今回のコラムの結論を先に言う。採用したいなら、一度馬鹿になった方が良い。つまりは「転職市場や業界、ましてやシステムの意図など何もわからない候補者」の立場を想像した方が良い。
採用に関わっている方は頭が良すぎる、「知りすぎている」そしてそれが常識だといつの間にか思ってしまっている。
そうじゃなくて「分からなくて当然だよね」という気持ちで採用をすれば、きっとうまくいく。
転職サイトの選択肢、すべて分かりますか？
「業種って、何？」
先日、知人にこう聞かれてハッとした。
転職サイトに登録するとき、最初に出てくるのが業界・業種の選択だ。
業種を押してみると選択肢に「IT・インターネット」「インターネットサービス」「デジタルマーケティング」「SIer」「ソフトウェア」「ハードウェア」「通信・キャリア」「その他」...等と出てくる。
ここで質問。
「IT・インターネット」と「インターネットサービス」の差を説明できるだろうか。
どっちも「インターネット」ってついているじゃないか...普通こう思うはずだ。IT業界にいたとしても説明できる人は少ないと思う。
次に「職種」を選んでみる。「IT」の文字があるところを選択するとさらに選択肢が出てきて「Webサービス」「IT技術職」「プロジェクト管理」...等が出てくる。
「僕はIT業界にいて技術者をやっているけど、Webサービスも触っている」、こんな候補者はどっちを選べば良いんだろうか？
試しにIT技術職を選んでみる。すると
SE（Web・オープン系）
SE（汎用系）
SE（制御・組み込み系）
フロントエンドエンジニア
インフラエンジニア
サーバーエンジニア
ネットワークエンジニア
...
ここでまた質問。
「汎用系って、何ですか？」
※答え：COBOL等をやっている方が選ぶのが正解です。ただ、自身の関わっているサービスが“汎用的”なものだったらこれを選びたくなりませんか？
加えて、
・フロントエンドについて説明できますか？
・インフラエンジニアってサーバーもネットワークも含みませんか？
などなど、疑問が絶えないと思う。
それぞれの道のスペシャリストは他の業界用語なんてわからないし、「その道では一般的」だとしても非業界人には何のことだかさっぱりわからない。
汎用って言われたら“一般的”には「特定の用途に限定せず幅広い物事や状況に広く利用できること」と思いますよね？
以前ERP、特にSAPのスペシャリストが「汎用系」を選択していたことがある。気持ちは分かる。
「あぁCOBOLやメインフレームのことね」となるのは余程の業界人だけだと思う。
私もそうだった。1社目のソフトバンクにいた頃、5年経っても「SIer」が読めなかった。今でも、事業会社の人と面談すると、ほとんどの人が正確には分かっていない。説明すると「ああ、ベンダーさんのことですか」と反応する。事業会社の人にとっては「エスアイアー」ではなく「ベンダー」なわけだ。
このように候補者のほとんど、体感では99%が、自分の業種や職種を正確に言えない。 プルダウンも「なんとなく」で選んで、しかも間違えている。最初になんとなく選んだだけで、後から修正など当然しない。
これは候補者が悪いのではない。「綺麗に作られたそれこそ“汎用的な”」選択肢を、「一部しか知らない人」が選ばされている。
ちなみにこのシステムを作っている人が悪いわけでも当然ない。
転職サイトを企画して作っている方だって、「一部の」スペシャリストであり、デザインやプロジェクトマネージャーなどには詳しくない可能性が高い。
だがそれこそ「全業界・業種の方が選べるように」ある意味知ったかぶって作っているのだから、ズレて当然だ。
余談だが、「転職サイト」を作っているまさにその人を支援したことがある。
その方に聞いたところ「あぁ、業界業種は既に決まった選択肢があって、さらに他社がそうやっているから合わせて増やしたりしているだけで、僕も用語は全然わかりません。僕ってデザインも見てはいますがデザイナーじゃないし、よく分かりませんよね」ということだった。
これが唯一無二の真実だ。
そして、このズレが一番ひどいのが、セキュリティ採用の現場だ。
そもそも、転職サイトに「セキュリティ」がない
