SHIELD Security Reserch CenterTABLEOFCONTENTS

宮本 久仁男インタビュー …………………………………………………………………… 3Threat Scope ………………………………………………………………………………… 8●はじめに本文書は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security ResearchCenter) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. http://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただいたことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2015. All rights reserved.

2

さまざまな視点からセキュリティ人材育成について語る

宮本久仁男 インタビュー
Kunio Miyamoto

取材・文・撮影＝斉藤健一
らは企画・実行委員長という立場でキャンプに携わっておられます。まずはこれまでキャンプを実人材発掘に貢献するセキュリティキャンプ

施してきた成果といいますか、セキュリティ人材
斉藤（以下育成でどのように貢献してきたか、お考えを伺い）：本日はお忙しい中、時間を割いたいと思います。ていただきありがとうございます。今回は、主にセキュリティキャンプ（以下キャンプ）のことや、キャンプは、10 代前半から 20 代前半の若い宮本さんが考えるセキュリティ人材像などについ世代で、やる気のある人たちを発掘することに貢て話を伺っていきたいと思います。よろしくお願献できていると考えています。発掘とは育成の前いします。の段階です。単に育成といっても、育成対象とな宮本（以下る人材がいなければ意味がありません。そこで参）：こちらこそ、よろしくお願いし加人数に限りはありますが、キャンプというイベます。
では早速、キャンプについて伺います。今年

ントを継続して実施することで、セキュリティにも 8 月に全国大会が開催される予定です。宮本さ興味を持つ人たちに出てきていただこうとなったんはこれまで講師 WG 主査として、そして今年かと考えています。もちろん、これは私一人の力で3

クルは順調に動いていると思います。

は全くなくて、初期の立ち上げに尽力いただいた方々、協力していただいた講師・実行委員・事務局の方々をはじめ、セキュリティ業界内でキャンフォローの役割を果たすプについて意見をくださる方々など多くの人のお地方大会とジュニアキャンプかげだと感謝しています。
確かに。キャンプ卒業生がその後セキュリティ

次に、地方大会について伺います。先ほどの回業界で活躍する例は多数ありますから一定の成果答でキャンプ全国大会の参加人数の制約についてはあったと私も感じています。続いての質問です

触れられていましたが、地方大会は人材発掘の取が、宮本さんから以前、キャンプの目的の 1 つにり組みを広げることを目的に開催されているのだ

ついて伺ったことがあります。それは、セキュリと思います。個人的にユニークだと感じたのは、ティに興味を持っている若い世代は、往々にして本年 5 月に高知で行われたジュニアキャンプの合共通の話題を持つ友人がいないことから、学校な宿講座です。参加者を中学生に限定しましたが、どのコミュ二ティで孤立しているケースが多い。

この意図についてお聞かせください。

キャンプでは彼らのコミュニティを作りたい、と残念ながら、私自身、高知のジュニアキャンプいうものでした。この点についてはいかがですか。には直接的に携わってはいないのです。ただ、本当然のごとく、こちらも全員というわけには行

件のキーパーソンに伺ったところ、全国大会・地きませんし、細かな地域コミュニティというとこ方大会とも主な参加者は高校生・大学生であり、ろまで発展しているかどうかわかりませんが、日下の世代が参加できるものを企画したかったとの本横断や、限定された範囲ではあるものの国際交ことです。高知高専の先生方にもご協力いただき、流といったレベルでのコミュニティ形成ではおお多くの中学生に集まってもらえたとのことで、一むね成功していると思います。例えばキャンプの定の成果はあったと認識しています。

同期という横のつながり、チューターを務める

キャンプ全国大会の応募に際して、中学生はやキャンプ卒業生や講師といった縦のつながりなどはり不利ですか。

があります。また、それらのつながりと関連すそうですね。応募時点の経験や知識・スキルなるコミュニティもありますから、コミュニティはどを比較すると、中学生よりは高校生、高校生よ徐々に大きくなっています。さらに、コミュニティ

