転職セキュリティについて興味のあるエンジニア「セキュリティエンジニアってどうなんだろう。需要が多くて年収も高そうなイメージがあるけど、実際どうなの?きつい辛い仕事?どんな仕事をしている?」こういった疑問に答えます。この記事を書いている私の経歴は、エンジニア歴13年、うちセキュリティエンジニア歴10年の金融系エンジニアです。インフラエンジニアを6年経験した後に、アプリケーションエンジニアに転向して7年、インフラ・アプリ双方の視点からセキュリティ担当者を兼任しました。その間、システム内部監査、セキュリティ設計、セキュリティ診断やCSIRT立ち上げなどを経験しました。本記事の内容1セキュリティエンジニアってどんな仕事?セキュリティエンジニアは何をする?内部犯行への対策も他人事でないセキュリティエンジニアはきつい?代表的なセキュリティ企業は?2年収などの待遇と将来セキュリティエンジニアの待遇と年収セキュリティエンジニアの需要は多いセキュリティエンジニアの将来性AIの躍進で仕事はなくなる?3未経験からセキュリティエンジニアになるにはセキュリティエンジニアの適正があるのはどんな人材?1セキュリティエンジニアの仕事内容と私の経験談サイバー攻撃にどう対処するか一般に、企業が保有している顧客の個人情報が漏えいしてしまう事は、企業経営において最大のリスクの1つです。企業で個人情報が流出するセキュリティ事故件数が最も多い要因は、紛失などの人為的ミスです。一方でセキュリティエンジニアが担当するサイバー攻撃による個人情報流出は、その規模が桁違いなため、影響が甚大です。日本の大手ECサイトでも個人情報が流出したり、クレジットカード情報が盗まれて不正に使われるなどの事件がテレビや新聞で報道される事があります。過去には1回で1,000万人分以上の個人情報が流出した事例もありました。個人情報の流出やクレジットカード情報の漏洩が起きるかというと、社内の業務フローやシステムに何らかの「欠陥」があり、そこから犯罪者が情報を盗み取ることが原因です。SQLインジェクションなどによる自社アプリへの攻撃による漏えいサーバやミドルウェア、フレームワーク製品の脆弱性への攻撃による漏えい内部犯行によるデータの漏えいそして「欠陥」は、全てのIT技術に対して起こりえる事。内部犯行への対策もセキュリティエンジニアにとって他人事でない社内の「課長以上なら顧客の個人情報に許可なくアクセスできてしまう」といった業務フローの中にもにもセキュリティ事故が発生する可能性が潜んでいます。最近、セキュリティについての社内業務フローが問題となったのは、ブロードリンク社の転売の事例です。特殊で稚拙な事例なのであまり参考にならないかもしれませんが、マスコミに大きく報道され社会問題となったので、この例を取り上げて解説します。ハードディスクを転売したい社員が社内から重要情報の入ったハードディスクを社内から持ち出せてしまうという社内の体勢の緩さが大きな問題となりました。神奈川県庁が使っていたファイルサーバのHDDが転売され、個人情報を含むデータが流出した問題で、流出元の情報機器リユース業者ブロードリンク(東京都中央区)は12月9日、流出のいきさつと捜査の状況を記者会見で説明した。同社の独自調査によると、同社元従業員の高橋雄一容疑者は、2016年からHDDやUSBフラッシュメモリの他、スマートフォンやタブレットなどの情報機器を7844台転売していたという。ずさんな管理体制明らかにこうした問題が起きないよう、社内の業務フローやシステムに内部犯行可能なリスクがないか見定めたり、他社の業務やシステムの監査を行うのもシステムエンジニア(中でも、主にシステムコンサルタント)の重要な業務です。セキュリティ業務はその範囲がとても広いセキュリティの問題は対象となる分野がとても広いため、エンジニアが主に携わるものを分類しておきます。アプリケーションに関するセキュリティ問題プログラミング言語、フレームワーク、自社アプリに対する「欠陥」の問題インフラに関するセキュリティ問題ネットワーク、OS、ミドルウェアなどの製品に対する「欠陥」の問題エンジニアならご存知の方も多いと思いますが、この「欠陥」の問題のことをセキュリティ業界では「脆弱性」と呼びます。セキュリティエンジニアは、脆弱性などのセキュリティ問題に特化したエンジニアです。セキュリティエンジニアは、個人情報の流出やクレジットカード情報の漏洩などのセキュリティ問題が発生しないよう社内で活動します。