野村総合研究所に入社後、NRIセキュアテクノロジーズに出向。務めるかたわら、インシデントレスポンスも対応。マネーフォワードに転職。Android開発とCISO下でセキュリティ全般を担当。簡単なプロフィールを教えてください。生まれた時からでもいいですよ。KENGO父親の転勤でアメリカで生まれて、弟もそこで生まれました。その後日本に戻り、野村総合研究所に新卒で入社して3年居ました。2年ほど前の2014年11月にマネーフォワードにジョインしたっていうのが今までの経歴です。小川いまだにバークレーの時の友人とは連絡取り合ったりしますか?KENGOもちろんです。最近はアメリカ行った時も会いました。日本は日本人のバークレーの卒業生がいるので、たまに飲みにいったりしています。残念なのが、それ以降の世代をあんまり知る機会がないということですかね。その時の世代は仲いいんですけども、それ以外とはそもそも接点がないので、それはちょっと残念ですかね。大学でどんなことをやっていたとか言ってもいいですよ。KENGOメカトロニックスです。ボタン制御だとか、数式だとか。ラプラス変換とかしたりだとか。実際に物を作ったりしてました?KENGOどっちかっていうと、シミュレーションのほうですね。卜部エンジニアに関わり始めたのはいつぐらいですか?KENGOエンジニアという意味では、機械工学が専門だったので、コンピューターサイエンスではないんですけれども、大学ですかね。一応、高校から、理系に進もうと思っていたので、理系中心のコースを取っていたと言えばそうなんですが、明確にエンジニア専門というと大学ですね。卜部それは、どういった興味からですか?KENGO自分自身が結構オタク気質なところがあって、ロボットとか大好きだったんですよね。そのロボット作るのが楽しそうだなと思っていて。そこからラジオを作ったりだとか、手を動かしたりするのが好きになったていうのがキッカケです。それで、機械工学を選んだんですが、機械を作るなら機械工学だろって感じで思っていて、当時はその中のOSだとか中の電気回路とかはまったく頭に入ってなかったです。小川KENGOさんはガンダム好きですよね。ガンダムが好きだから、機械工学をやっていた感じです。ガンダムってシリーズ的に壊れる運命にあるんですね。その中の壊れた時に内部フレームが見れるのが好きで興味を持ったんです。そこからロボット好きになったんですよ。普通の健全な状態の時はどうでもいいんですよ。壊れた時が非常に興味深くて、好きだなっていう。業務として初めてお金を稼ぐという行為でプログラミングをしたのは、野村総研のインターンですね。インターンでは、脆弱性を診断するチームに配属されました。そのチームに配属されて、脆弱性を診断した結果をレポートにまとめるためのシステムを作ったというのが一番最初です。新卒採用の前にインターンを経験されたんですね。KENGOそうですね。卜部その時に楽しそうだなって思った?KENGOプログラミングと言うよりは、脆弱性診断がやりたかったんですよね。Networkの個人情報流出事件があったんですよ。KENGO個人的にも当時そういった被害にあったんです。学生向けの医療保険みたいなのがあるんですけども、そこのデータが抜かれたという事件がアメリカでありまして、ある日僕のもとに手紙がきました。「君の個人データが抜かれたかも、ソーシャルセキュリティ番号が抜かれたかも、ごめんなさい。」という内容のものです。「今後のために、こういうことをやってね!」という項目が10個くらい書いてあったんですよね。「何もしてないのに、何故こんな目にあわなきゃいけないの?」という気持ちになって、誰が責任持って見てるんだろうって思ったんです。そこで例のインターンで、脆弱性診断は世の中にあるサービスの脆弱性を事前に見つける役ということを知って、あーこの人たちが世の中を事前に守るべき役割なのかと、非常に感銘を受けたのが、キッカケですかね。最初やりたかったことはそういう流れになります。新卒入社したらその仕事ではなかったですけどね。卜部まあ、日本で新卒で入社した人にそんなスペシャリストをやらせるかどうかだと、やらせないよね。KENGO他の同期は、そっちにいっていたこともあたので、その時はショックでしたね。なんでやねん!みたいな。卜部じゃあ今の会社に入ったのは、脆弱性診断のスペシャリストになりたかったの?KENGOいや、実は、そういうわけではないんですよね。やらせてくれって言ってたんです。3年経って色んな人に話を聞いて回っていたんですが、脆弱性診断といっても、開発をやっていない人もいるし、逆に開発やった人も居るということを知りました。考えると、一度は開発の経験を積んだ方が、脆弱性診断士として大成するには良いんじゃないかと思い始めました。いつ始めるかと考えると、さすがに、3年以降に脆弱性診断士チームに入れる目がなければ、外でやろうと。その後に戻ってこようと思っていました。結局3年のうちにいけなかったので、開発をする会社に転職活動を始めたんですよね。したら、マネーフォワードに居る友人が紹介してくれて、転職期間は1ヶ月も無かったですね。風通しの良い環境で自分の役割を見つけた卜部どうでしたか、実際に転職してみて。マネーフォワードで仕事をしていて、それが思っているキャリアパスに対して、プラスに左右しているのかしていないのか。KENGO最初の1年半くらいは、Androidアプリの開発をしてました。