セキュリティエンジニアのお仕事

セキュリティエンジニアとは、ネットワークやシステムを外部のサイバー攻撃などから守るエンジニアです。ネットワークやシステムの弱点（脆弱性）を見つけ出し、それを解決するためのセキュリティシステムを提案・構築します。また、サイバー攻撃を未然に防ぐための調査やコンサルティング、社内のセキュリティマネジメントのしくみ作りなど、ネットワークセキュリティに関するさまざまな仕事を担っています。

■ネットワークセキュリティ対策

セキュリティエンジニアは、外部からの脅威に対して、さまざまなセキュリティ対策を施します。主なセキュリティ対策として、次のようなものが挙げられます。

セキュリティエンジニアは、システム開発、ネットワーク環境の構築、セキュリティ診断やコンサルティングなど、セキュリティに関するさまざまな仕事を担います。特にECサイトなどのシステム開発においては、要件定義から運用・保守・監視まで、すべての工程に携わり、各工程でセキュリティ対策を実施します。その内容も、セキュリティ機器の導入や設定、プログラミング、不正アクセスの監視など多岐にわたっており、セキュリティ全般の業務を行います。

■ECサイト開発の流れ

要件定義

大規模システムではシステム開発の初期段階からセキュリティ要件を定義しておく必要があります。この段階で、適切なセキュリティ要件を盛り込み、それに沿ってシステムを開発することで発生しうるリスクを未然に防ぐことができます。

設計

自前でWebサーバを用意するのか、クラウドサーバを利用して社外に情報を保存するのかなど、インフラ基盤をどうするか決定します。そして、データの流れを明確にし、データの受け渡し方法（暗号化など）やデータの保管場所などを具体的に決め、設計書にまとめます。

構築

設計書に基づき、サーバやOS、アプリケーションなどに対してセキュリティ対策を実装します。暗号や認証の設定、アクセス権の設定、セキュアプログラミング（システムに脆弱性を作らないプログラミング技法）などを行います。

テスト

構築したシステムに脆弱性がないか確認するために、擬似的に攻撃を行います。これをペネトレーションテスト（侵入テスト）といいます。自分で作ったシステムを自分でテストすることは難しいため、テストを第三者（外部の情報セキュリティ会社など）に依頼することもあります。脆弱性が見つかれば、対応策を検討してシステムを改善します。

リソース

テストが完了したら、システム（ECサイト）をユーザーに受け渡します。

運用・保守・監視

リリース後は、セキュリティ面で問題が生じないように、通信データの監視、アクセス権の管理、ログファイルのチェックなどを行います。もし、システム障害やサイバー攻撃が発生した場合には、迅速に復旧作業を行います。

■セキュリティエンジニアとネットワークエンジニアの違い

ネットワークエンジニアは、ネットワーク機器やネットワーク管理ソフトウェアを導入して、最適なネットワークシステムを稼働させることが仕事です。一方、セキュリティエンジニアは、そのネットワークシステムを安定的に稼動させ、サイバー攻撃などからシステムを守ることが仕事です。構造的には、ネットワークエンジニアの仕事の上にセキュリティエンジニアの仕事が乗る形ですが、重複する部分も多く、セキュリティエンジニアがネットワークエンジニアの仕事を担うケースもたくさんあります。

■セキュリティ診断・コンサルティング

企業の既存システムや新しく開発しているシステムに対して、セキュリティ診断を行うこともセキュリティエンジニアの仕事です。セキュリティ診断には、システム全体に対して網羅的な検査を行ってリスクを見つける「脆弱性診断」と、実際にシステムに侵入・攻撃して問題点を見つける「ペネトレーションテスト」があります。

また、情報セキュリティに関する企業の課題を洗い出し、セキュリティレベルを向上・維持するコンサルティング業務も大切な仕事です。企業のセキュリティポリシーや、サイバーセキュリティ対策の具体的なガイドラインの策定などは、多くの企業で求められています。

セキュリティエンジニアが活躍する会社は、システム開発を請け負う「SIer系企業」と、自社内でシステムを運用している「ユーザー企業」に大きく分かれます。

SIer（エスアイヤー）とは、Systems Integrator（システムインテグレーター）の頭文字をとった略称で、システム開発の全工程を請け負う受託開発企業をいいます。NTTデータ、富士通、NECなどが代表的な企業です。SIer系企業の多くは発注元の企業にセキュリティエンジニアを派遣し、セキュリティエンジニアたちが常駐してシステムの開発や運用に当たります。

一方、ユーザー企業で働くセキュリティエンジニアの主な役割は、システム開発をSIer系企業などに発注する際、社内の要件をまとめてSler系企業とすり合わせることです。また、自社内のセキュリティポリシーを策定したり、ISMS認証（社内の情報セキュリティ管理が適切かどうかを認証する国際規格）や、プライバシーマーク（個人情報の取扱いが適切であるかどうかを評価する国内の認定制度）の取得なども行います。中小企業などでは、一人のセキュリティエンジニアが、セキュリティに関する社内教育、パソコンの購入や選定、自社サーバ管理など、セキュリティに関連するあらゆる業務を担うこともめずらしくありません。

その他にも、セキュリティコンサルティングだけを行う会社や、セキュリティ診断を含めたトータルサービスを提供する情報セキュリティ会社など、セキュリティエンジニアはさまざまな会社で活躍しています。

【プロフィール】
日本工学院を卒業後、プログラマとしてシステム開発に従事。その後、携帯電話関連会社や保険会社などで、ネットワークエンジニア、セキュリティエンジニアとして活躍。

セキュリティエンジニアをめざす人がいまできること

ホームページを作ったり、いろんな人と話す経験をしておいてください。

もし可能なら、Webページを作って何かを発信してみてください。ブログでも何でもかまいません。おそらくその過程でちょっと苦労したり、Webページを更新していく中で、いろんなつまずきも経験すると思います。でも、どんな技術が使われているかわかりますし、得るものも多いと思います。

また、セキュリティエンジニアはいろんな人と話す機会が多く、相手の意図を正しくヒアリングする能力や、ロジカルに考えて話す能力が不可欠です。それらのもとになるのがコミュニケーションスキルですので、いまのうちから友だちといっぱいコミュニケーションを取っておいてください。できれば先輩や先生など、目上の人とのコミュニケーションも積極的に取ってみるとよいと思います。その経験は将来、必ず生きてきます。

セキュリティエンジニアをめざすみなさんへ

私たちと一緒にセキュリティエンジニアになる夢を実現しましょう！

個人情報を守ったり、さまざまな脅威から社会を守るセキュリティエンジニアは、社会にとってなくてはならない存在です。セキュリティ技術の進化は早いので常に学び続ける必要がありますし、企業の重要情報に触れるので倫理観や責任感も求められますが、それだけに大きなやりがいがあります。セキュリティの仕事に興味がある、将来はセキュリティエンジニアになりたいという夢を抱いている人は、ぜひ夢をあきらめずに追い続けてください。私たちがみなさんの夢をサポートします。一緒に夢を実現しましょう。