ホワイトハッカーとは？なり方・資格と年収565万円の現実

「ホワイトハッカーになりたいけれど、何から始めればいいの？」——このページを開いた方の大半は、たぶんこれが知りたいのですわよね。

ですから最初に答えを置いておきます。**ホワイトハッカーになるのに免許も国家資格も要りません。**必要なのは、①ネットワークとOSの基礎、②合法な演習環境での手数、③それを第三者が確認できる形にした実績——この3つだけ。順番を守れば、未経験からでも1年で入口には立てますの。

そのうえで、お金の話も先に済ませておきましょう。求人ボックスが掲載求人から算出したセキュリティエンジニアの平均年収は565万円（2026年7月時点）。定番のCEH講座は日本語版で651,200円（税込）。国家資格・登録セキスペの登録者は全国で26,453名（2026年4月1日時点）。この記事では、こうした数字をすべて出典付きで並べていきますわ。🌹

ホワイトハッカーとは？——分けているのは技術力ではなく「許可」

#

ホワイトハッカーとは、コンピュータやネットワークの高度な知識を、持ち主の許可を得たうえで防御のために使う専門家のことですの。「エシカルハッカー（倫理的ハッカー）」とも呼ばれますわ。

ここで一番大事なことを申し上げます。ホワイトハッカーとブラックハッカーを分けているのは、技術力ではありません。「許可の有無」だけですのよ。同じnmapを叩いても、契約書のある診断なら仕事、無ければ犯罪。この線は思っているよりずっと細くて、そして絶対に踏み越えてはいけないものですわ。

サイバーセキュリティの世界では、ハッカーを帽子の色で分類する慣習がありますの。アメリカ西部劇で「善人は白い帽子、悪人は黒い帽子」という表現に由来していますわ。

グレーハットについては、後の「法律の線引き」の章で改めて触れますわ。善意のつもりが通報される、という事故が現実に起きている領域ですから。

レッドチーム・ブルーチーム・パープルチームの違い

#

企業のセキュリティ部隊は、役割で色分けされていますの。求人票にもそのまま出てくる言葉なので、押さえておくと職種選びが一気にラクになりますわ。

レッドチーム（Red Team）——攻撃を模倣する側

#

実際の攻撃者になりきって、組織のシステムに侵入を試みる部隊ですの。

• ペネトレーションテスト：合意されたスコープ内で侵入を試み、通った経路を報告する
• ソーシャルエンジニアリング：訓練用の偽フィッシングメールを社員に送り、クリック率を測る
• 物理侵入テスト：入館証の運用不備を突けるかを検証する

「攻撃者に先回りする」のが仕事で、見つけた穴は必ず報告書にして防御側へ渡します。壊すのが目的ではありませんのよ。

ブルーチーム（Blue Team）——守り続ける側

#

24時間365日、組織を守る防御部隊。人数でいえばセキュリティ人材の大半はこちら側ですわ。

• SOC（Security Operation Center）：ログを常時監視し、異常を検知する
• インシデントレスポンス：侵害が起きたときに封じ込め・調査・復旧を行う
• フォレンジック：侵入経路と被害範囲をデジタル痕跡から特定する

未経験からの入口として現実的なのは、圧倒的にこのブルーチーム側——特にSOCアナリストですの。求人数が多く、育成前提の採用も多いからですわ。

パープルチーム（Purple Team）——赤と青を橋渡しする

#

レッド（赤）とブルー（青）を混ぜると紫。文字通り、攻守を往復して組織全体の検知能力を上げる役割ですの。

レッドが「侵入できました」と報告して終わり、ブルーが「検知できませんでした」で終わり——では組織は何も強くなりません。攻撃手法を再現しながら、検知ルールがちゃんと発火するまで一緒に詰めるのがパープルの仕事ですわ。近年もっとも需要が伸びている働き方ですの。

ホワイトハッカーになるには？——現実的な3ステップ

#

「なるには」の答えを、遠回りせずに書きますわ。

1. 土台をつくる（ネットワーク・Linux・HTTPの基礎）
2. 合法な環境で手を動かす（TryHackMe／HackTheBox／自宅の仮想環境）
3. 第三者が確認できる実績にする（CTFの順位、writeup、GitHub、届出実績）

このうち②と③を飛ばして資格だけ取る人が本当に多いのですけれど、それだと面接で詰まりますの。この業界は「何を知っているか」より「何をやったか」を見る文化ですから。

もう少し噛み砕くと、こうなりますわ。

派手な攻撃技術から入りたくなる気持ちは分かりますわ。でもネットワークとOSの基礎がないまま学ぶと、必ず途中で行き詰まります。遠回りに見えて、ここが最短経路ですのよ。