受けた場合の対処・影響分析セキュリティエンジニアの仕事内容は多岐にわたります。どのような仕事内容を担当しても、情報セキュリティの最新情報に精通していることが必要です。セキュリティエンジニアを目指す場合は、セキュリティに関するニュースを収集することを心掛けましょう。セキュリティエンジニアになると、全てのIT技術を管轄する場合もあれば、一部を専門的に担当する場合もあります。セキュリティエンジニアの仕事はきついの?いずれの場合でも業務の中で最もきついのは、やはり個人情報の流出などの問題が実際に起きてしまった時でしょう。影響範囲を調査し、原因を突き止め、穴を防ぐとともに犯人の特定を行います。影響が大きければ、会社の社運を左右しますから、その時の仕事内容は経営層まで上がるのです。大手セキュリティ企業をいくつか挙げておきます。カッコ内はopenworkの各社総合評価のポイント(5点満点)を掲載しています。ラック(3.04)NRIセキュア(3.82)NTTセキュリティ(-)シマンテック(3.25)トレンドマイクロ(3.35)アカマイ・テクノロジーズ(4.01)EMC/RSA(3.54)いずれも強みを持つセキュリティ大手企業ですが、この他に中小企業やベンチャーでiPhoneなど特定分野のセキュリティに特化した会社があるほか、セキュリティエンジニアはSIerや大企業を中心に、一般の事業会社内にもいます。一般の会社ですと、社内でセキュリティエンジニアを育成できないため、上にあげたようなセキュリティ業務に精通しているエンジニアを中途採用するケースが多いです。多くの大企業にはCSIRTと呼ばれるセキュリティの運用部門が存在し、中途などで採用されたセキュリティエンジニアも多くいる事が多いでしょう。2年収などの待遇と将来性セキュリティエンジニアの待遇と年収セキュリティエンジニアの平均年収は、30歳前後で600万円程度です。年収は個人の能力によって大きく異なりますが、初級スキルの持ち主であれば年収は300万円~500万円位からスタートすることが多いでしょう。高い技術力または管理などの業務経験があれば、年収1,000万円以上稼ぐことができます。人材不足のため、セキュリティエンジニアの需要は多いインターネットの急速な普及と発展によって、情報セキュリティの重要性が年々高まっていることは言うまでもありません。サイバー攻撃の被害者は、世界では1日あたり100万人以上、日本だけで見ても1日1万人以上にのぼります。そのため大手を始め中小企業やベンチャーでも、専門の技術者の需要が増しており、求人は多いです。従業員100人以上の国内企業の情報セキュリティー関連技術者は約28万人。十分な防御体制を整えるには10万人以上のセキュリティエンジニアが不足しているとの試算もあり、さらなる人材の育成が急務となっています。セキュリティエンジニアの将来性こうした人材不足を背景に、経済産業省は産業サイバーセキュリティセンターを発足。社内のセキュリティ実務を行える人材の育成に取り組んでいます。総務省もホワイトハッカーの養成に本腰を入れており、若手セキュリティエンジニア育成プログラム「SecHack365」を発足。合格者の47名には小・中学生も含まれており、セキュリティ業界では話題になりました。(ちなみにホワイトハッカーとはサイバー攻撃を行える高度なIT技術・知識・ツールなどをサイバー攻撃対策など善良な目的に活かす人のことを指します。)冒頭で述べたとおり、IT技術の全てにセキュリティの課題が潜んでいるため、今後もIT技術が高度になるに連れて、セキュリティエンジニアの需要は高まります。セキュリティエンジニアは将来性が高い職種ところで、IT技術が高度になると、AIに仕事を代替されないでしょうか。AIの躍進でセキュリティエンジニアの仕事はどうなる?仕事が無くなる?AIが進歩すると、セキュリティエンジニアの仕事は減るのでしょうか?実は既にセキュリティ製品のAI化は進んでおり、例えばシステムが「攻撃を受けたか?」を判断するのに様々な情報を組合わせて判断しなくてはならない場合があるのですが、それを人手ではなくAIが判断してくれるようになっています。セキュリティエンジニアはAIの判断を元に最終判断することでよりセキュリティレベルをあげる事ができます。