CEH取得者が任される仕事の範囲

結論

CEHで年収がいくら上がるかという単純な数字は存在しません。給与を動かすのは資格そのものではなく、その資格をきっかけに就ける職種、雇用主がその資格をどう評価しているか、そしてそこに積み上げる実務経験です。この記事では「CEHがどんな職種の扉を開き、企業がそれをどう見て、取得後に何を積み上げれば評価につながるか」を具体的に整理します。金額そのものを知りたい場合は、まず自分が狙う職種と市場相場を調べる方が近道です。CEHという資格自体の位置づけは資格の概要ページにまとめてあります。

CEHが実際に開く職種

CEHが強いのは、SOCアナリスト（Tier1〜Tier2）、脆弱性診断のジュニアポジション、セキュリティコンサルタントへの入り口、そして官公庁・防衛関連の取引先を持つ企業でのコンプライアンス要件を満たすポジションです。もともとCEHは「攻撃者の思考プロセスを体系的に理解する共通言語」として設計されており、未経験〜浅い経験からセキュリティ職に転向する際の足切り通過に向いています。

一方で開かないのは、シニアペネトレーションテスター、レッドチームリーダー、セキュリティアーキテクトのようなポジションです。これらは実務経験と実技型の証明（OSCPなど）を前提に募集がかかることがほとんどで、CEH単体では応募条件を満たせません。官公庁案件の調達仕様書でEC-Council系資格が明示指定されるケースがあるのも、CEHが「入り口の職種」で強い理由の一つです。

履歴書でCEHが果たす役割と、果たさない役割

果たす役割ははっきりしています。ATS（応募者追跡システム）のキーワードフィルタを通過させること、面接に進む最低条件を満たすこと、そしてNetwork and Perimeter HackingやWeb Application Hackingといった攻撃手法の体系を学んだことの証明です。

果たさない役割は「実際に手を動かして侵入できる」ことの証明です。CEHの標準的な受験形態は選択式試験であり、実技での証明力はOSCPほど強くありません（実技版のCEH Practicalは別に存在しますが、履歴書上で語られる「CEH」は知識偏重と見なされがちです）。履歴書の職務経歴欄にCTFの実績やGitHubのwrite-upを併記しないと、「知識はあるが手を動かせるかは未知数」の候補者として扱われます。

企業はCEHをどう位置づけているか

読み手は二種類います。一つは人事・調達担当者で、資格名をコンプライアンス上のチェック項目として見ます。もう一つは技術面接官で、「足切りは通過したが実力の証明にはならない」と見る傾向が強いです。

多くの技術系採用担当者は、CEHを「セキュリティの用語と全体像を知っている証拠」として扱い、「実践力の証明」としては扱いません。これはOSCPやCRESTと比較したときに特に顕著です。大企業のセキュリティ部門では、CEHは新卒や未経験からの転向者を評価する際の判断材料の一つとして使われることが多く、中途の即戦力採用ではほとんど重視されません。

CEHが評価される業界、評価されにくい業界

評価される業界は、政府調達関連、防衛産業、公共部門クライアントを持つ大手コンサルティングファーム、MSSP（マネージドセキュリティサービス事業者）です。理由は明快で、入札仕様書や社内規定に「情報セキュリティ資格保有者」という要件が明記されているケースがあるためです。

評価されにくいのは、プロダクト企業の社内セキュリティチーム、バグバウンティや脆弱性リサーチ専業の組織、レッドチーム専業のブティック企業です。ここではCTFのランキング、公開した脆弱性、独自ツールの開発実績の方が資格より重視されます。スタートアップは資格をほとんど見ず、GitHubや技術ブログを見る傾向があります。

面接でCEHについて何を聞かれるか

定番は、ドメイン名を出さずに実務シナリオとして聞かれる質問です。「Reconnaissance Techniquesの段階で最初に何を確認するか」「Web Application HackingでSQLインジェクションを見つけた場合の対応手順」など、暗記の有無を見分けることが目的です。

「CEHで学んだ内容を実際の環境でどう使ったか」という具体例を求められることがほとんどで、自宅ラボやCTFの経験を聞かれた際に、資格だけで止まっている候補者と実践している候補者が明確に選別されます。試験形式そのものを聞かれることは少ないですが、CEH PracticalとCEHの違いを聞かれる場合に備えて試験形式のページで整理しておくと安心です。

CEHは実務経験とどう関係するか

実務経験ゼロでCEHだけを持っている場合、価値は「面接に進むための足切り通過」に限定されます。逆にSOCで1〜2年の実務経験を積んだ人がCEHを取得すると、ペネトレーションテスト職への社内異動や転職の後押し材料になりやすくなります。

つまり、資格が経験を補うのではなく、経験が資格の説得力を補う関係です。経験なしでCEH系の資格をいくつ重ねても、実務経験1年分の説得力が生まれることはありません。

