「情報セキュリティの仕事」というと、どんな業務をイメージするでしょうか？常にコンピュータに向かって一人コツコツ作業する印象を持つ人もいるかもしれませんが、実像はかなり異なります。
とくに、セキュリティシステムの導入や運用管理を支援するマネージドセキュリティサービス（MSS）業務の場合、セキュリティに関する知識や幅広い機器のノウハウに加え、お客様やチームのメンバーとコミュニケーションを取りながら確実に業務を行うことが求められます。
緊張感がありながらも、やりがいと成長の手応えを感じられるMSS業務の実際はどのようなものなのでしょうか？
第一線で活躍するNRIセキュアテクノロジーズ株式会社（以下、NRIセキュア）の杉坂 竜亮、林原 史明、そしてパーソルクロステクノロジー株式会社から派遣され、ともに同じ部署で働く経験豊かなパートナー社員の橋本 佳維と松岡 真理子の4名がインタビューに答えました。仕事のやりがいやテレワークにおけるチームワークの秘訣、エンジニアとしての成長に向けた個々の取り組みなどを語りました。
身近に迫る脅威を感じ、「守る」仕事へ
Q. まず、皆さんの自己紹介とセキュリティ業界を志した背景をお聞かせください。
橋本 「私はエンジニアという職業を選択した際に、『セキュリティってかっこいいな』という印象でこの道を志しました。パーソルクロステクノロジーからNRIセキュアに派遣されてこの仕事に就き、もうすぐ6年になります。部の中でも古株の方です」
パーソルクロステクノロジー 橋本 佳維
松岡 「私は以前、社内ヘルプデスク業務に携わり、Windows PCやプリンタ、グループウェアなどのサポート対応に当たっていました。
ちょうどランサムウェアが猛威を振るい始めた時期でしたが、障害対応に当たる中で『こんなに身近に脅威が迫ってきたんだ』と強い印象を覚え、セキュリティという仕事に興味を持つようになりました。2019年6月からこの職場でセキュリティ製品のサポート業務に就いています」
パーソルクロステクノロジー 松岡 真理子
杉坂 「私は2019年に新卒で野村総合研究所に入社し、すぐにNRIセキュアに出向しました。大学時代はネットワーク系の研究室に所属していたのですが、先輩に誘われてCTFに出場したことがあり、それがきっかけでセキュリティに興味を持つようになりました。
現在私が所属しているMSS三部は、NRIセキュアのMSSである『SecurePROtecht』を担当する部署の一つです。ここでは、お客様のWebサイトに対する攻撃を防ぐグループと、お客様のOA環境を守るグループの2つに大きく分かれており、私は前者のグループで、Webアプリケーションファイアウォールのポリシーチューニングなど、セキュリティ製品の運用を行っています」
NRIセキュア 杉坂 竜亮
林原 「私は杉坂の一年後、2020年4月に新卒で入社しました。MSS三部のうちお客様のOA環境の構築・運用を担うチームに所属し、Webサイトへのアクセスやメール環境を守ることが主な業務です。
私は大学時代、サイバーセキュリティとはまったく異なる分野の研究室に所属していたのですが、当時、あるネットワークが外部から不正アクセスを受け、2週間ほど研究ができなくなってしまったことがありました。
この事件を機に、見えないところで業務を守るサイバーセキュリティの大切さに気づき、サイバー攻撃から企業を守る立場で働いてみたいと考え、今に至っています」
NRIセキュア 林原 史明
業務はほぼテレワーク、会わずともチームとしての連帯感を保つ
Q. マネージドサービスというと、お客様に代わってさまざまなセキュリティ製品を監視し、必要に応じて設定変更を行うことが主な業務になると思います。NRIセキュアではどのくらいの環境を監視しているのでしょうか？
杉坂 「お客様によっては本番環境だけの場合もあれば、ディザスタリカバリ環境も含めて監視することもあります。また一つの環境の中に、ファイアウォールとWebアプリケーションファイアウォール（WAF）、不正侵入防止システム（IPS）にレイヤ2スイッチといった具合にさまざまな機器があります。そのため一概には表現しにくいですが、OA環境も監視している場合にはメールサーバなども含まれますので、実際の監視対象となるとかなり膨大です」
Q. 普段はどんなフローで動いているのでしょうか？
橋本 「おそらく、一般的なビジネスパーソンの働き方とほぼ同じだと思います。朝はまずメールやチャットをチェックして、お客様からの依頼や問い合わせに対応し、設定変更が必要であればレビューを行って……という具合です。
私はMSS三部に派遣されているパーソルクロステクノロジー社員のチームリーダー的な役割を担っているので、他のメンバーが行った作業のチェックなどにも時間を割いています」
Q. 時には、深夜に緊急アラートに対応することもありますよね？
林原 「24時間365日体制で監視する業務と、アラートを受けて対応する障害対応と切り分ける業務については、NRIセキュアの社員が行っています。もし、詳細なレポートなどが必要になる場面があれば、パーソルクロステクノロジーの皆さんに、翌営業日の日中にログ調査をお願いするといった具合に業務を分担しています」