りは大学生の方が豊富であることは否めませんかの中に優れた人材や面白い人材がいると聞けば、ら。もちろん、将来性に期待して中学生に参加し周りから人が集まってきます。そして、このサイてもらうこともありますが、その将来性を上回るほどの知識やスキルを持った高校生・大学生がいたとすれば、選考ではそちらが有利になると思います。ただ、全国大会の選考で見た感じですが、高校生・大学生顔負けの知見や技量を持つ中学生も少ないながらいます。そういう人たちがもっと出て来てくれればとも感じています。
ジュニアキャンプはそういった若年層をフォローする意味合いもあるのですね。
卒業後も成長できるチューター制度●宮本 久仁男（みやもと・くにお）
NTT データに在籍。社内では NTT データグループを対象とするキャンプではかつての卒業生をチューターとしCSIRT である NTTDATA-CERT のメンバーとして活動する一方、セキュリティ・キャンプをはじめとする若年層の人材を発掘・育成て招き入れています。この仕組みもチューター自するプロジェクトにも深く関わる。2011 年 3 月に博士（情報学、身のスキル形成などに役立っていると思うのです

情報セキュリティ大学院大学）取得、2014 年 3 月に技術士（情報が、いかがでしょうか。

工学部門）登録。

4

チューター制度は開始 2 年目から取り入れましいすることとなりましたが、上野氏は面白い考えた。出発点は、何かしらの形で卒業生をフォロー方の持ち主で、寿司屋のカウンターのように参加アップしたいという思いからでしたが、ちょうど者の前に講義という「ネタ」をいくつも並べておその頃はキャンプ運営を手伝ってくれる人が不足き、自由に選べるようトラック制に変更しました。

していたので、チューターとして参加してもらう参加者に興味の幅を広げてもらおうという狙いがことにしました。この点で言えば成果はあったとあります。また、これによってさらなる多様性も思います。ところが、数年経った時点で、ある問生まれると思います。もちろん、これまでのクラ題に気が付きました。キャンプの卒業生は毎年一ス制のように同じジャンルの講義を受けることも定の数で増えていて、現在は 400 名を超えていまできます。

す。チューターも応募制ですから、その選考にはよいアイデアだと思います。

苦労しています。

複雑化するサイバー脅威に対するセキュリティを考える上で、特定の専門分野に加えて、聞きかチューターも応募制だとは知りませんでした。

じり程度であっても早い時期から幅広い分野の知倍率はどの程度なのでしょうか。
こ こ 何 年 か は 数 倍 程 度 で 推 移 し て い ま す。

識や考え方に触れておいた方がよいと私自身も考チューターの場合、講師のサポートや参加者へのえていますから、トラック制には期待しています。

配慮など、セキュリティの知識やスキル以外の要素も求められますから、年々ハードルは上がってセキュリティ人材に求められるマインドいるように感じます。ただ、こういった経験を積むことによって、エンジニアとしてより成長でき今度はテーマを変えてセキュリティ人材についるとも思っています。て、技術者としての宮本さんに意見を伺いたいと思います。現在、日本において 8 万人ものセキュチューターでも人数の制約の問題があるのです

リティ人材が不足していると言われています。個ね。
はい。もっとも、ミニキャンプなどの地方大人的には数字ばかりが注目されており、求められ会もありますから、講師やチューターとしてそちる人材像などがメディアで語られることは非常にらの運営をサポートしてくれる人を募るなどして少ないと感じています。スキルの面では ISOG-J とフォローしています。

OWASP Japan が共同で取り組む「脆弱性診断士スキルマップ」※などの指標が出てきていますが、それ以外の面、例えばマインドなどで何かお考えクラス制からトラック制へはありますか ?
そういえば、今年からキャンプでは講義の体制あくまで個人の見解ですが、モチベーションをが変更になりますね。これまでは「ネットワーク」持ち続けることが大事なことだと考えています。

「Web」「ソフトウェア」などジャンル別のクラス

そのためには、対象への「こだわり」や「思い込制でしたが、今年からはジャンルを超えて好きなみ」があった方がいいと思います。こだわりを持っ講義を受けられるようになります。これにはどのていれば、その事柄には積極的に関わっていくよようなお考えがあったのでしょうか。

うになりますし、思い込みがあれば、周囲の意見クラス制自体はこれまでうまく機能していたとに左右されることなく突き進むことができます。

認識していますが、他の分野やクラスで扱うテー

例えば、常識外れだと周囲からの反対に遭ったとマを外れた場合のフォローアップに制約がありましても、思い込みを貫き通し完成させたシステムした。今年からは上野宣氏に講師 WG 主査をお願やソリューションが常識そのものを変えていくこ※ 脆弱性診断士 (Web アプリケーション ) スキルマップについて（PDF 形式）
http://isog-j.org/output/2014/about-pentester-web-skillmap-201412.pdf
脆弱性診断士 (Web アプリケーション ) スキルマップ Ver.1.0（PDF 形式）
http://isog-j.org/output/2014/pentester-web-skillmap-201412.pdf

