自分あらば「好き」語り・その19──セキュリティ
「セキュリティが好きだ」と自分で口にできるようになったのは、実はそう昔のことではありません。新卒でIT企業に入ってから、ずっと何かしらセキュリティと関わる仕事をしてきたのは間違いありませんが、それを「好き」と呼ぶには、理解も経験も足りないと思っていました。本格的にセキュリティエンジニアの仕事をするようになったのは40歳のころで、そこからもうすぐ10年が経とうとしています。ようやく自分の中で「好き」と認められるようになったのは、この積み重ねのおかげなのだと感じています。
最初の記憶──「トロイの木馬」との出会い
セキュリティに関わる一番古い記憶は、新入社員のころに遡ります。自社で利用していたオープンソースソフトウェアのソースコードが改ざんされ、いわゆる「トロイの木馬」が仕込まれていたことが発覚しました。その対応にあたったのですが、当時の私は右も左も分からない新人でした。シニアのエンジニアたちが迅速に調査を進めていく姿を、ただ指をくわえて見ているだけ。私ができたのは、言われた作業をそのまま実行する程度のことでした。
けれどもそのときの光景は、強く印象に残っています。改ざんされたコードを解析し、影響範囲を特定し、関係者に共有する──それら一つひとつの作業が緊張感に包まれていて、「ソフトウェアを作る」「システムを運用する」とは違う、まったく別の責任の重さを感じた瞬間でした。
未熟さと知識の断片
その後もセキュリティと距離を置いたわけではありません。情報発信に関わる部署にいたときには、セキュリティ情報を整理して社内外に発信する業務も経験しました。ただし、そのときの自分はいま振り返ると圧倒的に理解が不足していました。ニュースを読み、専門家の言葉を借りながら原稿を書いてはいましたが、「何がどのように脆弱性となり、なぜ危険なのか」を体系的に理解していたとは言えません。
その頃、CISSP（Certified Information Systems Security Professional）の試験を受けました。幸いにも合格して、当時は無邪気にはしゃいでいましたが、今から思うと、それは決して胸を張れるような合格ではありませんでした。断片的な知識を無理やりつなぎ合わせて、なんとか試験問題に答えられただけ。まるで最近話題のAIが答えを推測しているような、偶然に助けられた合格だったと思っています。
転職と新しい学び
40歳を過ぎたころ、私は脆弱性診断会社に転職しました。ここからが本格的に「セキュリティエンジニア」を名乗る道の始まりだったと思います。そこで得られた経験は濃密で、ソフトウェアの奥深くに潜む脆弱性を探し出す楽しさと難しさを知りました。
そのなかで、ひとつ忘れられない出来事があります。ある会社のウェブサイトの脆弱性診断を担当したときのことです。予算と時間の制約から「重要な部分だけ確認すればよい」というスタンスで取り組んでいたのですが、そこで使われていたCMSに脆弱性を発見してしまいました。しかも、その脆弱性はCVE（共通脆弱性識別子）として登録されることになったのです。それまで、自分にそんな発見ができるとは夢にも思っていませんでした。挑戦が結果につながることもあるのだと、身をもって実感した出来事でした。
その後、44歳で事業会社に転職し、さらに2度の転職を経て現在に至ります。いずれの職場でも「新しい知識と能力を身につけなければ務まらない」ことの連続でした。クラウドが主流になればクラウドセキュリティを学び、ゼロトラストが話題になればその考え方を理解しなければならない。振り返れば、常に自分を鍛え直すような日々だったように思います。
セキュリティは「200職」ある
セキュリティという分野は広大です。ある人はネットワークの防御に長け、ある人はマルウェア解析のスペシャリストであり、また別の人はリスク管理や規制対応に強い。まさに「白って200色あんねん」という言葉をもじって、「セキュリティエンジニアって200職あんねん」と言いたくなるくらい……実際そう言った人がいるくらい、多様な専門性が存在します。
そして、そのどの分野に取り組んでも、必ず「思わぬところから攻めてくる」リスクが待ち受けています。ソフトウェアの脆弱性を突かれることもあれば、人的な不注意を狙われることもある。だからこそ、セキュリティの仕事は常に総力戦であり、総合格闘技のようなものだと感じます。そしてその知的な格闘に身を置くこと自体に、私は魅力を感じているのだと思います。
評価と葛藤
幸いなことに、いまの会社では私の仕事を高く評価していただいています。ただ、正直に言えば「楽して稼げる」世界ではまったくありません。むしろ逆です。新しい技術、新しい概念、新しいビジネスが次々と登場し、それを悪用する攻撃者も絶えない。すべてを完璧にキャッチアップするのは不可能ですし、「100%理解している」と言い切れる分野などありません。
その現実に対する焦燥感もあります。しかし一方で、新しいことを学び、知識をつなげ、できることを増やしていく──そのプロセスには、この上ない喜びがあります。これはセキュリティという分野だからこそ味わえる感覚なのだと思います。
直近の学び──AIセキュリティ
ここ最近、私が特に関心を持って学んでいるのがAIセキュリティです。AIが登場したからといって、セキュリティの基本が変わるわけではありません。しかし、新しい技術に新しい使い方が掛け合わされることで、思わぬ脅威が生まれます。
たとえば、生成AIを悪用したフィッシングの高度化や、学習データを汚染する「データポイズニング」といった攻撃手法があります。また、攻撃手法ではありませんが、生成AIならではの脅威として「ハルシネーション」もあります。AIならではのセキュリティインシデント事例を見聞きするたびに、「その発想はなかった」と膝を打ちます。そして「だからこそ知っておかねばならない」と思うのです。AIの進化は、攻撃者にとっても新しい道具を与えることになります。私たち防御側も学びを止めず、新しい視点を持ちつづけなければなりません。
人の役に立つこと
セキュリティは「人の役に立つ」仕事です。大切な人や組織、モノ、カネ、ITを守ることに直結しているからです。転職活動のときにも「人の役に立つ仕事をしたい」と話してきましたし、その思いは偽りではありません。ただ、あえて言うなら、それ以上に私がセキュリティを好きだと思う理由は「学びつづけられること」にあります。
知識を得て、それを組み合わせて、問題を解決する。まるで無限につづくパズルを解きつづけるような楽しさがあります。
自分の強みとセキュリティ
ストレングスファインダー（クリフトンストレングス）を受けたとき、私は「最上志向」が強い資質のひとつとして出ました。常により良いものを求め、より深く理解しようとする傾向です。セキュリティという分野は、その資質を最大限に活かせる場だと感じています。
「まだまだ足りない」と思いながら学びつづけることができる。新しい知識や技術を取り入れて、それを他人や組織の役に立てることができる。だからこそ、私はセキュリティが好きなのだと心から言えるのだと思います。
おわりに
ITのセキュリティに関わり始めてからもうすぐ30年。40歳を大幅に過ぎてようやく、「セキュリティが好きだ」と自分に言えるようになったのは、試行錯誤の積み重ねの結果だと思います。セキュリティは常に難しく、終わりのない挑戦です。しかしその挑戦をつづけること自体が、私にとっての喜びになっています。
おそらくこれからも、セキュリティという分野で新しい知識を学びつづけ、思わぬところから襲いかかるリスクに立ち向かい、ボロボロに負けながらもまた立ち上がる。そんな日々がつづくのだと思います。そしてその過程を経てなお、「やっぱりセキュリティが好きだ」と言いつづけたいと願っています。