Q. MSS業務というと、どこかの監視センターに詰めているイメージがありますが、現在皆さんはどこで仕事をしていますか？
橋本 「コロナの影響もあり、普段はほぼテレワークです」
林原 「たまに出社する、という感じですね。実はコロナ禍以前の働き方を知らない世代ですので」
杉坂 「私も入社早々コロナ禍が広がってしまったので、それ以前の環境がわからないというのが正直なところです。皆さんとこうして会うのも、もしかすると初めてかもしれません」
Q. そんな中で、ミスの許されない仕事を円滑に進めるコツは何でしょう？どのようにコミュニケーションを取っているのでしょうか？
杉坂 「基本的にチャットツールで連絡を取り、メールも併用しています」
橋本 「コミュニケーションは全然問題なくできていますね」
林原 「お客様の本番環境で設定変更を行う場合、一つ間違えると大変なことになります。そのため、チーム全体で仲間意識を持って、ときにはビデオツールを用いて会話しながら作業を行っています。そういったところで、チームとしての連帯感が生まれていると思っています」
松岡 「コロナ以前から、設定変更一つ行うにしても画面を共有し、声を掛け合いながら行っていました。リモートワークに移行しても同じ感覚でできていますね」
Q. テレワークではあまりに仕事に集中しすぎて、行き詰まるようなときもあると思いますが、周囲に軽い気持ちで声をかけられないのはストレスになりませんか？
杉坂 「私はあまり気になりません。むしろ、通勤時間が減るなどプラスの側面を感じています。休憩では、動物の動画を見るなど自分なりの癒やしの時間を作って、ちゃんとリラックスしています」
多様な製品に触れ、幅広い知識を活かしてお客様の業務を守る
Q. 今の監視業務のやりがいはどんなところにありますか？
橋本 「私の場合、本当に多くの種類の製品に触れられる幅の広さが一番です。さまざまな製品について、お客様をサポートできるレベルの知識を蓄えるには探究心や時間も必要ですが、それだけに、支援したお客様から『ありがとう』と言ってもらえると、心からやって良かったなと思います」
杉坂 「お客様の環境で『この通信が通らない』といったトラブルが起きたとき、われわれが関与した製品に起因したものではなくても調査に協力し、解決したときにはよく感謝の言葉をいただきます。
『それは当社が関わる問題ではない』ときっぱり言う会社もあると思いますが、お客様の課題を解決するためにわれわれができることを協力することも、NRIセキュアが提供するバリューの一つだと思っています」
Q. 設定項目やコマンドの違いを理解し知識を得ることは大変ではないですか？
橋本 「確かに、ベンダーや機種ごとに細かな違いはありますが、一つの機器について深く理解できれば他の機器でも応用は利きます。ベースとなるノウハウを蓄積できているのも、この仕事を楽しめているポイントかなと思います」
松岡 「私も、社内サポートを担当していたときに比べて幅広い領域に触れられることにやりがいを感じています。以前の職場ではLAN環境とWAN環境で担当が異なり、違う分野のことはブラックボックスでした。けれど今の業務ではさまざまな機器を対象に設定を確認、変更し、脅威が入り込むのを防ぐ手助けができており、魅力的な現場だと感じています」
林原 「私は、自分の得た知識や技術をお客様の実環境を運用する中で、実際に活かすことができることにやりがいを感じます。自分たちの知識が、お客様の業務においてどのような役割を担っているかをきちんと理解した上で、責任を持って動かさなければなりません」
Q. チームワークを感じるときは、どんなときですか？
林原 「お客様からの依頼を受けて設定変更を行う際、そもそもの依頼に誤りが含まれていることもあるんですね。そんなときには橋本さんや松岡さんのチームの皆さんが事前に綿密に調べた上で、『この設定はあまり筋がよくないのではないか』といった事柄も含めて共有してくれます。
われわれも見落としそうなところまでチェックしていただいているので、非常に助かっています。お互いがプロフェッショナルとして、お客様の安心・安全のために補い合っていると感じます」
橋本 「所属する組織や契約が違う以上、まったくのフラットな関係というわけにはいきません。中には、われわれが知ってはいけない情報、やってはいけない仕事もありますが、お客様を守るという同じ目標に向かって進む上で壁を感じることはありません」
技術力はもちろん、「考える力」「問題解決力」を問われながら成長
Q. 一人のエンジニアとしての成長は感じていますか？
杉坂 「入社した当初は右も左もわかりませんでした。しかし日々の業務を通じて、実際の攻撃者が送ってくる通信内容を確認し、どうやって防御すべきか、ネットワークの設計はどうあるべきかといった教科書ではわからないところも学びながら、4年目にしてようやく独り立ちできてきたように思います。
NRIセキュアの社内には、本当に高い技術力を持っている尊敬できる人がたくさんいますので、早くそうした人たちに追いつきたいなと思っています」
