寄 稿

脆弱性診断、ここに導かれて株式会社セキュアスカイ・テクノロジー

越智 郁

はじめに
「導かれているね」「一見関係なさそうだけど、繋がっているんだね」。

る人が多かったように感じます。
私が高専の存在を知ったのは、中学 2 年生の進路面談のときでした。将来の夢や希望する学校が無かっ今回の寄稿の内容をお話しすると、このような反応を頂くことが何度かありました。言ってしまえば単に「新卒で脆弱性診断を職業にしようと思った理由」ですが、た私に、担任から好きなものについてと尋ねられ、「パソコン」と答えたことがきっかけで、高専をおすすめされました。
（パソコンといっても、友人とメールをした

これを「おもしろい」と言ってくださる方もいるということで今回筆をとりました。

り、Webサイトを見たりといった程度です。）
私が希望する県立高校の普通科に、福岡県の学区制という制度上、入学が難しかったことや、私立高校への進学は親に禁止されていたこともあり、おすすめされた高専を目指そうと考え猛勉強しました。
努力の甲斐あって高専に入学できましたが、何か目標があったわけではありません。なんとなく選択した学科のカリキュラムは機械制御の色がとても強く、入学後すぐに工場で機械加工の実習を受けたときに「卒業無理かもしれない」と思ったことは未だに鮮明に覚えています。
また、数学が苦手で、数学コンプレックスを抱えての高専生活となりました。
（習熟度別教材の学習塾で、中学 3 年生のときに小学校4 年生のプリントから学び始めた程です。）

いまのわたし8ンやプロコンに惹かれたり、モノ作りが好きだったり、何よりも就職に強いという特色を魅力に思い、入学す

現在、私は社会人 2 年目です。この春に希望が叶って東京へ転勤し、4 か月が経過しました。
もともと、私以外の同期が全員福岡勤務を希望しており、「同期を大切にしてほしい」や「新人教育に十分なリソースを割きたい」という会社の要望で、1年目は福岡で勤務していました。
転勤後もメイン業務は変わらず、診断チーム内で脆弱性診断を行っています。まだまだ OJT 期間中ではありますが、最近は任せてもらえる範囲が増えてきたことや、先輩方と一緒に脆弱性やシステムの挙動について議論できるようになってきたことが嬉しいです。
さて、業務の内外問わず、私の周りには精力的に様々なことに挑戦されている方が多いと感じています。同

2 年生になると専門科目が増え、理系の色がより強まっていく中で、寝る間も惜しんで勉強し、ようやく成じように自分なりに挑戦をしていると、それに対してポジティブな声かけをしていただけることも増えました。
このように私が物事に挑戦できるようになったのは、2 つの大きなきっかけと、たくさんの縁に導かれたから績が維持できる現実に徐々に疲れてきます。
ロボコンや課外活動、専門科目に打ち込んでキラキラしていた同級生をいつも「素敵だな、羨ましいな」と思っていました。それでも私が勉強を続けたのは、だ考えています。

「成績という目に見える数字が良ければ、こんな私でも、クラスメイトに仲間として認めてもらえるのではな

１つめの大きなきっかけ「情報網はライフライン」
工業高等専門学校、通称「高専」をご存知でしょうか。工業について、中学卒業後の早期から専門教育をうけることができる5 年制の学校です。
私の周りでは工業について興味があったり、ロボコいか？」と考えたからです。せめて勉強くらいできなければ、私には価値がない、目標があって頑張っている人たちのそばにいてはいけないと思っていました。
そんなモヤモヤした気持ちを抱えたまま進級し、3年生の夏。

情報網はライフラインだからです。みなさんがライフラインと想像するのは、水道、ガス、電気でしょう。情たびたび過呼吸を起こすようになり、条件反射のように教室が怖いと思うようになりました。
登校したものの調子が悪くそのまま帰宅することや、報も同じです。連絡できていれば助かった命があるかもしれない。適切な救助活動や支援には、迅速な情報伝達があってこそ。
情報網はそこを支える部分です。
」

保健室で無気力に花を眺めて1日が終わることもたくさんありました。成績も急降下してしまいましたが、先生方や看護師さん、親友の支えもあり、工夫しながらそれから復旧が進むにつれて、僅かながらも避難所に笑顔が戻ったお話を聞きました。

授業に出席することでなんとか進級にこぎつけました。
そんななか迎えた春休み、とある午後のこと。
遅めの昼食をとりながら何とはなしにテレビをつけると、TV局はどのチャンネルも、茶色の世界と、切迫したリポーターのアナウンスが流れていました。

このお話を聞いて、私は情報の持つ力と、当たり前の日々の尊さを感じました。それと同時に、自分には価値がないとぼんやり過ごしていた毎日をとても恥ずかしく思いました。そしてふと、入試の面接で「具体的にはわからないが、社会や人の役に立てるエンジニアになりたい」と話したことを思い出します。

