必要とされるキャリアとスキルを追う！

第11回　セキュリティは誰かがやらねば

長谷川玲奈（＠IT自分戦略研究所）
2007/1/23

いま、現場で求められているキャリアやスキルは、どんなものだろうか。本連載では、さまざまなITエンジニアに自身の体験談を聞いていく。その体験談の中から、読者のヒントになるようなキャリアやスキルが見つかることを願っている。

　いまや情報セキュリティは、業務で情報システムを使用する企業だけでなく、インターネットの一般ユーザーにとっても大きな課題である。

　JPCERTコーディネーションセンター（JPCERT/CC）早期警戒グループ情報セキュリティアナリスト小宮山功一朗氏は、これまでのキャリアで一貫してセキュリティにかかわってきた。あくまでもセキュリティにこだわり続ける理由は何なのか。セキュリティのどこに魅力を感じているのだろうか。

■セキュリティ業界に入ったきっかけは

　JPCERT/CCは、セキュリティにかかわる事象（コンピュータセキュリティインシデント）への対応を支援する非営利の組織。国内外のインシデント対応組織と連携し、セキュリティ情報の収集や提供も行う。小宮山氏の表現では、「日本中の人に『こんな危険がありますよ』と伝える仕事」だ。

JPCERTコーディネーションセンター早期警戒グループ情報セキュリティアナリスト小宮山功一朗氏

　小宮山氏のミッションは、国内外のセキュリティ情報を収集して危険度を分析し、必要に応じて関連機関や一般ユーザーに情報を発信すること。その1日はオフィスで各種Webサイトを巡回し、セキュリティ情報をチェックすることから始まる。「まずは何か危険なことが起きていないか、起きていたらそれをどこに伝える必要があるかを調べます。それを基にドキュメントを作成したり、足を運んで有識者の話を聞いたりします」

　「現在はコードを書いたりシステムを管理したりということはなくなった」とのことで、一般的なITエンジニアとは少々異なる仕事内容かもしれない。しかし遂行にはITとセキュリティに関する深い知識が要求される。加えて分析能力とコミュニケーション能力も必須だ。

　新卒でセキュリティベンダに入社して以来、5年近くセキュリティ関連の仕事に携わっている小宮山氏だが、大学で在籍していたのは経営学部。文系の立場から、企業の情報化をテーマに情報システムに関する研究をしていた。

　この研究室で、小宮山氏はセキュリティ業界に入るきっかけとなる重要な体験をする。「研究室にサーバを立てて管理をしていたのですが、それをいきなり攻撃されて乗っ取られてしまったのです。この失敗からセキュリティ業界が面白そうだなと思い始め、就職活動ではセキュリティ業界を志望しました」

■大学の研究室で「サーバ乗っ取り事件」発生

　「英語が好きで数学が苦手だったことで、大学では理系に行こうとは思わなかった」小宮山氏だが、もともとITに興味はあった。「中学生のときに父親のワープロでテトリスをやったところから始まり、コンピュータは好きで触っていました。大学時代には趣味でプログラムを書いていました。当時はまだインターネットをするにも電話代が高かったので、それを節約するためのものです。電話をかけてブラウズしたいWebサイトの内容をダウンロードし、電話を切るまでを全部自動化するプログラムを作り、使っていました」と話す。

　研究室にサーバを立てたのも、趣味の延長という意味合いがあったようだ。「友人と『じゃあこのマシンをサーバにしようか』とLinuxを入れ、情報共有のための掲示板用のサーバを立てて管理していました」

　ある日小宮山氏は、大学の関係者から「君のサーバは異様に通信量が多くて困る」との苦情を受けた。「調べてみると、よく分からないプログラムが起動していて確かに通信量が多い。さらにいろいろ調べてみると、オンラインゲームのサーバにされていることが分かったのです」。知らないうちにサーバが乗っ取られていたのだ。

　小宮山氏が非常に驚いたことに、ログを見ると攻撃はブラジル経由でなされていたという。「地球の裏からこんな小さなコンピュータまで、インターネットの犯罪はそんな遠くからできるんだなと」しみじみ思ったとのことだ。

　サーバをインストールし直した後は、「少しは安全に使うようにしました」。以前の乗っ取られたサーバはデフォルトの設定のまま使っていたが、今度はセキュリティなどの設定を変更して「学習した」という。

■トラブル対応でスキルは急速に伸びる

　就職先としてIT業界を志望していた小宮山氏は、この経験からセキュリティ業界に興味を持つようになった。IT業界をメインに就職活動をし、いくつかの企業から内定を得た。その1つが外資系のセキュリティベンダだった。