資格ロードマップと、実際にかかる費用

#

資格は「書類選考を通過するための道具」。実績は「面接で語れる中身」。そう割り切ると迷いませんわ。

ステップ1：土台（未経験〜1年目）

#

ステップ2：専門性を示す（2〜3年目）

#

登録セキスペの規模感も、実数で見ておきましょう。IPAの公表によれば、2026年4月1日時点の登録者は26,453名、同日付の新規登録は1,859名ですの。新規登録者の平均年齢は37.9歳、勤務先の地域は関東が67.0%——つまり「若いうちに取る資格」ではなく、実務を積んだ人が30代で取りに来る資格だということが数字に出ていますわ（出典：IPA）。

なお、日本語で受けられるCEHの公式講座は、国内マスターディストリビュータであるGSXの「CEH v13 Elite」で651,200円（税込）／5日間（電子・物理テキスト、演習環境iLabsのID6か月分、試験バウチャー込み）ですの（出典：GSX）。個人の自腹ではまず厳しい金額ですから、会社の研修予算を取りに行くのが現実的な戦略ですわ。

ステップ3：実力を証明する（上級）

#

OSCPの価格はOffSec公式のLearn Oneページに記載の額ですわ（1年間のコース＋ラボ＋試験2回のサブスクリプション）。

攻撃側（レッドチーム）を目指すならOSCP、組織の責任者を目指すならCISSP、という分岐になりますの。

ホワイトハッカーの年収は？——求人統計の実測値

#

いちばん気になるところを、推測ではなく求人統計で見ますわ。

求人ボックス「給料ナビ」が掲載求人から算出したセキュリティエンジニアの平均年収は565万円（2026年7月21日更新）。内訳はこうですの。

地域差もはっきり出ていますわ。最も高いのは東京都の635万円、最も低いのは熊本県の427万円で、その差は209万円。リモート前提でないなら、住む場所が年収に直結する職種ですのよ（出典：求人ボックス 給料ナビ）。

参考までに、厚生労働省「賃金構造基本統計調査」の**「システム・エンジニア」の平均年収は556万円**（平均年齢38.5歳、勤続11.7年）。つまりセキュリティ職は、一般的なSEと比べて劇的に高いわけではないというのが正直なところですわ。

「ホワイトハッカーは億を稼ぐ」といった話が出回りますけれど、中央値は565万円。上振れの余地が大きい（上限1,148万円）職種だ、というのが実態に近い理解ですの。べ、別に夢を壊したいわけじゃありませんのよ。ただ、嘘の数字でその気にさせるほうが失礼でしょう？

「人材不足だから稼げる」は本当か

#

ここで、よく引用される数字の誤用を1つ正しておきますわ。

「経済産業省の試算で2030年に約79万人不足」——この数字、セキュリティ人材の数ではありません。経産省「IT人材需給に関する調査」（2019年3月・みずほ情報総研）が示した、IT人材全体の需給ギャップ（最大約79万人）ですの。セキュリティ人材だけの数字として引用しているページが多いのですが、誤りですわ。

では、セキュリティ人材の実態はどうか。ISC2「2025年版サイバーセキュリティ人材調査」（世界16,029名、うち日本1,225名）が示したのは、課題が**「人員不足」から「スキル不足」へ移っている**という変化ですの。

• 世界の回答者の95%が何らかのスキル不足を抱え、うち「重大または深刻」は59%
• スキル不足を抱える組織の**88%**が、それに起因する重大インシデントを最低1回経験
• 日本では**42%**が「必要な人材を確保できない」と回答（世界は29%）
• 日本の**39%**が「企業が競争力のある給与を提示していない」と回答（世界は25%）

最後の1行が、先ほどの年収565万円という数字とみごとに符合しますわね。日本は「人がいない」のではなく「払っていない」——それがISC2の調査から読み取れる構図ですの。裏を返せば、スキルを証明できる人にとっては交渉余地が大きい市場だ、ということでもありますわ。

学校・警察・自衛隊——ホワイトハッカーへの進路

#

「専門学校に行くべき？」という質問もよくいただきますわ。

**必須ではありません。**独学で入った人も、情報系大学から入った人も、まったく別業界から転職した人もいますの。ただ、ルートごとに向き不向きははっきりしていますわ。

意外と知られていないのが公的機関のルートですの。警察庁にはサイバー特別捜査部があり、関東管区警察局に置かれた国の捜査機関として、対処に高度な技術を要する事案や海外の攻撃集団による攻撃を担当していますわ（出典：警察庁）。都道府県警のサイバー犯罪捜査官も、社会人経験者採用の枠がありますの。「民間の診断会社だけが進路ではない」というのは、覚えておいて損のない話ですわ。