AIもIT技術の一つですから、AIに関するセキュリティ対策も今後セキュリティエンジニアの大きな仕事となっていくため、仕事が無くなることはないでしょう。3未経験からセキュリティエンジニアになるにはここまで、セキュリティエンジニアの仕事について簡単にご説明してきました。次にセキュリティエンジニアになるためには、どうすれば良いのでしょうか?3つのキャリアステップがある新卒または転職で、ITセキュリティを専門とする会社に就職するプログラマーなどの通常のエンジニア職からキャリアチェンジする一般の事業会社にある、CSIRT等のセキュリティ部門に異動する文系・理系問わずセキュリティエンジニアになる事ができますが、セキュリティエンジニアとして転職を考えている方であれば、どこの企業でも自分のスキルを証明できる実績が必要になります。未経験では業務実績がないため、独学で勉強して資格を取る事によってスキル証明を行いましょう。取得するのがおすすめです。特定の製品や分野に偏らず、最も汎用的に使えるセキュリティ資格だからです。エンジニアとしての経験をもとに教科書をしっかり学習すれば、独学でも取得できるでしょう。私も6年前に取得しました(旧名:情報セキュリティスペシャリストでした)。セキュリティエンジニアの適正があるのはどんな人材?セキュリティエンジニアには高度な技術力が求められます。一方でセキュリティは会社の経営層から見た場合にも最重要事項であり、現場の課題を経営層にまでエスカレーションしなくてはなりません。高い技術力と高いコミュニケーションが求められるのがセキュリティエンジニアの仕事です。この辺りは会社の事業内容や規模に応じても変わってきます。LACのようにセキュリティ専業で技術力を重視している会社であれば、セキュリティ技術一本でも食べていけるでしょうし、大手企業のセキュリティエンジニアやセキュリティコンサルタント、事業会社のセキュリティ担当になると、コミュニケーション能力が重視されるでしょう。どちらのケースにおいても、常に最新のセキュリティ動向に関心を持っていることが大変重要です。セキュリティ関連資格を挙げます。シスコ技術者認定(セキュリティ関連のみ)CCENT基礎レベルの資格で、基本的なネットワークセキュリティの知識を認定します。Securityセキュリティエンジニアになるための基礎レベルの資格です。Securityセキュリティエンジニアとしては、上位レベルの資格です。Security最高難易度の資格で、国際的にも通用します。取得すれば、一流のセキュリティスペシャリストとして評価されます。上位レベルの資格を取得するためには、下位レベルの資格の取得が必須です。Securityが実施する資格試験です。国際的に認知されている資格なので、技術者としてのスキルレベルを十分証明できます。具体的には、以下の分野から出題されます。・ネットワーク情報セキュリティマネージャー(NISM)ネットワーク情報セキュリティマネージャーは、セキュリティ専門家の育成を目的として、攻撃者による不正アクセスなどの危険性に対処するために創設されたベンダーフリーの資格試験です。NISM推進協議会が実施する資格認定の講習を受講し、一定のレベルに達すると有資格者として認定されます。以下は一般事業会社でセキュリティ業務を行う場合に有効な資格です。国際セキュリティ団体のISAKAが主催する国際資格です。公認情報システム監査人(CISA)情報システムの監査および、セキュリティ、コントロールに関する高度な知識、技能と経験を認定する国際的な資格です。公認情報セキュリティマネージャー(CISM)公認情報セキュリティマネージャーは、セキュリティプログラムのマネジメントや設計、監督などを行う情報システム監査人を対象としています。なにか資格を持っていないとセキュリティエンジニアになれないということはありません。セキュリティのプロフェッショナルを目指す大学院でも実践的なセキュリティを学ぶ事ができます。大学院を中心に、セキュリティ分野に強い大学を挙げます。セキュリティエンジニアは高度な技術力とコミュニケーション能力が求められる、今の時代にマッチした仕事なのでオススメです。セキュリティエンジニアの求人は年収の高い案件も多く、夢のあるお仕事ですので是非挑戦してみたください!それでは。今、ITエンジニアは前例のない売り手市場です現在のエンジニアの求人数と求人倍率をご存知ですか?直近(※)のIT業界全体の求人倍率は7.85倍です。