セキュリティエンジニアが教える本当のセキュリティエンジニアとは？【新社会人も必見！】

2019年3月24日2020年4月12日 kukuneko 0件のコメント IT、Security、セキュリティ、セキュリティエンジニア

はじめに

皆さん、スマートフォンやPC、タブレット端末、IoT(Internet of Things)製品など、様々なIT製品が現代社会の生活において、欠かせないものとなっているのは、説明するまでもないかと思います。しかしながら、新しくて便利なIT製品の普及により、皆さんの生活がより良くなる反面、実は目に見えない「リスク」が生じていることにお気づきでしょうか？

まず、インターネットセキュリティにおける根本的な考え方として、「ITが実装された製品を使うということは、ITによる脅威に晒される「リスク」が生じるということ」を理解する必要があります。

例えば、ペットや泥棒を監視するために家庭用の「Webカメラ」を購入したケースを例に挙げます。普通は、説明書に従って、カメラを設定した後、スマホのアプリなどからカメラの映像が確認できれば対応完了とする方が大多数かと思います。パソコンの場合は、ウイルスに感染すると怖いから「ウイルスバスター」などのアンチウイルス製品をインストールする等、ある程度対策を考えるかもしれませんが、「Webカメラ」はPCのように、怪しいサイトを見るわけではないので、ウイルス感染もしないし、コマンド操作もされないので大丈夫だろうと考えたりしているのではないでしょうか？

この言い回しから分かると思いますが、「Webカメラ」はマルウェアに感染しますし、コマンドも処理されます。何より、パスワードをそのままにしていると、攻撃者は容易にWebカメラの映像を見ることができます。また、もしも、この「リスク」を知っていたとしても、「この「Webカメラ」のアクセス先は自分しか知らないはずだし、わざわざ自分のところが狙われるわけ無いだろう」などという考えをしている方がいらっしゃいます。が、「Webカメラ」を一例にすると、全ての攻撃者はわざわざ色んなところにアクセスして調べる必要はありません。なぜなら、どのIPアドレスが「Webカメラ」を使っているのかをまとめているサイトや、パスワードを変更していないWebカメラの映像をリアルタイムで普通に公開しているサイトがインターネット上に存在するからです。

これが、「リスク」に気づいていない例です。つまり、「リスク」を知らないと、何をすればよいのかわからないため、「対策」ができないのです。現代社会において、製品を販売している会社は、基本的にこのような「リスク」を教えてくれません。もし教えると怖くて製品を買ってくれなくなるためです(理由は他にもありますが)。その結果、セキュリティに対する認識が薄れてしまうことになります。

こんなの気づけるわけがない！国民全員にこの「リスク」を理解させるのは無理だ！と思うかと思います。そうです。だからこそ、「セキュリティエンジニア」が必要なのです。

セキュリティエンジニアとは

前述した内容は、個人・法人(会社や組織、政府等のこと)問わず言えます。つまり、個人・法人向けのセキュリティエンジニアが必要となっているわけですが、経済産業省は2020年までに約20万人のセキュリティエンジニアが不足していると公表しています。そのため、各セキュリティベンダや組織は、AIなどの先進技術を駆使して、次世代の監視システムを構築しようとしていますが、現在においては、未だセキュリティエンジニアの代わりにならないというのが実情です。
それでは、本題です。セキュリティエンジニアの必要性はある程度理解できたかと思いますが、実際に「セキュリティエンジニア」は何をする担当者なのでしょうか？

具体的なセキュリティエンジニア例

・セキュリティ製品のサポートセンター
・セキュリティ製品開発に携わるエンジニア
・セキュリティ製品の運用担当者
・セキュリティコンサルタント
・セキュリティサービスベンダ
・SOC(セキュリティオペレーションセンター)　※セキュリティアナリストなど
・CSIRT(Computer Security Incident Response Team)
※引用元：「https://www.nca.gr.jp/activity/imgs/recruit-hr20170313.pdf」 p.6

・・・などが該当します。基本的には、上記CISRTにほとんど含まれています。アウトソーシングする場合もありますが、やっていることはほぼ同じです。
※分かりやすいと思うので、引用させていただきました。

セキュリティエンジニアに求められるもの

セキュリティエンジニアは、一般のIT担当者よりも幅広く、深い知識が求められます。例えば、ネットワーク、プログラミング、OS、セキュリティなど、全ての専門知識が求められます。更に、担当業務によっては、実際のセキュリティ運用経験が必須になりますし、新しい技術の理解についても必須です。こんな人材がたくさん余っているわけないですよね。だからこそ、セキュリティエンジニアが不足しているのです。では、何を学習すれば、セキュリティエンジニアになれるのかという点ですが、筆者の経験をもとにすると、下記のスキルがあれば、ある程度通用するのではないでしょうか。
※資格はあくまでも目安です。分かりやすくするためなので、別に保持したいなくてもよいと思います。

■セキュリティ基礎知識(テクニカル)

■セキュリティ基礎知識(マネジメント)

経済産業省　情報セキュリティ政策

■プログラミング言語

■ネットワーク

■OS

・MCP、LPIC(LinuC)、VCP・・など

■IT経験