脆弱性を見つけてしまったら？——IPA届出とバグバウンティ

#

ここが日本語のホワイトハッカー解説でいちばん抜けている部分ですので、丁寧に書きますわ。

日本には公的な届出窓口がある

#

他社のサイトやソフトに脆弱性を見つけたとき、開発元に直接連絡するのは推奨されません。相手が受け入れ体制を持っていないと、善意の連絡が「不審なアクセス」として扱われる事故が起きるからですの。

日本には、経済産業省告示にもとづくIPAへの届出制度がありますわ。IPAが受理し、JPCERT/CCが開発者と調整して修正を促す——という公式ルートですの。

実際にどのくらい使われているかというと、IPAの公表でソフトウェア製品の届出は累計6,716件、ウェブサイトは累計13,599件（いずれも2026年第2四半期時点）。直近四半期だけでソフトウェア製品182件、ウェブサイト65件が届け出られていますわ（出典：IPA）。

バグバウンティを実施していない相手でも、合法的に報告する道がある——これは日本で活動するなら必ず知っておくべき制度ですの。

バグバウンティの現実

#

企業が「脆弱性を見つけたら報奨金を払います」と公表する制度がバグバウンティですわ。HackerOne、Bugcrowdが世界的な大手で、国内でもサイボウズ、LINEヤフー、メルカリなどが独自プログラムを運営していますの。

ただし、期待値は正しく持ってくださいまし。

• 初報告で高額報奨金が出ることは稀。重複報告（すでに他の人が報告済み）で無報酬というケースが大半ですわ
• スコープ（対象範囲）を必ず読むこと。範囲外への攻撃は報奨どころか法的責任を問われます
• 最初に見つかるのは「情報開示」「設定不備」といった軽微なものがほとんど

それでも、実務経験のない人が職務経歴書に書ける実績をつくれるという一点で、バグバウンティの価値は非常に大きいですのよ。

法律の線引き——ここを間違えると一発で終わる

#

日本では不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）が線を引いていますわ。罰則は警察が明示しているとおりですの。

（出典：愛媛県警察 サイバー犯罪対策課）

「勉強のためだった」は通用しませんわ。練習は必ず、攻撃が許可された環境で行ってくださいまし。

• TryHackMe、HackTheBox などの学習プラットフォーム
• 自宅の仮想環境（VirtualBox＋Kali Linux＋やられ役サーバー）
• 公式に開設されたバグバウンティプログラムのスコープ内

そして、先ほど触れたグレーハットについて。**許可なく他人のシステムの脆弱性を探す行為は、悪用しなくても、報告するつもりでも、日本では違法になり得ます。**当ブログとしては推奨いたしませんわ。やるなら診断契約かバグバウンティのスコープ内、それ以外に道はありませんの。

2026年、日本で実際に起きていること

#

学ぶ内容を決めるうえで、いま日本で何が起きているかを数字で押さえておきましょう。感覚ではなく公表統計で見ますわ。

IPA「情報セキュリティ10大脅威 2026」【組織】

#

（出典：IPA 情報セキュリティ10大脅威 2026）

3位に「AIの利用をめぐるサイバーリスク」が初登場したのが、2026年の最大の変化ですわ。攻撃にAIが使われるだけでなく、自社が導入したAIそのものがリスク源になる——という視点が主流になったということですの。

警察庁の実測（令和7年＝2025年）

#

警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月公表）から、押さえるべき数字を引きますわ。

• ランサムウェア被害報告件数：226件。被害企業の約6割が中小企業、業種別では製造業が約4割
• 復旧に総額1,000万円以上を要した組織が5割超。1か月未満で復旧できた組織は5割強にとどまる
• フィッシング報告件数：245万4,297件（フィッシング対策協議会集計）
• ネットバンキング不正送金：4,747件・約103億9,700万円。うち手口の約9割がフィッシング
• 生成AIを利用した不正プログラム作成・フィッシングサイト構築の事例が報告され、攻撃者の裾野が広がっている

「大企業が狙われる世界の話」ではありませんのよ。被害の6割は中小企業で、半数以上が復旧に1,000万円超を払っている。これが日本のいまの数字ですわ。

だからこそ学習の優先順位も決まりますの。ランサムウェアの初期侵入経路（VPN機器の脆弱性、認証情報の窃取）を理解することが、いちばん実務に直結しますわ。

投資家としてサイバーセキュリティを見るなら

#

当ブログは投資ブログですので、この分野を「銘柄」として見た視点も添えておきますわ。

セキュリティ支出は景気が悪くても削りにくいという特徴がありますの。侵入されれば事業が止まりますから、企業にとってセキュリティは「コスト」ではなく「保険」に近い性質を持つのですわ。先ほどの警察庁データ——復旧費用1,000万円超が5割——が、まさにその不況耐性の根拠になっていますのよ。