4 年生となっても、相変わらずの生活でした。進路を考える時期を迎え、周りは就活に向けてインターンシップの参加を検討しているようでした。
「このままでは周りに置いていかれてしまう。
」…焦った私は、周りがみんな行くからという理由でインターンシップへ応募しますが、履歴書には動機もかけないまま提出してしまうほどの受け身な姿勢でした。
夏休み。慣れないスーツを着て、福岡県内にある情報通信系の企業へ出社しました。会社概要を教わったり設備見学をさせて頂いたり、学びの多い充実した5日間は、あっという間に最終日を迎えました。
「例年であれば、インターンシップのまとめを行っていただいておりましたが、今年度はこれだけはどうしても話させてください。全員、現場に行ってきた担当者からです。
」―― この前置きから、私たちインターンシップ生に向けた最後の講義が始まりました。
スライドの写真は、春休みの3月11日以降にTVで見た映像と似た、茶色の世界でした。
九州から東北へ、復旧活動を手伝うために工事用の専用車を交代で運転して、被災地へ応援にかけつけたこと。重要な機材を配置した拠点の復旧に取り組んだたこと。一刻も早い復旧を目指して工事に取り組んだこと。―― 担当の方の言葉が続きます。
「みなさん、どうしてここまでするかわかりますか。

「情報の分野で、エンジニアを目指そう。」はじめて私の中で目標ができた瞬間でした。

２つめの大きなきっかけ「セキュリティ・キャンプ」
高専を卒業した 20 歳の春。私は地方国立大学の工学部へ３年次編入します。
大学へ３年次編入をして一番驚いたことは、高専で学んだ専門科目が大学の単位としてほとんど認定されないことでした。
同じ大学の機械工学科に編入した高専のクラスメイ
トはたくさん単位認定をもらい、スカスカの時間割だ
ったのに対し、知能情報工学科に編入した私は「留年確定」と言われるほど単位認定が少なく、ほぼ全ての時間に講義が入る状態となり、授業に追われる1年となりました。
1年間、簡単であるとか授業が被らないとか、単位取得に特化した講義を選択し、良い成績で単位を取るという講義の受け方をし続けた結果、冬頃には、この大学に来た目的に疑問を持つようになっていました。
学年末試験も迫ってきた頃、IPAの未踏プロジェク
トの講演会がありました。必修の連絡があり、しぶしぶ参加します。講演ではスーパーエンジニアたちの活9
JNSA Press

私は教室で過呼吸を起こして倒れました。
これをきっかけに、私は教室に行けなくなりました。

Special Column

SPECIAL COLUMN

脆弱性診断、ここに導かれて躍や成果が紹介されていましたが、単位の方が大事だ
った私は、こっそり講義のレポートをしていました。
思いのほかレポートが早く終わり、申し訳程度に配布されたパンフレットを開くと、そこに挟まれた一枚の「セキュリティ・キャンプ全国大会 2014」の案内。サイバーセキュリティについての簡単な紹介や、合宿形式で学びを深めるといった記載がありました。
頭の中で自分がそれまでに考えていた「情報」が揺らぐ瞬間でした。情報は単に伝われば OKではなく「正しく」「安全に」伝わる必要があるのでは、と。気づけば前の席に座っていた友達に声をかけていました。
「これ、一緒に勉強して応募しない？」

10

期末試験が終了し、友人らと定期的にセキュリティ勉強会を始めました。最初は過去の応募用紙に沿って勉強する予定でしたが、設問のレベルに自分たちが全く追いついていなかったので、とりあえずで「XAMPPで Webサーバを立てる」書籍に沿って学習しました。
また、私はネットワーク・セキュリティクラス（当時）に興味を持っていたので、ネットワーク「っぽい」本を図書館で借り、書籍ベースで勉強を始めました。
朝から晩まで、勉強漬けの春休みを過ごし、大学 4年生の 5月頃。今年度のセキュリティ・キャンプの応募用紙が発表されたという内容を見て、サイトにアクセスします。私の応募したい「ネットワーク・セキュリティク
ラス」の応募用紙は指定のファイルから抽出せよ、という条件がついていました。ところが指定のファイルには拡張子がなく、テキストエディタで開くと文字化けしています。勉強の甲斐なく、今の自分は応募すらさせてもらえないととてもショックを受けました。
その日の晩、実名制 SNSを見ていると、出身高専の先生が「今年の応募用紙は面白いね」と取り上げているのに気づきました。思わず、応募用紙について悩んでいることをコメント欄に書くと「バイナリエディタ」と返事がありました。バイナリエディタというものを知らなかった私は、まずバイナリエディタを取得し、応募用紙のファイルを開いてみました。しかし、私の理解としては先の文字化けとなんらかわりません。ダンプはただの英数字、テキスト表示も文字化けしていたので文字化けのまま、という認識です。
翌日、研究室にてバイナリエディタで表示したものを印刷し、何かヒントはないか、なにか法則性がないかと見ていました。紙を数時間睨み続ける私を不審に思った指導教員に元ネタを提供したところ、あっさり「これが何かわかったよ」とのこと。というわけで、この文字化けは、私がダウンロードに失敗したのではな
く、きちんと人間が理解可能な形になることがわかったので、改めてにらめっこを続けることになります。
それから３日間、思いつく限りのことを試しましたが、わかったことといえばテキスト表示のエリアに「http」「TCP」の文字があるくらいでした。いい加減煮詰まってきたのもあり、一旦応募用紙は忘れて、勉強の続きをすることにしました。そのときは「パケットキャプチャ」について書籍の掲載順に勉強していたのですが、「ファイルの取り出し方」の機能について記載があることに気づきました。
もしや、と思って応募用紙をパケット解析ソフトで開くと、そこに現れたのは httpでファイルをやり取りする通信で、該当の通信から応募用紙を無事に入手できました。
応募締め切りまでの残り時間は、応募用紙の設問を仕上げて行きました。技術的な設問は、わからなくてもかならず手を動かして調べ試しました。自由記述の設問は、きっかけ１で書いたような、なぜ情報に興味を持ったのかと、そこからなぜセキュリティに興味をもったのかについて書き込みました。
応募用紙の提出前夜、準備からいれると約半年。
やりきった達成感で思わず泣けてきてしまい、選考に通らなくても悔いはないと思いながら、事務局に送付しました。
私の熱意が応募用紙から審査の方に届いたのかはわかりませんが、ありがたいことに私は全国大会への切符を手に入れました。セキュリティ・キャンプの具体的な内容は、様々な媒体で取り上げられていますのであえて詳細には書きませんが、私にとって色々な価値観が揺さぶられる5日間でした。
セキュリティ・キャンプは終了後、感想文を提出して本当の終わりになります。今回寄稿にあたり、感想文を初めて開いたのですが、いまの私に繋がる決意表明SPECIAL COLUMN