私は採用コンサルとして、セキュリティ人材の採用支援を主な仕事にしている。
求人票も毎日のように作るが、その求人を媒体に出そうとすると、毎回壁にぶつかる。そもそも主要な転職サイトに、「セキュリティエンジニア」というチェック項目が無いことが多いのだ。
総合型の転職サイトには、「セキュリティ」というカテゴリ自体が無いことがある。あっても「セキュリティエンジニア」がひとつだけ。
IT特化型の転職サイトやスカウトサイトでも、セキュリティだけ分かれていることは極めて少ない。「クラウド」「DevOps」「フロントエンド」「バックエンド」などは細かく選択肢にあるのに、「セキュリティ」だけは一つも無かったりする。
「セキュリティ」のチェックが無ければ、候補者は「インフラエンジニア」か「アプリケーションエンジニア」を選ぶしかない。
もし「セキュリティエンジニア」があったとしても、1つしかないわけだから、診断もSOCもフォレンジックも製品エンジニアもマルウェア解析者もOSCPを持っている人もなんでも、全部そこに押し込まれる。
採用する側も、同じところで困っている。
検索フィルタに「セキュリティ」が無いため、フィルタでは絞り込めない。
「IT・通信」や「インフラエンジニア」で広く拾おうとすると、今度はノイズだらけになる。
「セキュリティ」という言葉で検索すれば、警備員や物理セキュリティの人まで出てくる。
候補者は「これでいいのかな」と曖昧にチェックして、登録したら自分が何を選んだのかも忘れる。
採用側は、その不正確なチェックを頼りに、人を探し続ける。すれ違うに決まっている。構造が、そうなっているのだから。
「Web診断経験者が欲しい」と思っても、誰もチェックできない
具体的に書いてみる。セキュリティの代表的な仕事である、Web診断とPF（プラットフォーム）診断のケースだ。
あなたが「Web診断経験者が欲しい」と思っている採用担当者だとしよう。
転職サイトで探そうと思っても、当然チェックボックスに「Web診断」なんてものはない。
そこまで細かく分かれている媒体はそうそうない（あったら知りたい）。
では、Web診断をやってきた候補者が登録すると、どうなるか。職種を選ぼうとしても、「Web診断」どころか「セキュリティエンジニア」すら無い。
どこにチェックすればいいのか...ここで判断はばらける。
- 「ソフトウェアエンジニア」を選択するパターン：もともと開発出身で、診断は後から始めた人なら、こっちがしっくりくる
- 「サーバーエンジニア」を選択するパターン：Webサーバーを見ているしな、と思い（インフラの意味合いが強いのに）選んでしまう
- 何も選ばない：迷ったあげく、空欄のまま登録する
それに対して、採用担当者はどういう視点でリサーチするかというと
「『ソフトウェアエンジニア』は開発者だろうな。今ほしいのはWeb診断の経験者で今後もWeb診断をやりたい人から、ここをチェックしている人は外そう。インフラ系（サーバーエンジニア）はそもそも除外」
そう判断した瞬間に、「ソフトウェアエンジニア」「サーバーエンジニア」を選んでいたWeb診断経験者は、まとめて候補から消える。 どれだけ腕のいい診断員でも、リサーチ結果に出てこない。
出てこないから、採用側は「今月もWeb診断の経験者がいない」と思ってしまう。
本当はいたかもしれないのに、こうやって漏れが起こる。
ちなみにPF診断になると、もっとややこしい。媒体によって、「インフラエンジニア」ひとつだったり、「ネットワーク」「サーバー」に分かれていたり、「クラウド」まであったり、最近は「DevOps」「SRE」まで独立していたりする。粒度が、てんでばらばらなのだ。
インフラエンジニアについては細かく分かれているのに「セキュリティエンジニア」が無いという場合、PF診断経験者はどこを選ぶか？
- 「ネットワークの設計構築はやってないけど、サーバーの脆弱性は見てきた。サーバーエンジニアでいいか」
- 「クラウド環境の診断もしてるから、クラウドエンジニアかな」
- 「インフラ全般を見てるし、インフラエンジニアにしておこう」
採用側はというと、そもそも人事がサーバーとネットワークの違いを分かっていないことも多い。探しようがない。何ならWeb診断経験者やセキュリティ設計をしている人を探して来たりする。