5

とだってあり得るわけです。ですから、こうしたと、経験が知識を生み、知識が経験を連れてくる。

気概は持っておいてほしいと思います。それに、そしてこれを支えるためのモチベーションも重要

きちんと動いて役立ちそうなものが目の前にあるだと思います。まずは、勉強会などに積極的に参と、反対している人の見方や意見も変わってくる加して、さまざまな知見に触れてみるのがよいとように思います。

思います。

確かにおっしゃるとおりだと思います。

道のりはなかなか険しそうですが、挑戦する価値はありそうですね。

余談ですが、こだわりや思い込みは、それぞれ「オタク」や「中二病」の特徴でもあります。ですから「成長するにはオタクや中二病の気質が必要自らも強いモチベーションを持ってだ」とも言い換えられますね（笑）
。

さまざまなことに挑戦

それは面白い意見です（笑）
。
ここからは宮本さんご自身について伺いたいと思います。最近、宮本さんは技術士の試験に合格組織に必要な調整役という存在されたとお聞きしました。また、以前は博士号を次に視点を変えて、組織全体から見た人材像に取得されるなど、公私含めて積極的に活動されてついて伺いたいと思います。宮本さんから見て、います。こういった活動は、これまで伺った「モ現在組織で求められる人材について、何かご意見チベーション」の話に通じるように思えるのですはありますか。

が、いかがでしょうか。

セキュリティでいえば、必要な人材については全くそのとおりです。博士号は、以前からチャ

おおまかに「技術者」「インテリジェンスアナリンスがあれば取りたいとは思っていたのですが、スト」「オーガナイザー」が考えられると思います。

幸運なことに、2005 年頃、会社から打診があってただ、それぞれの職種の立場や役割がきっちりと機会を得ることができました。大学院ではセキュ区切られてしまうと、かなり窮屈な組織になってリティの研究を行っていたのですが、その当時、しまうとも思っています。ですから、職種の枠を大学をはじめとする学術の世界と企業などの実務超えて間を取り持つ「調整役」のような存在も必の世界とではかみ合わない部分があるように思え要だと感じています。日本ではオーガナイザーがて、この間を埋めるために何かしたいという思い調整役も務めることが多いのですが、組織を統括があったのです。また、セキュリティも情報科学して向かうべき方向を指し示しつつ、メンバーのに属する部分がありますから、これに真剣に取り調整も行うというのは、大変なことだと思うので組みたいという気持ちもありました。

す。

技術士の方はどうでしょう。

よくわかります。

将来を 10 年～ 20 年というスパンで考えたとき

おそらく、調整役のイメージとしては、軽いフッに、情報システムを作る人たちに何らかの資格がトワークや幅広い人脈、そして自身が持つ情報や課せられるのではないかと思ったのがきっかけで見識をもって動きまわる感じです。そして時には、す。話は変わりますが、建設業の世界では、設計組織内にいるだけでは知ることができない外部のにおいても施工においても、仕事を進める上でさ情報を伝える役割も持っています。語弊があるかまざまな資格が求められます。その中で技術士はもしれませんが、個人的にはこれを称して「遊びメジャーな資格の 1 つです。そして、今後成熟し人」とか「吟遊詩人」などと呼んでいます（笑）
。ていく ICT の世界も、もしかしたら建設業の世界なるほど（笑）
。これも先ほどと同様に面白いのようになっていくのかもしれないと考えたので例えですね。ところで、「遊び人」や「吟遊詩人」

す。これはあくまで個人的な予測であり、自分自になるにはどうしたらよいでしょうか。

身、今後 10 年～ 20 年後も仕事を続けていくのか知識を持っているだけではなれませんし、経験という話もありますが、考えたことを何かしらのだけでもダメ。総合知識をもって歩き回っている形で示したいと思ったのがモチベーションになっ6

り組みを行っていて、徐々にではありますが成果ています。
私も、この取材の前に技術士について少し調べは出ていると感じています。あと、若手を育成すてみたのですが、建設業界ではメジャーな資格でるといっても、知識やスキルを継承するにはベテすが、情報の世界ではそれほどメジャーではないランの方の協力なくしてはできないと考えていまことがわかりました。ちょっと不思議に思っていす。