林原 「私もまだ新米の部類で、胸を張って言えるほどの実績はありませんが、お客様から高い期待と安心感を寄せていただきながら業務をしていることを日々意識しています。その中で、高品質なサービスを常にお客様に提供するために、先輩方のアドバイスもいただきながら自分なりに納得いくまで考えることを心がけています」
橋本 「技術面以外で言うと、以前より視野が広がり、先を見るようになったと思います。目の前の課題を解決する方法を複数考え、どの選択肢が将来的に組織やチームに利益をもたらす可能性が最も高いかといった観点で考えるようになりました。
ほかにも、そもそもの課題を発生させない方法がないかを模索して、自分にできるアプローチがあればと普段から思考を巡らせています。
また、われわれから見て、NRIセキュアにはこんなにレベルの高い人たちがいるんだと衝撃を受けています。何がすごいかというと、おそらく『考える力』です。設定変更一つ行うにしても、『それをやったらどこにどのような影響があり、失敗したらどうなるのか』を、本当にさまざまなパターンを網羅して考えた上で検討している印象があります」
松岡 「私もそう思います。提案した内容に対して何倍もの幅で回答が返ってくるので、問題解決力というか、リサーチ力の高さにいつも驚き、自分もそうした考え方を真似して成長していきたいなと思っています。
私自身で言うと、案件について、お客様に問題提起のアプローチなどした上で対応できたときは成長を感じます。また、そもそも用意されている手順書が非常にきっちり書かれているので、それを読むだけでも勉強になりますね」
Q. セキュリティ業界では基本的な技術やノウハウも重要ですが、最新動向のアップデートも欠かせません。どのようにキャッチアップしていますか？
杉坂 「社内には脆弱性診断をやっている部署があり、いろいろな情報を内部に発信してくれています。それをウォッチしたり、JPCERT/CCやIPAが公開している脆弱性情報を追いかけたりしていますね。
入社直後の研修で基礎を固めることができましたが、その先のわからないことが出てきたときには、社内の検証環境で実際に試しながら知識を蓄積しています。
とくにクラウド系のサービスについては、他の枯れた技術に比べてわれわれ若手が第一人者になれるチャンスがある分野なので、積極的にやりたいと思っています」
林原 「SNSでも、サイバーセキュリティやインフラ周りのエンジニアの方をフォローしています。ネットで記事が出るよりも早く、脅威情報やインシデント情報が得られますね」
Q. 資格取得にも励んでいますか？
橋本 「はい、資格はたくさん取りました。CISSPも取得しており、そのポイントを取得するためセミナーに出たり、社内で検証環境が用意されているので業務中に試したりしています」
松岡 「私はパーソルクロステクノロジーに入社したときにセキュリティの研修を受け、CompTIAのSecurity+を取得しました。今は、業務に活かすことを考えてLinux関連の資格を取得しようと思っています」
プロフェッショナルとしてチャレンジし、レベルアップできる職場
Q. 最後に、この先どのようなことにチャレンジしていきたいか、抱負をお聞かせください。
松岡 「最近、標的型攻撃やランサムウェアのように、個人の端末が狙われる場面が増えていると感じています。そうした個人のセキュリティ向上に役立つ知識も増やしていきたいと考えています」
橋本 「私は派遣チームの成果に責任を負っている立場なので、自分自身の成長はもちろん、マネージャーとしてチーム全体の成長を図り、しっかり成果を出していけるようにしていきたいと考えています」
林原 「今はまだ、会社の名前で仕事をさせてもらっている段階ですが、いずれ、セキュリティ運用に関する有識者となって、自分自身の名前で仕事をいただけるようになりたいと考えています。マネージドサービスでの経験を活かし、コンサルティングなど別の分野でも活躍したいというのが希望です」
杉坂 「この4年間携わってきたWebセキュリティに関する知識は得られてきましたが、これからはメールやURLフィルタリングなど、OA環境の各製品に関する知識を少しずつ深めていきたいなと考えています。その上で、どこか一つ尖ったところを持ち、『この分野ならあの人』と思ってもらえるだけの知識を付けたいなと思っています」
Q. MSSの業務に従事する中で、どんな人がこの仕事に向いていると思いますか？
林原 「私の職場では、社員とパートナーはプロフェッショナルのエンジニアとして尊敬し合う関係で、上下関係のようなものはなく、役割分担の違いでしかありません。橋本さんや松岡さんのように、プロのエンジニアとして技術やオペレーション能力を身につけたい方には非常にお勧めできますし、すでにプロの方にとってはその知識や技術力を存分に活かせる場だと考えています」
杉坂 「お客様環境で実際に動いているシステムに触れることになるため責任は重いのですが、そういった環境でチャレンジし、多岐にわたるセキュリティ製品に触れてみたいと考えている方に向いていると思います」
橋本 「自分自身を振り返ってもそうですが、成長を望む人、高いところに飛び込んでレベルアップしたい人にとっては非常に良い環境だと思います」