グローバルに通用するサイバーセキュリティ資格
小熊 慶一郎 / Keiichiro Oguma, CISSP
Director of Business Development, Japan(ISC)2
2016年2月23日

CSIRT人材セミナー© Copyright 1989 – 2016, (ISC)2 All Rights Reservedアイエスシースクエア(ISC)² について• 1989年、米国で設立されたNPO (非営利団体)• 情報セキュリティプロフェッショナルの認定・教育活動を展開• 世界160ヶ国以上で11万名を超えるメンバー（有資格者）• 日本のメンバーは1500名強

DC

中国
ロンドン

東京

香港

タンパ
インド

2
© Copyright 1989 – 2016, (ISC)2 All Rights Reserved

(ISC)2の主な認定資格

Certified Information Systems Security Professional

情報セキュリティ専門家資格のグローバルスタンダード。
2015年5月に10万人を達成!!

Systems Security Certified Practitioner

日々の業務に必要な情報セキュリティの体系的な理解を認定する資格。
ネットワークエンジニア・システムエンジニアなどにおすすめ。

3© Copyright 1989 – 2016, (ISC)2 All Rights Reservedセキュリティ人材需要の高まり
ユーザ企業におけるセキュリティ人材需要の増大
ユーザ企業

ITベンダ企業4© Copyright 1989 – 2016, (ISC)2 All Rights Reservedユーザ企業で働く情報セキュリティプロフェッショナルの悩み■ 自分の考え方は正しいのか?
• 100%確実と言えない状況での判断• 事業部のビジネスを止めるべきか否か• 事業部門からの理解■ スキルが錆付いてしまわないか?
• 日々発生するインシデントへの対応と、新情報のキャッチアップの両立■ 自分のキャリアパスは?
• CSIRT協議会の「CSIRT人材の定義と確保(Ver.1.0)」

5© Copyright 1989 – 2016, (ISC)2 All Rights Reserved

「CISSP/SSCPとしての考え方」
CISSP/SSCPの資格は、テクノロジを理解していることに加え、「CISSP/SSCPとしての考え方」を身に付けていることが求められる。
「CISSP/SSCPの考え方」の例• 情報セキュリティマネジメントは、適切なポリシー、スタンダード、プロシージャ、ガイドラインが実装され、業務が許容範囲内のリスクレベルで確実に実施されていることを検証するものである• セキュリティは、組織のビジョン、ミッション、事業目標をサポートし、実現することを目的とする• ユーザ企業で働く情報セキュリティプロフェッショナルに必要• グローバルスタンダード
6© Copyright 1989 – 2016, (ISC)2 All Rights Reserved

スキルの維持
• CISSP/SSCPは、CPE(Continuing ProfessionalEducation credits: 継続教育クレジット)を獲得しないと維持できない。
• CISSPでは年間40ポイント、SSCPでは20ポイントが求められる。セミナー等への参加1時間で1ポイントを獲得することができる。
• CISSP/SSCP資格保有者を擁するユーザ企業の皆様、資格保有者に対して継続教育の機会を提供するようにお願いいたします。
(資格維持費用も^^;)7© Copyright 1989 – 2016, (ISC)2 All Rights Reserved

キャリアの考え方CISOには経営的視点からセキュリティを考えることが求められる。
これはCISSP/SSCPに求められる考え方でもある。
車のブレーキに例えると…

単なるブレーキマニア↓
車を確実に止めるブレーキを考える仕事↓
コーナーを最速で抜けるためのブレーキを考える仕事↓
最速ラップを出すためのブレーキを考える仕事↓
レースで勝つためのブレーキを考える仕事 ← CISOの視点
8© Copyright 1989 – 2016, (ISC)2 All Rights Reserved

CSIRTの体制と(ISC)2の資格※ 日本シーサート協議会
日本コンピュータセキュリティインシデント対応チーム協議会「CSIRT人材の定義と確保(Ver.1.0)」 - 「平時の体制」より
9© Copyright 1989 – 2016, (ISC)2 All Rights Reserved新しいCISSPのドメイン
昨年4月からCISSPのドメインが変更になりました。
1. セキュリティとリスクマネジメント
2. セキュリティの運用
3. アイデンティティとアクセスの管理
4. 資産のセキュリティ
5. セキュリティエンジニアリング
6. 通信とネットワークセキュリティ
7. ソフトウェア開発セキュリティ
8. セキュリティの評価とテスト