ましたが、お話を伺い納得しました。ところで、確かに。教える側・教えられる側の両方がいな

宮本さんのモチベーションの源泉はどこにあるのいと育成は成り立たないですね。

でしょうか。

あと、ベテランの方には、若い世代の人たちをやはり「自分の興味」に尽きるのだと思います。

不当に排除するのはやめてほしいと思います。例

自分の活動を振り返ると、関わっているのはすべ

えば「若手はすっこんでいろ !」といった、頭ごなて興味ある分野です。会社の業務もやりがいがあしというか上から目線のような姿勢です。もちろりますし、キャンプの場合は、開催期間中の参加ん、お互いが時には楽しんで、時には本気で競い者の成長ぶりを見続けたいとも思っています。例合うのはよいと思います。おそらく、ベテランにえば、イベントでは、参加者・演者・主催者などなるまでには、酸いも甘いも噛み分けていると思

いくつかの参加形態がありますが、より中心に近いますから、獲得した知見は相当のものがあるこ

い位置にいる方がより大きな楽しみを得られるととはわかります。ですからそういった知見は、若思うのです。そして、より中心近くに居続けるた手へのスキル継承などに役立て、悪い意味での競めには、自分の腕を磨き続けなくてはなりません。

争ではなく「共創」ができるようになるといいでまた、「自分が楽しむ」というと手前勝手に聞こえすね。

るかもしれませんが、自分が楽しむには、当然、共創とは言い得て妙ですね。

周囲がよい方向に向かって進んでいることが重要話は少しそれますが、ベテランの方が第一線になります。ですから、自分ができるところは積を退いた後のコミュニティとの関わり方にも興味極的にお手伝いするというスタンスなのです。

を持っています。セキュリティ関連の仕事や業種が成立したのは最近のことですから、将来の姿がベテランと若手が「共創」できる見えないと思うのです。まだ、漠然としたアイデ

コミュニティ作り

アレベルですが、現役を引退した方々が地域のコミュニティでセキュリティの相談役になるのはど最後の質問になりますが、セキュリティ業界うだろうと考えています。ちょうど現役を引退さの年齢構成について伺ってみたいと思います。セ

れた医師の方々がボランティアとして医療相談にキュリティ業界で活躍している人たちを見ると 40携わるような形です。

代の方々が多いように思えます。一方、オープン一般ユーザーへの脅威も拡大してきていますか

ソースの世界など他のコミュニティでは 20 代がら、そういった相談が地域でできるようになると中心になっているところもあるそうです。業界やよいですね。

コミュニティの高齢化に関して、宮本さんはどのはい。ただ、理想を言えば、現在のようにセようにお考えですか。

キュリティに多くの人員が必要とされる社会では40 代を高齢と呼ぶには語弊があるので、ここなく、社会やシステムに守る仕組みがあらかじめではベテランという言葉を使わせてください。ま組み込まれるようになるとよいと思います。実現ず、業界やコミュニティの年齢構成ですが、若は難しいとは思いますが。

い世代の人たちが入ってくれば、相対的にベテ

セキュリティ人材増という流れの中では見落とランの割合は減ることになります。キャンプやしがちですが、本質を突いていると思います。イ

SECCON などの取り組みには、若い世代の人たちンタビューを通じて示唆に富んだ数々の意見を伺に出てきてほしいという思いがあります。他にもうことができました。本日はありがとうございま

セキュリティ業界では若手の技術者を支援する取した。
7

ハッカーやセキュリティにまつわるニュースを独自の視点から捉える時事コラム

Threat Scope#09 ディフェンダーのジレンマ
文 = エル・ケンタロウ
対して包括かつ発見的な研究（ヒューリスティッ激化するサイバー攻撃、クアプローチ）を行った。

セキュリティ企業も標的にレポートの内容は、セキュリティ業界関係者にとってはこれまで言われてきたことが多いだろう

サイバー攻撃による企業や組織の情報漏えい事が、クライアント（ソリューションを導入する一件が後を絶たない。標的となった企業や組織の規般企業）が抱えるセキュリティに対する問題を明模や業種もさまざまだが、日本年金機構のように確に分析したものだと言えるだろう。

セキュリティポリシーや運用体制の不備といったレポートではまず、セキュリティに対するクラ意識の低さが情報漏えいにつながっている例も多イアントの悩みや認識を紹介している。組織のい。

