ニュース

パーソルテクノロジースタッフには、情報セキュリティのトータルソリューションを提供するNRIセキュアテクノロジーズで就業するエンジニアが所属しています。セキュリティエンジニアは日頃、どのような業務を行っているのでしょうか。 今回は、NRIセキュアテクノロジーズで就業中のパーソルテクノロジースタッフ橋本 佳維、松岡 真理子とNRIセキュアテクノロジーズ林原 史明氏、杉坂 竜亮氏の対談模様を紹介します。

身近に迫る脅威を感じ、「守る」仕事へ

Q：まず、皆さんの自己紹介とセキュリティ業界を志した背景をお聞かせください。

橋本 佳維：私はエンジニアという職業を選択した際に、「セキュリティってかっこいいな」という印象でこの道を志しました。パーソルテクノロジースタッフから派遣されてこの仕事に就き、もうすぐ6年になります。部の中でも古株の方です。

松岡 真理子：私は以前社内ヘルプデスク業務に携わり、Windows PCやプリンタ、グループウェアなどのサポート対応に当たっていました。ちょうどランサムウェアが猛威を振るい始めた時期でしたが、障害対応に当たる中で「こんなに身近に脅威が迫ってきたんだ」と強い印象を覚え、セキュリティという仕事に興味を持つようになりました。2019年6月からNRIセキュアテクノロジーズでセキュリティ製品のサポート業務に就いています。

杉坂 竜亮氏：私は2019年に新卒で野村総合研究所に入社し、すぐにNRIセキュアテクノロジーズに出向しました。大学時代はネットワーク系の研究室に所属していたのですが、先輩に誘われてCTFに出場したことがあり、それがきっかけでセキュリティに興味を持つようになりました。今私が所属している部署は、NRIセキュアテクノロジーズのMSSである「SecurePROtecht」というサービスを担当する部署の一つです。ここでは、お客様のWebサイトに対する攻撃を防ぐグループと、お客様のOA環境を守るグループの2つに大きく分かれており、私は前者のグループで、Webアプリケーションファイアウォールのポリシーチューニングなど、セキュリティ製品の運用を行っています。

林原 史明氏：私は杉坂の一年後、2020年4月に新卒でNRIセキュアテクノロジーズに入社しました。お客様のOA環境の構築・運用を担うチームに所属し、Webサイトへのアクセスやメール環境を守ることが主な業務です。私は大学時代、サイバーセキュリティとは全く異なる分野の研究室に所属していたのですが、当時、あるネットワークが外部から不正アクセスを受け、2週間ほど研究ができなくなってしまったことがありました。この事件を機に、見えないところで業務を守るサイバーセキュリティの大切さに気づき、サイバー攻撃から企業を守る立場で働いてみたいと考え、今に至っています。

業務はほぼテレワーク、会わずともチームとしての連帯感を保つ

Q：マネージドサービスというと、お客様に代わってさまざまなセキュリティ製品を監視し、必要に応じて設定変更を行うことが主な業務になると思います。NRIセキュアテクノロジーズではどのくらいの環境を監視しているのでしょうか？

杉坂氏：お客様によっては本番環境だけの場合もあれば、ディザスタリカバリ環境も含めて監視することもあります。また一つの環境の中に、ファイアウォールとWebアプリケーションファイアウォール（WAF）、不正侵入防止システム（IPS）にレイヤ2スイッチといった具合にさまざまな機器があります。そのため一概には表現しにくいですが、OA環境も監視している場合にはメールサーバなども含まれますので、実際の監視対象となるとかなり膨大です。

Q：普段はどんなフローで動いているのでしょうか？

橋本：おそらく、一般的なビジネスパーソンの働き方とほぼ同じだと思います。朝はまずメールやチャットをチェックして、お客様からの依頼や問い合わせに対応し、設定変更が必要であればレビューを行って…という具合です。私はNRIセキュアテクノロジーズで就業するパーソルテクノロジースタッフ社員のチームリーダー的な役割を担っているので、他のメンバーが行った作業のチェックなどにも時間を割いています。

Q：時には、深夜に緊急アラートに対応することもありますよね？

林原氏：24時間365日体制で監視し、アラートを受けて対応する障害対応と切り分けの部分は、NRIセキュアテクノロジーズの社員が行っています。その後、詳細なレポートなどが必要になる場面があれば、パーソルテクノロジースタッフの皆さんに、翌営業日の日中にログ調査をお願いするといった具合に業務を分担しています。

