セキュリティエンジニアにこそ求められる人格と考え方

セキュリティエンジニアにこそ求められる人格と考え方【セキュリティコラム第2弾 第9回】

前回のコラムでは、「CISO(最高情報セキュリティ責任者)に求められる人材像」についての内容を伝えました。CISOは経営側の人材であるのに対し、セキュリティエンジニアは現場よりの人材です。実際に手を動かして業務を遂行するエンジニアがイメージしやすいですが、それらエンジニアをマネジメントするエンジニアも広義のセキュリティエンジニアとして定義できます。

ユーザ企業に在籍し、システムの安全性を任されているセキュリティエンジニア。セキュリティシステムを開発・運用するセキュリティエンジニア。ペネトレーションや脆弱性診断、レッドチーム等で実際に攻撃を仕掛けて脆弱性を潰すセキュリティエンジニア。攻撃者の挙動を解析し、対策を考えるセキュリティエンジニアなど、所属する企業によって、任される役割や業務内容が変わります。

攻撃側への理解があるがために

総じていえるセキュリティエンジニアは、コンピュータシステムを介して攻撃してくる攻撃側の手の内を把握し、被害に遭わないようにスキルを身につけ、企業や組織を「守る」ための役割を持つ人材、ということになります。

高い防衛力を持つエンジニアであればあるほど、当然ながら攻撃側の心理や攻撃側が置かれている背景、攻撃者の攻撃手法や手段等を把握しており、かつ実際の攻撃に耐えうる技術的能力が高くなります。これは同時に、自らが攻撃を行おうと思えば、企業や組織を攻撃できてしまう能力を保有している、ということにもなります。

セキュリティエンジニアにこそ求められる人格とは

この世には、相反する二つの要素である「陰と陽」が存在します。
高くて大きなビルを建築すればするほど、同時に大きく伸びた「陰」が生じるのと同様に、セキュリティエンジニアがサイバー防衛スキルを磨けば磨くほど、真逆に振れると攻撃ができてしまう、という負の要素を同時に保有することにもなるのです。

そのため、セキュリティエンジニアに求められる人格として、自らが得た能力は世の中で役に立つように使う、と決め、何があっても攻撃側の道には踏み込まない、という自らの善性を保ち続ける覚悟が必要なのではないか、と思います。

エンジニアであれば、身につけた能力がどれほどなのかを試してみたいと思う気持ちはわかります。腹立たしい相手に対して、攻撃してやろうか、という気持ちが出てくるかもしれません。自分が否定されたと感じるような発言を受けた際に、怒らせたらどうなるのかわからせてやる、という負の感情が出てくることもあるかもしれません。

克己心

この時にぐっと自らの感情を抑えられるかどうかの分岐点が、「自分の能力は絶対に悪意を持ったものには使わない」という覚悟であり、攻撃したいと思う誘惑に勝てるかどうか。つまり、克己心（こっきしん）をもてるかどうかが、極めて重要になります。

常に刀の携帯を許されており、いざとなれば相手を殺めることが許される能力を身につけていた、かつての我々の先達でもある「武士道精神」がセキュリティエンジニアには必要なのでは、と思います。

セキュリティエンジニアを目指す人は、サイバースキルと同時に、精神的な鍛錬を行い、常に自らの心と向き合い続ける「精神的な強さ」も身につけて欲しいと思います。