セキュリティ体制は組織の業種や規模などによりまた、先日には政府機関などに監視ツールの販異なるが、ベンダーが提供するセキュリティソ売を行っていたイタリアのセキュリティ企業であリューションの多くは、中小企業には向いていな

る Hacking Team もサイバー攻撃を受け、機密情いこと。組織内のネットワークを物理的に隔離す報が漏えいしたことが明らかとなった。

ることは状況によっては有効な策であること。社

このように、どんな組織であっても被害に遭う員が自身の端末を企業内ネットワークに接続する可能性はあり、さらに報道されているのは氷山のニーズは組織にとっての脅威状況の複雑化を加速一角でしかない。常に変わり続ける脅威状況の中させていること。CISO の多くはセキュリティをで、企業や組織はセキュリティとどう向き合い、取り巻く現状は攻撃者優勢と考えていることなどいかにして情報を守ればよいのだろうか ?

だ。これらは従来セキュリティ関係者の間では共通認識として考えられていたことが間違っていな企業のセキュリティ問題をいことを裏付けている。

明確に分析するレポート

また、多くのクライアント組織は自分たちがどのようなソリューション、インテリジェンスが必軍事・政策・経済など多岐にわたって分析を行っ

要か、またこれらのソリューションをフルに活用ていることで知られる米国ランド研究所は、このできるかどうか不安を抱えていることも明らかに

度『ディフェンダーのジレンマ：サイバーセキュなった。

リティへの道標』なるレポートを発表した。162

レポートではさらにクライアントの傾向にも言ページにもおよぶ本レポートでは、従業員 1000及している。

人以上、売上が 100 億円以上の企業の CISO（最サイバー攻撃の被害に遭った際、知的所有権高情報セキュリティ責任者）18 名にインタビュー

よりも組織の世評への被害の方が多くの CISO にを行っている。

とっては重大な問題であること。攻撃による被害

他にも現在セキュリティ業界が提供しているさ

状況把握の多くは完全とは言えないこと。多くのまざまなソリューションの有効性を検証したり、組織ではネットワーク侵入によるリスクの明確化

ソフトウェア業界が抱えるセキュリティ問題の分と組織内の共有がうまく運用できていないことな析を行ったりするなど、サイバーセキュリティにどだが、この状況は今後も変化しない可能性が高8

3. CISO の多くは政府機関への期待は低いが、政府い。また、多くの CISO はセキュリティソリューションに予算を割く場合、SOC（セキュリティオ機関は協力する体制を準備しておく必要があるペレーションセンター）のような人間が介在する（CISO の多くは、有事以前は政府側からの協力ソリューションを好むのだそうだ。

に対して懐疑的な見方をしているが、有事の際には政府との協力が重要という考え方を持つ傾向にある、とインタビューから判明している）。

ランド研究所による組織のセキュリティへの提言

レポートではセキュリティが抱える悲観的なパ
このようなクライアントが抱える悩みの多くはラドックスこそが実はセキュリティ向上への鍵で今までセキュリティ企業からは見えにくく、明確あるとランドは締めくくっている。大規模な情報化できずにいた部分だ。これらの研究結果を受け、漏えい事件や、毎日のように増加し複雑化する脅

ランド研究所はクライアント側、ベンダー側への威状況を受け、数年前に比べれば組織におけるサイバーセキュリティに関する改善案とフレーム

CISO の重要性は認識されるようになり組織内でのワークを本レポートの最後に提案している。

影響力も強くなってきている。この影響力と OSや各種ソフトウェアなどのセキュリティ機能の強1. 組織内で防御が必要な資産の明確化、また対象化、セキュリティソリューションの多様化などに資産がどれほどの防衛が必要か、明確にすべき

よって、サイバー攻撃が成功するハードルは日々である。

高くなっていることは確かだ。とはいえ、IoT が2. 組織全体としての防衛、ネットワーク境界線のもたらす脅威状況の複雑化が予測される現状、さ防衛、内部の組織体制、情報管理などリソースらにハッキングがビジネスとして確立してきてい分配を明確にし、最重要要素に注力できるようることから今後も攻撃者と企業・組織の攻防は続にする。

くだろう。

●参考 URL
・The Defender’s Dilemma: Charting a Course Toward Cybersecurity
http://www.rand.org/pubs/research_reports/RR1024.html

9