SMEに聞くリアル！第6回

第6回：NRIセキュアテクノロジーズ株式会社　時田　剛様

1．現在のお仕事内容を教えてください。

情報セキュリティサービス専業企業として、弊社では3つの大きな事業を柱としています。1つ目はお客様のネットワーク機器などをお預かりしてセキュリティ上のお世話をするMSS（マネージドセキュリティサービス）、2つ目はWebアプリケーションなどの脆弱性を検査し、発見された問題について解決策などを提案するコンサルティングサービス、3番目がセキュリティツールなどを開発・販売するソリューション事業となります。私が所属する事業開発部は、主にSANSやCISSPなどのトレーニングをお客さまに提供する部署となりますが、3つの事業のいずれにも属していないため、各事業部で対応が難しい案件が流れてくることもある遊撃的な部門と言えます。そのため、通常のトレーニングに関する営業や開催支援だけではなく、オリジナルトレーニングの開発や、eラーニングのテクニカルサポートのほか、人材育成に関するロードマップの作成といったコンサルティング業務にも携わっています。

2．初めてのITのお仕事は何でしたか？

労働や成果物に対する対価をいただくという意味でのお仕事は、アセンブラのプログラムでした。あまり市場に出回ることのない特殊なマイコンを使ったもので、広辞苑くらいの厚さがある技術仕様書を見ながら制御プログラムを書きあげたことを覚えています。当時は使えるメモリ領域が少なかったことから、いったん動作するプログラムを書きあげたあとは、納期までひたすらサイズを縮小することに命を削っていました。

3．現在のお仕事に就くまでの経験や経歴で役立ったことを教えてください。

元々、いろいろなことに興味を持ち、現職とはまったく関わりのない方面でも活動をしていたのですが、共通して言えることは、時間管理と責任感を持つことだと思っています。お仕事の場合、当然のことながら時間的な制約（納期）があるため、試行錯誤をした結果できませんでした…というのは許されません。とうしても技術的な問題に突き当たると追及したくなるものですが、納期までに成果を提出すること。そして、その成果物の付加価値として、例えばコードサイズの小さいものであったり、他のエンジニアが読みやすいコードを書くとことなどがあるでしょう。そのためには、納期までの時間を管理し、場合によっては途中のメルクマールを設定すること。遅れが発生することを想定したスケジュール管理の大切さを学んだ気がします。

4．認定資格を取得される際、どのような勉強方法をされていますか？

基本的に資格試験のために勉強することはありません。資格試験は、勉強してきたことの自己確認という意味を私の中で持っているためです。業務上で求められた資格であっても、勉強を進めるにつれて関心が強くなるので、最初から最後までモチベーションが下がるということもあまりないのは、私の性格によるものかもしれません。

5．その際に、モチベーションとなった事柄があれば教えてください。

特にありません。

6．取得されているCompTIA認定資格を教えてください。

CompTIA Security+ です

7．CompTIA認定資格はお仕事にどのように役立ちましたか？

IT系の分野は技術の進歩が早く、全般的な傾向の変化や新しいテクノロジーの登場をすべて押さえておくことは事実上不可能だと思います。そのような時、CompTIAの資格は、求められる業務経験などに応じてまとめられているため、傾向を掴む際に役立っています。

8．取得されているCompTIA認定資格とご自身のお仕事の関連度合いをパーセンテージで教えてください。

80％くらいだと思います。業務では、より技術的に掘り下げた内容となっていることや、社会人経験もCompTIAが求めている要件を大きく超えてしまっているのですが、トラブルシュートであったり、実務的な対応に大きな違いがないことが主な理由です。

9． CompTIA以外で取得している認定資格を教えてください。

ITっぽいものだけ挙げますが、既に失効したり、業務に関係がないものも含みます。
第一級アマチュア無線技士
第1級陸上無線技術士
危険物取扱者甲種
第3種電気主任技術者
第1種電気工事士
CCIE（Cisco Certified Internet Expert: Router & Switch, Security）
CCSI（Cisco Certified System Instructor）
CISSP（Certified Information System Security Professional）
CISM（Certified Information Security Manager）
NSA IAM（INFOSEC Assessment Methodology）
NSA IEM（INFOSEC Evaluation Methodology）
MCSE
MOT
ISO 27001審査員補
ISC2 認定講師
HP ProCurve Security/Mobility認定講師

10. 認定資格の取得前後で、給与面における変化はありましたか？

資格加算というのがないので、目に見える形で給与面に変化はありませんが、昇格時の考慮対象になっているので、間接的には影響を与えているのではないかと思います。ただ、資格はできることの裏付けであって、業務の実務能力ではかられる会社なのですが、目立つことをいかにアピールしながらやるほうが昇格には手っ取り早いような気がするのは、どこでも言えることかもしれません。

11. 認定資格を取得したことで、仕事上でやりたいことができるようになりましたか？

資格があるから仕事が依頼されるというよりも、資格があることで、実務能力があると判断されるようになったことが多いように思います。とはいえ、営利企業に所属しているので、テクニカルな部分を追求したいという方向性に対して、必ずしも完全にフィットした業務がアサインされるわけではありませんが、業務の性質が近いものが来るようになった気がします。

12．今後、認定資格は「より重要」OR「重要性は低くなる」と思いますか。その理由もお聞かせください。

「より重要」になると思います。情報セキュリティ業界では、IPAの調査により8万人の情報セキュリティ人材が不足していると言われており、企業においても人材の確保が課題となっています。しかしながら、体系的に情報セキュリティを学ぶ環境は、我が国にはまだまだ少なく、OJT（On the Job Training）で身につけてきた方がほとんどという状況です。そのような中で、一部のスタープレイヤーは、名実ともに社会的に評価されるため、資格によらずとも技術力があると判断されていますが、大半の情報セキュリティエンジニアは、自分ではできると思っていても、経営層からすると判断基準がないという状態にあると思います。そのような時に、CompTIAのような実務経験を要する資格や、SANSのように業務に役立つ（How to do the Job）資格というのは、経営層にとって客観的に情報セキュリティの能力があるという指標になるからです。また、これらの資格は自分の価値を高める継続教育（CISSPであればCPE）が維持には必要となるため、自ら自己啓発をしなければならないという好循環に導くことができるからです。

13．これからIT分野での活躍を目指す人たちにエールをお願いします。

ひとことでIT分野といっても、非常に広い業界です。一般的にはソフトウエアを作ったり、ネットワークを構築したりといった仕事ばかりが注目されますが、服飾、通販、果ては農林水産業に至るまでITなしでは経済活動が行なえなくなっています。その意味では、全ての職種がIT業界に何かしらの関わりがあると言えるでしょう。寡黙に経済基盤を支えるインフラ周りの仕事に従事したり、社会に変革を与えるようなプログラム開発であっても、好きなことであれば続けられると思います。私にとって、仕事とは生活のために必要な資金をいただくために、時間という対価を支払っています。人間にとって時間は限りあるものです。どうせなら好きなことや興味を持つことに対価を払いたいと思いませんか？