• CrowdStrike（CRWD） — エンドポイント防御のリーダー。詳しくはCRWD徹底分析をご覧くださいまし
• Palo Alto Networks（PANW） — ネットワークセキュリティの総合ベンダー
• Zscaler（ZS） — ゼロトラスト／クラウドセキュリティ
• ETFで分散するなら — HACK・CIBR・BUGの比較をどうぞ

日本の金融機関がフロンティアAIのリスクにどう向き合っているかはこちらの記事に、AI基盤側の動向はDatabricks Data+AI Summitのまとめにまとめてありますわ。

技術を学ぶ側と、そこに投資する側。両方の視点を持てると、業界の動きが立体的に見えてきますのよ。

よくある質問（FAQ）

#

Q. ホワイトハッカーになるのに資格は必須ですか？ A. 必須ではありませんわ。免許制の職業ではありませんの。ただし書類選考を通過する道具としては有効で、国内なら情報処理安全確保支援士、国際的にはCompTIA Security+やCEHが求人要件によく登場しますわ。

Q. 文系・非エンジニアでもなれますか？ A. なれますわ。技術の独学は必須ですけれど、監査・コンプライアンス・セキュリティ管理といった領域では、文書作成力とコミュニケーション能力がそのまま強みになりますの。

Q. 数学は必要ですか？ A. 暗号理論を専門にするなら必要ですわ。ペネトレーションテストやSOC業務では、高度な数学はほとんど使いませんの。

Q. 独学だけで就職できますか？ A. 可能ですけれど、成果物の可視化が条件ですわ。CTFの順位、HackTheBoxのランク、GitHubのwriteupなど、第三者が確認できる形にしておくことが決定的に重要ですの。

Q. 英語は必要ですか？ A. 実質的に必須ですわ。脆弱性情報もツールのドキュメントも最新の攻撃手法も、ほぼすべて英語が先行しますの。読解ができれば十分で、会話力は必須ではありませんことよ。

Q. 未経験からだと、最初はどの職種を狙うべきですか？ A. SOCアナリストですわ。ブルーチーム側は求人数が多く、育成前提の採用も比較的多いですの。ペンテスターは経験者採用が中心で、未経験からいきなりは狭き門ですわ。

Q. グレーハットとは何ですか？ A. 許可を得ずに脆弱性を探すものの、悪用はせず報告する立場ですわ。善意であっても日本の法律では違法になり得ます。見つけてしまった場合は、開発元に直撃するのではなくIPAの届出制度を使ってくださいまし。

Q. 何歳からでも目指せますか？ A. ええ。登録セキスペの新規登録者は平均37.9歳、30代が33.5%・40代が23.8%を占めていますわ（IPA・2026年4月1日付）。実務経験を積んでから来る人のほうが多い職種ですのよ。

まとめ

#

長くなりましたので、要点を整理しますわ。🌹

1. **ホワイトハッカーに免許は不要。**分けているのは技術力ではなく「許可の有無」だけですの
2. **なり方は3ステップ。**基礎 → 合法な環境で手を動かす → 第三者が確認できる実績にする
3. 年収の実測は565万円（求人ボックス・2026年7月／東京都は635万円）。夢の数字ではなく、上振れ余地の大きい現実的な職種ですわ
4. **「2030年に79万人不足」はIT人材全体の数字。**セキュリティ人材の数として引用するのは誤りですの
5. **日本の課題は人数よりスキルと待遇。**日本の39%が「競争力ある給与が提示されていない」と回答（ISC2 2025）
6. **未経験の入口はブルーチーム（SOC）。**求人数と育成前提採用の多さが理由ですわ
7. **脆弱性を見つけたらIPAへ届出。**バグバウンティのない相手でも合法に報告する制度がありますの
8. **不正アクセスは3年以下の懲役または100万円以下の罰金。**善意でも許可なく探せば違法になり得ますわ

技術は正しく使えば人を守りますし、間違って使えば人生を壊します。その差は「許可」というたった一枚の紙切れですのよ。……ふん、べ、別に心配しているわけじゃありませんわ。ただ、あなたには正しいほうの側にいてほしいだけですの。

関連記事

#

• CrowdStrike（CRWD）徹底分析｜AI×サイバーセキュリティ銘柄の成長性と買い方
• HACK・CIBR・BUG比較｜サイバーセキュリティETF完全ガイド
• フロンティアAIと金融機関のサイバー防衛戦略｜3メガバンク・NEC・5大証券の対応
• Databricks Data+AI Summit 2026 発表まとめ