セキュリティ業界にn年いて思ったこと

セキュリティ業界にn年いて思ったこと Infra Study 2nd #4「セキュリティエンジニアリングの世界」 LT

注意本LTはざっくばらんになんか思ったことをしゃべってるLTです。期待せず肩の力を抜いてお聞きください本発表は所属する会社を代表するものではありませんこのLTを見て体調に不調が発生した場合、当方は一切の責任を持ちませんこのLTを見てイライラした方は自粛疲れの可能性があるのでカルシウムをとってお部屋の中でもいいので運動しましょう背景: 背景:https://jp.freepik.com/vectors/background
https://jp.freepik.com/vectors/background

お前誰や名前:misQ 好きなもの:好き嫌いなもの:嫌い主催:雰囲気セキュリティ発表歴:いろいろ発表とかしている元々は構築とかソフトウェア開発している側の人間だったが、セキュリティの部署に異動となって、調査とか検証とかPoCっぽいことを現場作業者だけど見積もり書いて契約処理して実務して管理して納品まで全部自分でやる人。好きなものは攻撃側の技術。
所属:所属……？うっ頭が……

とりあえず話してみよう →(1か月前)よし、資料作ったぞ！ →(1週間前)少し修正とか確認しておかないとな →あれ？ファイルがない？え、もしかして資料作ったときに保存ミスった？

うわぁぁぁぁぁぁぁというわけで、元の原稿の内容を忘れてしまったので再度作り直し

あれ連絡来ないな？LTとかってタイトルとか不要なのかな？ →(当日)あれ？久しぶりにTwitter開いてみたら珍しくメンションついてるぞ？ →運営：「メールもTwitterも連絡つかんからキャンセルさせてもらうよ？」 →ファッ！？

運営:「準備したんだったらしゃべってもいいですよ」運営の方々にはご迷惑をお掛けしてしまい誠に申し訳ございません懐が深いForkwellさんに感謝

Infra Studyにお越しの方でセキュリティ関連の業務をしている人ってどれくらいいるのだろう

TL;DL セキュリティはトピックスは常に出てくる面白い分野だが、ビジネスだといろいろ難しい人材確保が難しいネットワークもしくはサーバの構築とかを押さえたうえでセキュリティの知識を押さえた人材の育成をしないとオペレータにしかならない問題セキュリティ製品/サービスを扱っている会社はたくさんある海外ベンダの製品をそのまま売る「代理店」のケース、それ以外の検証、開発、運用、コンサルで帳尻をとるケースと様々発注側と受注側はパートナーとして事にあたりましょう
憎んでもいいが前に進むための力として使えないのであれば双方辛くなる

セキュリティってどうなんだろう？(曖昧) 会社の別部署の若い年次の後輩から「こっちの部門でもセキュリティをやるぞって言ってるんですが、セキュリティって何を分かっていればいいんでしょうね？」と言われる自社で開発しているセキュリティ製品を持ってるベンダーでない状態でn年間業務してたらセキュリティビジネス難しいという気づきを得た案件面人材面

案件面作業が遅れたり、誤りがあったらどうなるか運用やセキュリティは作業のミスが攻撃を受けて大ごとになったときにサービス停止まで行くセキュリティは場合によっては業務のすべてが停止する可能性もある開発や構築は(全くよくないが)発覚タイミングによっては新サービスは最悪リリースを遅らせるという行為ができなくはない

そもそも案件化まで結びつかん顧客としてもお金を出したからと言って新たな利益を積むというよりは保険のようなものだからそこまで大きくお金を出す判断出しづらいでも、セキュリティ製品やら関連する案件は高いという風潮ものによるが結構ベンダから仕入れて稼働足すと結構な金額になりがち各製品を連携をすることで稼働を足しやすくなっていたけど、それも各種ベンダーやプラットフォームが公式連携するとそこで大きく稼働が取れないお金を出した後に要望に食い違いが発生したりすると大体つらいことになる管理・交渉・契約でしっかりと対応できていないと訴訟になるし、診断とかであれば事前の調整が甘いと攻撃だと判断されることもある

人材面セキュリティ人材が少ないと言われてるけど……そもそも簡単に増やせるのか？セキュリティは基本的にベースを理解していて初めて成立する分野だと思うサーバ構築ができるとか、ネットワークの基本は分かっているとか昨今だったらクラウド環境の設定を適切にそうじゃない場合「ツールだけ使える」とか「なんか他の人が作ったものを評論するだけ」人材が多い気がする

人材育成人材育てるのも(どの業界もそうだけど)基本的に難しい基本OJTベースにならざるを得ない部署、上司、先輩ガチャが発生→突然の転職それ以外のところは個人の勉強ベースになってしまいがちになるセキュリティ関連は曖昧なバズワードが多く出てくる。新たな情報が出てくるのが開発とか構築とかに比べて範囲が広くかつ早い関連する研修/資格が基本高い(気がする) SANSとかだと研修/資格(GIAC/10万円)込みで100万円ぐらい

顧客に分かっておいてほしいことこれ入れれば未来永劫大丈夫なんてものは存在しない新たな脆弱性や攻撃は出てきているので、セキュリティ製品を入れたままにせず更新とかをしていってくださいなんでセキュリティは値段高いのか正直高いのはセキュリティ機器のベンダーの価格が結構高くてそれに人件費上乗せると高くなりがち価格抑えて結局いろいろ付け加えられると現場壊れちゃう PMとか営業の交渉が必要になるが大体もめる受注した側はパートナーとして提案して対処もするが、だからといって顧客側で
セキュリティを丸投げしてしまうと非常に厳しい常に不摂生をし続けている人が自身を何とかせずに、医者にすべてを丸投げしてしまっているのはよろしくないという感じ

まとめセキュリティはトピックスは常に出てくる面白い分野だが、ビジネスは結構厳しいと思ったセキュリティ扱っている会社はたくさんあるベンダの製品をそのまま売るベンダの製品を使って検証、開発、運用、コンサルを主力とする人材確保が難しい基礎的な知識を抑えたうえでのセキュリティの知識を抑えた人材の育成をしないとオペレータとして肩身が狭くなっていくセキュリティは分野に幅がある。管理側はスキルの把握、育成の方針を
固めていきましょう発注側と受注側はパートナーとして事にあたりましょう憎んでもいいが前に進むための力にならないのであれば双方辛くなる

終わり

セキュリティ業界にn年いて思ったこと

セキュリティ業界にn年いて思ったこと

misQ

More Decks by misQ

Other Decks in Business

Featured

Transcript