10© Copyright 1989 – 2016, (ISC)2 All Rights Reserved

CISSPドメインの変更
技術的な視点から、職務(組織)的な観点での分類へ
1. 情報セキュリティガバナンスとリスクマネジメント

2. セキュリティアークテクチャと設計

1. セキュリティとリスクマネジメント
2. セキュリティの運用

3. アクセス制御

3. アイデンティティとアクセスの管理

4. ソフトウェア開発セキュリティ

5. 運用セキュリティ

4. 資産のセキュリティ

6. 暗号学

5. セキュリティエンジニアリング

7. 通信とネットワークのセキュリティ

6. 通信とネットワークセキュリティ

8. 物理（環境）セキュリティ

7. ソフトウェア開発セキュリティ

9. 事業継続と災害復旧の計画

8. セキュリティの評価とテスト

10.法・規則、コンプライアンス、捜査セキュリティ組織を統括するポジションに求められる能力を認定する資格としてCISSPを位置づけ
11© Copyright 1989 – 2016, (ISC)2 All Rights Reserved

SSCPのドメイン
SSCPのドメインも新しくなっています。
1. アクセス制御
2. セキュリティの運用と管理
3. リスクの特定、モニタリングと分析
4. インシデントレスポンスとリカバリ
5. 暗号
6. ネットワークと通信のセキュリティ
7. システムとアプリケーションセキュリティ

12© Copyright 1989 – 2016, (ISC)2 All Rights Reserved

資格取得の流れ••••

5年(大卒者は4年)以上の関連業務経験(ISC)2倫理規約(Code of Ethics)に合意
6時間で250問の試験に合格
エンドースメントを受け、認定••••1年以上の関連業務経験(ISC)2倫理規約(Code of Ethics)に合意
3時間で125問の試験に合格
エンドースメントを受け、認定

13© Copyright 1989 – 2016, (ISC)2 All Rights Reservedグローバルの資格であること• 海外で情報セキュリティの仕事をするのであれば、CISSP/SSCPを持っていることが前提、と言われます。
• 外国とコミュニケーションをとる可能性がある情報セキュリティプロフェッショナルは、是非資格を取得していただきたいと思います。
• 情報セキュリティ技術については日本と海外の差は縮小していると思いますが、情報セキュリティに関する組織はまだ海外が先行しているように思えます。
• 海外でのCISSP/SSCP資格取得者のキャリアップモデルを参考にして、日本でもキャリアアップしていっていただきたいと思います。

14© Copyright 1989 – 2016, (ISC)2 All Rights Reserved

(ISC)2の活動• CISSP/SSCP保有者に教育の機会を提供します。
• (ISC)2によるセミナーの開催• (ISC)2 Japan Chapter活動の支援• 情報セキュリティに関するセミナーのCPEサブミッター認定とCISSP/SSCP保有者への案内• CISSP/SSCP公式トレーニングを提供します。
• CISSP/SSCP資格の認知度と信頼を高めるために活動します。

15© Copyright 1989 – 2016, (ISC)2 All Rights Reserved

まとめ• ユーザ企業で働く情報セキュリティプロフェッショナルは、ビジネスと情報セキュリティのバランスをとることが重要。その際、CISSP/SSCPとしての考え方が参考になる。

• ユーザ企業では、意識して最新情報を得るようにしないと、スキルが錆付いてしまう可能性がある。その時、資格の継続教育の仕組みが背中を押してくれる。
• ユーザ企業で働く情報セキュリティプロフェッショナルのキャリアパスとしてCISOが考えられる。その際、海外のCISSP/SSCP保有者のキャリアモデルが参考になる。

16© Copyright 1989 – 2016, (ISC)2 All Rights Reserved

安田先生にBoardを受任いただいています17https://www.isc2.org/board-of-directors.aspx© Copyright 1989 – 2016, (ISC)2 All Rights Reserved

Mission and Vision
Mission: Support and provide members and constituentswith credentials, resources, and leadership to address
cyber, information, software and infrastructure security
to deliver value to society.
Vision: Inspiring a safe and secure cyber world18© Copyright 1989 – 2016, (ISC)2 All Rights Reserved

(ISC)2資格保有者の皆様へのお願い• (ISC)2資格保有者のコミュニティ活動に、是非主体的に関与してください(提案をお待ちしています)。
• (ISC)2 Japan Chapterとして、(ISC)2として、どちらでも構いません。
お気軽に以下にご連絡ください。

koguma@isc2.org - 小熊 慶一郎 (おぐま けいいちろう)(ISC)2資格保有者のスキルアップにつながるような活動の提案をお待ちしています!!
19© Copyright 1989 – 2016, (ISC)2 All Rights Reserved© Copyright 1989 – 2014, (ISC)2 All Rights Reserved