパソコンで受講できます。通勤時間などのスキマ時間に勉強したい方に向いています。
ステップ2：ネットワークとサーバーをさわってみる
SOCではログを読む力が大切です。自分のパソコンに仮想環境を作ってLinuxを動かしたり、家のルーターの設定画面やログを見てみたりするだけでも、ログに書かれている内容がイメージしやすくなります。
なお、他人のシステムに攻撃を試すことは法律で禁止されています。練習は、自分で用意した環境や、練習用に公開されている環境だけで行いましょう。
ステップ3：監視や運用の求人から実務経験を積む
求人では、「セキュリティ監視」「SOCオペレーター」「インフラ運用・監視」といった名前で募集されていることがあります。最初は手順書にそって監視や一次対応を行い、経験を積みながら分析の仕事に広げていく流れがイメージしやすいでしょう。
応募するときは、仕事内容が「アラートを受けて連絡するだけ」なのか、「自分で分析まで行う」のかも確認しておくと、入社後のギャップを減らせます。
未経験からのセキュリティ転職の全体の進め方は、こちらの記事でくわしく解説しています。
▶ 【2026年版】未経験からセキュリティ転職で年収400万→700万｜現役コンサルが取るべき資格と転職の進め方を解説
まとめ
- SOCは、会社のシステムを見張り、攻撃の兆しを見つけるチーム。CSIRTは、見つかった問題に対処するチーム
- SOCアナリストの仕事内容は、ログの監視・分析、関係者への通知、報告への問い合わせ対応が中心
- 交代勤務の有無など、働き方は会社ごとに違うので求人で確認する
- ネットワークとサーバーの基礎、攻撃の手口の知識、伝える力が大切
- 未経験からは「資格で基礎を学ぶ → 実際にさわってみる → 監視・運用の仕事で経験を積む」の順に進むのが現実的
SOCは、実際の攻撃にふれながらセキュリティの経験を積める仕事です。まずは資格の勉強から、一歩ずつ始めてみてください！