容易に想像できるし、落ち込む私の姿も浮かぶ。
でも逃げたくはないし、逃げる必要もなさそうだ。
つらいときはここでの思い出と、たくさんの出会いが私を支えてくれるから。自分の歩幅で、歩み続けていこうと思う。
」

そしてそれからここまでの内容ですと、インフラエンジニアになっていそうですが…なぜ脆弱性診断を職業として選んだかというと、セキュリティでご飯を食べることがリアルに想像できるようになったからです。
大学院に進学し、今度こそしっかり就職活動を見据えて行動しようと考えたとき、インターンシップでよい影響を受けた身として、再度インターンシップに参加しようと自然に考えました。また、より深く社会を知るために、次は現場配属型のインターンシップを希望し、各種条件に合ったものに申し込みました。履歴書や面接にて、ここまでの話をしていたため、セキュリティに興味をもっていると判断されたのでしょう。セキュリテ
ィの部署に配属されました。
ここで初めて私にとってセキュリティ、ひいては脆弱性診断という仕事が、SF 作品に出てくるような特殊なものではなく、現実の仕事なんだという実感を得ました。これをきっかけに、情報が「正しく」「安全に」伝わるように貢献したい。セキュリティエンジニアを目指そうと考えるようになりました。

導かれて終わりに、最近私がふっと思っていることを書かせてください。みなさんは、今の仕事ややっていることに、この体験が通じているのかもしれないというものはありますか。
私が初めてパソコンに触れた記憶は、保育園に入園したくらいの頃で、メモ帳でひらがなを打っていました。父に渡されたローマ字変換表には「を」の対応として「O」と書かれており、私の名前「おちかをる」の「を」が打てず、何度試しても「おちかおる」になってしまうというものです。父に聞いても自分で考えなさいの一点張りでした。後日、ふと「わ」は「WA」だから「を」は「WO」とひらめいて入力し、「おちかをる」の入力に成功しました。誰に褒められたわけではありませんが、画面に「を」が打てた時、とても嬉しかったことを覚えています。
同意を得るのは難しいかもしれませんが、個人的にはこの体験はなんとなく脆弱性診断と似ていると思っています。メモ帳では単に画面の表示ですが、Webアプリケーションの診断であれば、診断対象の特性や入力値に対する出力の内容や傾向を見ながら、擬似攻撃を試行錯誤するので、様子を見ながらあれこれ試すという部分が似ているな、と。
また、初めて Webに触れた記憶は私にとって好ましい思い出で、父が電話線を利用してインターネットの設定をしてくれて、家族で母が好きなキャラクターの公式 Webサイトへアクセスしたというものです。
当時と変わり、Webサイトやアプリケーションは特別なものからごく日常のものとなりましたが、そのシステムは誰がどんなふうに利用するのか、お客様の資料を元に考えながら日々業務に取り組んでいます。
私は今、様々な縁に導かれるかのように脆弱性診断の業務に取り組んでいます。この先の未来がどうなっていくか、全く想像ができませんが、周りの方への感謝を忘れず、自分の歩幅で、歩み続けていければと思います。

Special Column「ここからが私のスタート。これからどうなのか、未来はわからない。他人に惑わされてしまうことも11
JNSA Pressを見つけることができました。