ペネトレーション・テストペネトレーション・テスターの技術力を見る上で、「資格」が一つの基準として利用されています。日本では、SANSのGPEN*1やGWAPT*2が一番有名かと思いますが、この記事では米国の資格事情をご紹介しようと思います。(評価には個人の意見がかなり含まれていますので、その点はご容赦ください。)米国でポピュラーであるペネトレーション・テスターの資格は大きく3種類あります。Hacker米国で一番ポピュラーなペネトレーション・テスターの資格が、このCEHだと思います。米国でのセキュリティ・ポジションの応募要項には、CEH保持者であることが条件と書かれることも珍しくありません。仕事の同僚が受講していたため資料を見せてもらいましたが、ペネトレーション・テスターが理解すべき内容が網羅されており、カラフルでわかりやすい資料です。(この資格では、Webアプリケーション・レイヤーとネットワーク・レイヤーが両方網羅されていますので、カバレッジも広いと考えられます。)欠点としては期待したよりも深さが足りないという点があげられると思います。実際に受講したわけではありませんが、ある程度セキュリティの基礎やペネトレーション・テストに知っている人に対しては簡単なのかも知れません。CEHが人気な理由としては、SANSより研修費が安く、ペネトレーション・テスト全般に通じているというアピールができるからだと考えています。CertificationGIACは、SANSが主催している資格群です。ペネトレーション・テストに特化した資格だけでも、たくさんの資格が用意されています。GIACのよい部分は、専門領域ごとに資格が用意されており、詳細に踏み込んだ知識が獲得できる点だと思います。GPENはネットワーク層のペネトレーションテスト、GWAPTはWebアプリケーションに関する診断技術に特化した資格です。高いという点があるかと思います。専門領域ごとに資格が分かれているということは、そのすべてを場合によっては維持しなければいけないため、資格費用を自分で払うこともあるアメリカではCEHの方が好まれているのだと思います。Linuxを作成しているベンダーが出している資格で、最近こちらで有名になりつつある資格です。Choice方式の試験(四択問題)ですが、この試験は24時間以内にテスト環境に対してハッキングを成功させ、その様子を全て報告書としてまとめて提出して初めて合格できるという実践重視の資格です。話を聞く限り、報告書のテンプレートなどはもらえるため、それに従って報告書を作ればよいわけですが、ペネトレーション・テストの一通りの手順・技術を理解し、かつ手を動かせることの証明になるため、最近注目されています。(確かに、いくら4択問題を正確に解けても、実際にハッキングができなければ意味がないと思うので、その意味でこの資格が注目を集めるのは妥当だと思います。)あるカンファレンスでは、ベンダーの選定基準としてOSCPホルダーの有無を基準にしているといっていたので、今後はこちらの資格が注目されていく可能性も高いと考えています。整理のために比較表を作成しておきました。実は資格だけでいえば、ほかにもいろいろな資格は存在します。いくつか聞いたことがある資格を列挙してみました。資格はあくまで技術力や知識の証明書に過ぎないので、特に理由がない限り、上記3種類のいずれかを選択するのがよいかと思います。(たとえば、QAエンジニアの人などは、ISTQBの資格を持つとキャリアパスが広がるのかもしれません。いう意味では、日本でも資格を作ろうという動向があるみたいですが、既存の資格との違いがあまり見出せていないので個人的には現時点で取得する優先度は高くないと考えています。CSXhttp://www.isaca.org/CYBER/ISECOMhttp://www.isecom.org/certification.htmlISTQBhttp://www.istqb.org/まとめセキュリティ診断技術を証明するため、米国の資格事情について記事を書いてみました。ちなみに、アメリカの学生さんでセキュリティのキャリアパスを考えている人に資格について相談されたことがありますが、OSCPをお勧めしています。学生さんでもアルバイトを頑張れば払える金額だと思いますし、実践的である点が非常に価値が高いと考えています。4月に参加してきました。一部内容を更新しました。金融庁関連の話題を追加しました。投稿日付を変更しました。Security』を再考するAnti-Intelligence技術について考えてみるスポンサーリンクはてなブログをはじめよう!security_consultantさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。