だからといってセキュリティ知見のある現場の人間が自分で探しても、うまくいかない。
「ネットワークの経験はほしいな」とネットワークエンジニアで絞れば、Cisco系の“ザ・ネットワークエンジニア”ばかり出てきて、「いない」となる。
じゃあ「サーバーエンジニア」で絞って、さらに「脆弱性診断」という言葉も足してみる。...誰も出てこない...「スカウトサイトに人はいない」という結論で3日で諦める。
※本当に、1日探して一人もいないというのが当然の業界です。
「分かっていない人」が作って、「分かっていない人」が使う
これは、セキュリティに限った話ではない。
「自分はPdM（プロダクトマネージャー）だ」と思っている候補者も、選択肢に「PdM」が無くて「PM」しか無ければ、「PM」を選ぶしかない。採用側は「プロジェクトマネージャー」のつもりで「PM」を絞る。すると、プロダクトマネージャーが混ざってくる。これに「プレイングマネージャー（PM）」まで混ざってくるとカオスな状況になる。
PdMとPMの線引きをめぐる議論は、いつまでも終わらない。PdMの人がPM扱いされて、気分を害することもある。
エージェント時代に、候補者から怒られたことは数えきれないほどある。
「アーキテクトという言葉を、軽々しく使わないでください」と、スカウトに苦情が来たこともあった。インフラエンジニアはどこまでを指すのか、DBエンジニアは入るのか、ミドルウェアは含むのか。職種の境目をめぐる論争は現場で尽きないし、一人ひとりのこだわりは、こちらの想像よりずっと強い。
私自身、エージェント時代、5年目にやっとPdMとPMの違いが腹に落ちた。
「アセットマネジメント」という言葉も、金融業界の候補者に教わって、ようやく正しく分かった。
ITに特化したエージェントであっても、隣の業界の言葉は分からない。そして、IT分野の中でも、セキュリティは最難関だ。
では、転職サイトを作る側はセキュリティのことを分かっているのか。答えは「いいえ」だ。分かっていたら、「セキュリティエンジニア」ひとつで済ませるわけがない。 もっと細かく分けたくなるはずだ。サイトを企画する人も開発する人も、セキュリティの現場は知らない。企画者であり開発者であって、現場の人間ではないのだから当たり前だ。
その前提で、明日からは採用媒体に向き合った方が良い。
採用したいなら、馬鹿になれ
ひとつの業界に10年以上もいると、「分からない人の気持ち」が分からなくなる。
だから私はいつも「一度素人に戻る」ことを意識している。言い方は悪いが「馬鹿になった方が良い」。
採用でも、コンサルでも、教育でも同じだと思う。相手がどこでつまずいているのか、その原因は何なのか、そこを見失った瞬間に、何も伝わらなくなる。
「分からない人の立場に立てる人」が、一番強い。
「このサービス、自分本位になっていたな」。
ふと、そう気づく瞬間はないだろうか。売上が伸びない。問い合わせが少ない。
採用で言えば、スカウトに返信が来ない、応募が来ない、内定を辞退される…
そういう壁にぶつかった時こそ、一度「馬鹿になる」と見えてくるものがある。
セコネのセキュリティ採用支援
弊社はこの「馬鹿になる」視点を究極に突き詰めて、採用の常識を捨てて支援している。
「候補者はこう思うはずだ」「セキュリティエンジニアはこう言えば興味を持つはずだ」「求人票にこう書くとSOCエンジニアは振り向いてくれるのではないか」
転職者の気持ちになって考えれば、行き詰まったセキュリティ人材採用にも活路は見いだせるはずだ。
「業種って、何？」も、消えていったWeb診断経験者も、根っこは同じです。御社の求人やスカウトでも、今まさに「欲しい人」が取りこぼされているかもしれない。一度、外の目で見直してみませんか。
著者：高田 祥
セキュリティ人材専門の採用コンサルタント。株式会社セコネ代表。
情報処理安全確保支援士（登録番号 第019946号）。上級個人情報保護士。個人情報保護監査人。CompTIA Security+。
セキュリティベンダー・SIer・事業会社などのセキュリティ採用を、職種設計からスカウト・面接設計まで一貫して支援。