　「技術系の仕事をしたかったのですが、経営学部なので大企業に就職したら営業を担当させられるのではと思ったのです。選択した企業は希望をある程度かなえてくれそうだというイメージがありました。ここならセキュリティの仕事ができるだろうと思って選びました」とのことで、2002年4月に入社した。

　この企業は新卒にいろいろな部署を経験させるポリシーだった。小宮山氏も1年間はソフトウェアサポート、社内ITなどの業務を経験し、2年目からセキュリティ管理のセンター運用に携わるようになる。

　センターでは、24時間365日張り付いて顧客のネットワークセキュリティの監視を行う。小宮山氏は、センターで使われるシステムを設計・構築して運用する業務を担当した。セキュリティ製品を扱っているという点で、希望どおりの業務だったという。

　実際に仕事をしてみて、学生時代に想像していたものとの違いはあったのだろうか。「面白かったのは、1台のコンピュータを管理するのと100台を管理するのは別物だと分かったこと。1を100回やるのではなく、まったく違うアプローチを取ることで、100の作業が10の労力でできる。そういう考え方、手法があるというのは学生には絶対分からなかったので勉強になりました。仕事でやるとスキルは急速に伸びますよね」

　小宮山氏は、「一番頭が回転していろいろなことを覚えるのはトラブルのとき」という。「止まってしまったものを3時間以内に元に戻さないとまずい、まずいけれどこんなエラーは見たことがないという状況で、急いで調べて復旧させるというのが一番スキルが伸びるところですね」と話す。これは多くのITエンジニアにも経験のあることだろう。それにしても話すときの楽しげな表情を見ると、小宮山氏は「火消し」に向いているタイプのようだ。

　「72時間続けてトラブル対応をしたこともありました。『どうにかしなきゃ』という思いで、不思議と頭が起きているんですよ。徹夜は年に数回くらいの頻度でありましたが、72時間は後にも先にも1度だけですね」

　厳しい状況の中、知識を得ているという実感が、小宮山氏の大きなやりがいだったようだ。「システムを使っていればバージョンアップも必要だし、たまったログはいつかあふれる。そういうトラブルと日々戦っていると、だんだん自分の専門分野というかテリトリーが確立されてきます。『これは部署の中でも自分がきちんと管理していないと』という思いがやりがいやプライドになっていました。そういう（個人にある分野の仕事が集約される）やり方には賛否両論ありますが、それがモチベーションだった時期もありました」

■セキュリティを究め、海外に出られる環境に行きたい

　忙しくも充実した日々を送っていた小宮山氏だったが、2006年の初めごろから転職を考えるようになる。大きな理由は業務内容の変化だった。「データベース管理を中心に行うようになっていました。データベースサーバ、DNSサーバ、各社のアプリケーションサーバなどなど、何でも知っている必要がある業務です。広く浅くは得意ではありますが、長いこと続けていると自分が本当は何をやりたいのか、どのスキルを伸ばしたいのかが分からなくなってしまいます。また、前職でも海外と英語でコミュニケーションする機会が少しはあったのですが、もっと海外に出て行ける仕事がしたくなったのも理由の1つです」

　漠然とした思いを抱えていた小宮山氏を動かしたのは、現職であるJPCERT/CCの求人があったことだった。それを知った小宮山氏はすぐに直接応募。「（ISC）²認定CISSP資格を2005年に取得していたこともあったのかもしれません」。セキュリティ資格に加え、密度の高い経験から蓄積された知識やコミュニケーション力が評価されたのか、2006年8月にJPCERT/CCに転職した。

　「JPCERT/CCの求人がなかったら、いまも前の会社にいたと思う」と小宮山氏は当時を振り返る。ほかの転職先はまったく考えていなかったそうだ。セキュリティを究めたいのなら、ほかのセキュリティベンダを選ぶという方法もあっただろう。なぜJPCERT/CCだったのだろうか。「社会のために働いている組織だから。前職ではお客さまのセキュリティ向上のために日々頑張っていましたが、それ以外の人たちは？という質問には答えられません。JPCERT/CCは日本全体を変えていく組織ですから」と小宮山氏は説明する。仕事を通して社会に貢献できるという点が大きな魅力だったようだ。

　「海外に行く機会が多いというのも決め手になりました。いろいろな会社の、役職的にも人間的にも上の人とやりとりすることが多いと知ったので、見識が広がるかなと考えたのです。新しいものを追いかけるのが性格に合っているので」と小宮山氏は笑う。