次に取るべき現実的なステップ

技術をさらに深めたいなら OSCP が一般的な選択肢です。CEHが「概念と手法を選択式で問う」のに対し、OSCPは長時間の実技試験で実際に対象システムへの侵入を要求します。ceh oscp 難易度で検索されるほど両者の性質は異なり、CEH合格の勢いでOSCPも同程度だろうと軽く見ると苦戦します。

マネジメントやガバナンスの方向に進みたいなら CISSP です。CISSPは実務経験年数の証明が前提で、System Hacking Phases and Attack Techniquesのような攻撃技術ではなく、リスク管理や組織のセキュリティ統制を問います。cissp ceh 難易度という検索が多いのは、この二つがそもそも別の物差しで能力を問うているためです。

攻撃技術をさらに専門化したいなら、CEH Masterのような同一ベンダー内の上位資格も選択肢に入ります（ceh master 難易度で調べる人が多い理由もここにあります）。ただし、この選択肢が本当に良いかは次の項目の判断が先です。

次の階級より別ベンダーへの乗り換えが有効な場面

就職先の市場やチームがOSCP、CREST、GIACのような実技系資格をより高く評価する場合、EC-Council系列を積み増す（CEH Masterに進む）よりOSCPに切り替えた方が評価が上がりやすくなります。

資格が「入札要件のチェック項目」としてしか機能しない環境（官公庁案件など）では、維持コストの低い資格を選ぶ方が合理的で、必ずしも上位資格に進む必要はありません。技術面接官がいる転職先を狙う場合も、CEH Masterより実技証明（OSCPやCTFの実績）の方が説得力を持つケースが多いです。

逆に、社内評価制度や取引先要件がEC-Council系の資格を明示している場合は、そのままCEH Masterへ進む方が合理的です。判断基準は「誰がそれを評価するか」であり、資格の上下関係ではありません。

資格を活かすために並行して積むべきもの

自宅ラボでの実践（Hack The BoxやTryHackMeなどでの継続的な演習）が最低ラインです。CTFへの参加実績、あるいは最低限のwrite-upの公開も効果があります。

GitHubで小さなツールやスクリプトを公開しておくと、CEHで学んだ手法を実装した形跡があるだけで説得力が変わります。可能であれば一件でも実案件（バグバウンティの報告実績、社内での脆弱性診断の実施記録）を作ることが理想です。これがないと、CEHは「勉強した証拠」で止まります。

プロフィールと面接での使い方、盛りすぎない伝え方

LinkedInや職務経歴書には資格欄に淡々と記載するのが基本です。「Certified Ethical Hacker」を肩書のように名乗ったり、プロフィール冒頭で強調しすぎると、技術者からは逆に「実務経験が薄い人」という印象を持たれやすくなります。

面接では資格を話の枕にして、すぐに具体的な演習内容や自分で調べた事例に移るのが有効です。「CEHで学んだNetwork and Perimeter Hackingの手法を、自宅ラボで実際に試しました」のように、資格名を実例とセットで出します。資格だけを根拠にレッドチームやシニアポジションを主張しないことも重要です。面接官はその主張と実技力のギャップをすぐに見抜きます。

CEHが効かない場面と、時間の使い道

すでにOSCPやCRTOを保有している、または実務でのペネトレーションテスト経験が3年以上ある場合、CEHの取得は評価に対してほぼ意味を持ちません。

志望先がバグバウンティ専業やレッドチーム専業のブティック企業など、実技証明しか見ない環境の場合、CEHの学習時間はCTFや自宅ラボの構築に回した方が費用対効果が高くなります。地域や業界の求人がEC-Council系の資格を要求していないなら、コンプライアンス目的の資格取得は後回しにしてよい判断です。

よくある質問

Q: CEHを取ると年収はいくら上がりますか？ 資格単体で決まる金額はありません。上がるとすれば、CEHをきっかけに就ける職種と、その後の実務経験の積み方次第です。

Q: CEHとCISSP、どちらが難しいですか？ 問う能力が違うため単純比較はできません。CEHは攻撃手法の知識と選択式試験、CISSPは実務経験年数を前提にした管理・統制分野の理解を問います。cissp ceh 難易度で検索される背景には、この「別の物差し」を同じ軸で比べようとする混乱があります。

Q: CEHとOSCP、どちらを先に取るべきですか？ 概念整理を先に済ませたいならCEH、実技力を証明したいなら直接OSCPに進んでも問題ありません。ceh oscp 難易度の検索が多いのは、CEH合格の勢いでOSCPも同程度だろうと誤解しがちだからです。

結び

CEHは目的地ではなく通過点です。取得して終わりにするのではなく、どの職種を狙うかを先に決め、それに合わせて次の一手（OSCP、CISSP、あるいは同ベンダー内の上位資格）を選ぶことが、資格を無駄にしない唯一の方法です。