セキュリティエンジニアについて

質問

今現在セキュリティ（Webの外部監査業務）の営業をやっています。
非常に小さい会社の為、大手のように大々的な検査などは出来ないのですが、最近になって検査員になりたいという気持ちが強くなったことや、中小企業でカバーできる限界を感じた事もあり、別の会社でセキュリティエンジニアに転職したいと考えています。
私の方でセキュリティエンジニアになるには、どういったスキルが必要となるのかを調べ、最低限の必須項目として「ファイアウォールに関して」「ＯＳ（UNIX・Windows）に関して」「VPNなどの認証・認可に関して」「ネットワークプロトコル」「Web系（Javascript・PHPなど）」
（※本来細かく分けるのであれば、もっとあるとは思いますが）
上記が出来なければ不可能と書いてありました。
元々今の会社に入るまでは、ＰＣなんかにはあまり触れる機会がなかったのですが、自分的には必死にセキュリティについて勉強したつもりです。もしセキュリティエンジニアとして、既に働いている先輩方がいらっしゃいましたら、自分が調べた以外に何が必要か教えていただけませんでしょうか？お願いいたします。

回答No.1

cev87700

IT系で管理職をしているものです。
私見ですのでご参考までに。

質問者様の現状のお仕事でセキュリティの「知識」は十分ではないかと思います。
また、セキュリティ「だけ」できるIT技術者が役立たずであることもおそらく認識されていると思いますので、セキュリティを取り巻く、ネットワークや各種ハードウェアの知識についての必要性も十分ご認識されているかと思います。

それを踏まえたうえで、セキュリティを強みとしている技術者に必須なのは「システム運用経験」だと思います。

残念なことに知識だけの頭でっかちの技術者や営業担当が多いのです。
こうすれば、セキュリティインシデントは防げるとか、モラルがあるのないの、リスクがどうとか、コンプライアンスがなんだとか…。

それでもセキュリティインシデントは起きるんです。
残念なことに。
そこには、システムを運用している担当者やユーザーのやむを得ない理由が必ずあるわけです。
誰だって起こそうとしてセキュリティインシデントを起こす人はいないわけですから。

承認ルートが非常に面倒で、ついつい確認を取らずにやってしまったとか。
周囲が忙しくて、レビューや確認を十分にしてもらえないとか。
家に持ち帰らないと終わらないほど忙しいとか。

「やってしまう側の立場に立て」と言うのは簡単なのですが、実際に使っている担当者の「感情」のレベルまでを知っているセキュリティエンジニアは決して多くありません。

それを知らないセキュリティエンジニアは残念なほどたくさんいます。

ですので、長々としたものではなくて良いと思いますので、知識の学習と並行してシステムの運用を経験されるのがよろしいと思います。

特に一般ユーザー直結のシステムやコールセンターなどは、実に色々なセキュリティリスクが発生しますので、手っ取り早く経験を積みたいのであればお勧めです。辛いですけどね。

お礼

>残念なことに知識だけの頭でっかちの技術者や営業担当が多いのです。こうすれば、セキュリティインシデントは防げるとか、モラルがあるのないの、リスクがどうとか、コンプライアンスがなんだとか…。

正直言うと、上記の点については非常に頭が痛い限りです。
やはりどうしても広義に分けると、無形物のサービスに当てはまるので、システムを実際に利用している方々の「感情」についてまで、理解する必要があることに、改めて痛感いたしました。

また基本である「なぜこうなる？」という”Why”の部分を、狭い視野で捕らえてしまっていたことにも気づきました。

私はどちらかと言えば、慎重に物事を進めるタイプ（よく言えばですが……）ですので、”ANo.1様”がおっしゃっている、いわゆる頭でっかちになりがちですので、非常に勉強になりました。

これからは勉強と平行して、まずは「システム運用」を実行し覚えてみます。今までの浅い経験値の中で、”辛い”ということには、何かしらの意義があると考えていますので、ユーザー直結のシステム運用や、コールセンター系の視野に入れて考えてみます。
みすぼらしいご質問に丁寧にご回答いただきまして、誠にありがとうございました。