その後、CI周りのサーバーを作ったりして、またセキュリティに戻ってきたという感じです。最初のころは、今よりも社員の数も技術者の数も少なくて、色んな事をやる機会があった?KENGOそうですね。今も色々なことをやっています。ネットワークだとか、脆弱性を見たりだとか。卜部マネーフォワードの性質的に、この人はこの担当という壁がある感じはなく、色んなことに携わっている人が多いですね。KENGOそうですね。マネーフォワードではそういった壁があまりないところが僕のキャリアにとっては、一番プラスじゃないかなと思っています。自分からアクティブに情報を取りにいくこともできますし、ほかの事業部の情報も入ってきやすいってところもプラスかと。それによって、「なるほど!Webではこういうやり方なんだな」って分かったり、僕がアクションを起こしたりだとか。逆にみんなが僕に聞きに来たりもしてくれるので、開発者がセキュリティに対してどう思っているのかという部分が分りやすくなり、視野も広がった気がしますね。卜部Androidアプリの開発から仕事をスタートして、色々と役割が変わってきたっていうのはどういう経緯なんですか?興味の領域が変わって来たんですかね。KENGO興味というよりは、自分なりにマネーフォワードでの役割が見えてきた感じですねAndroidアプリ開発を1年半やって、まだまだヒヨッコではあると思いますし、飽きたという訳ではないので、今後も手を動かしたい気持ちはあります。一方で、開発を進める中で脆弱な部分も見えて来まして、それに対して適切なアクションとコミュニケーションがとれるの人って、そんなに居ないんじゃないかと思ったんです。いったキャパシティーやケイパビリティーを持っているのは自分かなと。そこに自分の居場所を見つけたというのが現状です。セキュリティを頭に入れながら、開発するみたいなことが出来る人もいれば、出来ない人もいますよね。それは、慣れだったりもするので。KENGOそれは慣れもありますし、そもそもそういうものがあるかどうかも知らない方もいらっしゃるので。僕がセキュリティやっていて、開発のことを何も知らなかったのと同じかな。実際にどんな感じで仕事が進んでいるんですか。KENGOロングタームの仕事が6割で、ショートタームの仕事4割という感じです。ロングタームに関しては、よく当社CISOが言ってますけど、今まではスピードを重視をして走って来たがゆえに、置き去りにして来た部分があると。いった置いてきたものを、今の成熟度に合わせて直しているのが、ロングタームの仕事です。Proxyの整備による出口対策だとか、インシデントが発生した際の対応方法のシナリオを作ったりだとか、広報チームとの連携の仕方とかを考えたりだとか、包括的な仕事などを行っています。ショートタームに関しては、脆弱性の診断を各サービスで定期的にやったりだとか、何か障害があったらそれを見たりだとか、若干インフラ的な部分もありりますね。卜部セキュリティの部署と、インフラの部署ってそんなにはっきり分かれていないというか、担当はそれぞれ居るけど部署的には、そこまで垣根はかっちりしていない印象があります。KENGO新卒で入った部署はMSSというマネージドセキュリティサービスを扱う部署でしたが、同じくそんな感じでした。何をやっていたかといえば、今やっているようなことですよね。ファイアーウォールを置いたりだとか、ネットワーク切ったりだとか、あとは、新しいセキュリティ機器を導入して保守運用するような、インフラネットワーク的なことをやってきましたね。今の仕事もそれの延長プラス他のセキュリティの分野もやっているといった感じですね。セキュリティエンジニアになるためには卜部セキュリティエンジニアって昔からある職業ではないですよね。何かあんまり実態が知られていないこともあると思うんですね。一方で、高校生が将来セキュリティエンジニアになりたがっているという記事が盛り上がったことがあるので、セキュリティエンジニアになりたい人もいるのかなと。KENGO徳丸さんとか回答してましたね。卜部セキュリティエンジニアになりたい人のためにも、普段の仕事内容をこのインタビューを読んでいる人は知りたいんじゃないかなと思うんですが。いう意味だと、どう答えればいいんだろう。セキュリティエンジニアって非常に広範囲に渡っていると思うんですよね。僕の最初の肩書きは、セキュリティエンジニアではなくて、セキュリティアナリストでして、そのインフラを監視していて、そこで発生したものを分析するという意味でアナリストだったんですよね。僕が元々なりたかった脆弱性を分析する人は脆弱性アナリストだし、あとはセキュリティ向けのプロダクトを作るプロダクトの人は、これまた別の肩書きなんですよね。セキュリティエンジニアという言葉ができたのがここ最近で、どこからどこまで包括しているのか難しいですね。KENGOそういう意味だと、僕にはセキュリティエンジニアという肩書きはついていますが、ハッカー的なことはしないですし、どっちかとういうと、マネージメントだとか分析だとかセキュリティの設計を考えるようなアーキテクト的なところをカバーしているのかもしれませんね。卜部なるほど、そういうセキュリティアーキテクトをやりたいって人は、どういう勉強をしていれば良いんですかね。今後、KENGOの後輩を採用するにあたってどういう人が来て欲しいかってって話なんですけど。KENGOそれに即答は出来ないのですが、どういう人が欲しいかっていう人物像から入ると。