Q：現在、皆さんはどこで仕事をしていますか？

橋本：コロナの影響もあり、普段はほぼテレワークです。

林原氏：たまに出社する、という感じですね。実はコロナ禍以前の働き方を知らない世代ですので。

杉坂氏：私も入社早々コロナ禍が広がってしまったので、それ以前の環境がわからないというのが正直なところです。皆さんとこうして会うのも、もしかすると初めてかもしれません。

Q：そんな中で、ミスの許されない仕事を円滑に進めるコツは何でしょう？どのようにコミュニケーションを取っているのでしょうか？

杉坂氏：基本的にチャットツールで連絡を取り、メールも併用しています。

橋本：コミュニケーションは全然問題なくできていますね。

林原氏：お客様の本番環境で設定変更を行う場合、一つ間違えると大変なことになります。そのため、チーム全体で仲間意識を持って、時にはビデオツールを用いて会話しながら作業を行っています。そういったところで、チームとしての連帯感が生まれていると思っています。

松岡：コロナ以前から、設定変更一つ行うにしても画面を共有し、声を掛け合いながら行っていました。リモートワークに移行しても同じ感覚でできていますね。

Q：テレワークではあまりに仕事に集中しすぎて、行き詰まるようなときもあると思いますが、軽く周囲に声をかけられないのはストレスになりませんか？

杉坂氏：私はあまり気になりません。むしろ、通勤時間が減るなどプラスの側面を感じています。休憩では、動物の動画を見たりして自分なりの癒しの時間を作って、ちゃんとリラックスしています。

多様な製品に触れ、幅広い知識を生かしてお客様の業務を守る

Q：今の監視業務のやりがいはどんなところにありますか？

橋本：私の場合、本当に多くの種類の製品に触れられる幅の広さが一番です。さまざまな製品について、お客様をサポートできるレベルの知識を蓄えるには探究心や時間も必要ですが、それだけに、支援したお客様から「ありがとう」と言ってもらえると、心からやってよかったなと思います。

杉坂氏：お客様の環境で「この通信が通らない」といったトラブルが起きたとき、我々が関与した製品に起因したものではなくても調査に協力し、解決したときにはよく感謝の言葉をいただきます。「それは当社が関わる問題ではない」ときっぱり言う会社もあると思いますが、お客様の課題を解決するために我々ができることを協力することも、NRIセキュアテクノロジーズが提供するバリューの一つだと思っています。

Q：設定項目やコマンドの違いを理解し知識を得ることは大変ではないですか？

橋本：確かに、ベンダーや機種ごとに細かな違いはありますが、一つの機器について深く理解できれば他の機器でも応用は利きます。ベースとなるノウハウを蓄積できているのも、この仕事を楽しめているポイントかなと思います。

松岡：私も、社内サポートを担当していたときに比べて幅広い領域に触れられることにやりがいを感じています。以前の職場ではLAN環境とWAN環境で担当が異なり、違う分野のことはブラックボックスでした。けれど今の業務ではさまざまな機器を対象に設定を確認、変更し、脅威が入り込むのを防ぐ手助けができており、魅力的な現場だと感じています。

林原氏：私は、自分の得た知識や技術をお客様の実環境を運用する中で実際に活かすことができることにやりがいを感じます。自分たちの知識が、お客様の業務においてどのような役割を担っているかをきちんと理解した上で、責任を持って動かすところまでできるところにやりがいを感じています。

Q：チームワークを感じるときはどんな時ですか？

林原氏：お客様からの依頼を受けて設定変更を行う際、そもそもの依頼に誤りが含まれていることもあるんですね。そんなときには橋本さんや松岡さんのチームのみなさんが事前に綿密に調べた上で、「この設定はあまり筋がよくないのではないか」といった事柄も含めて共有してくれます。我々も見落としそうなところまでチェックしていただいているので、非常に助かっています。お互いがプロフェッショナルとして、お客様の安心・安全のために補い合っていると感じます。

橋本：所属する組織や契約が違う以上、全くのフラットな関係というわけにはいきません。中には、我々が知ってはいけない情報、やってはいけない仕事もありますが、お客様を守るという同じ目標に向かって進む上で壁を感じることはありません。

技術力はもちろん、「考える力」「問題解決力」を問われながら成長

Q：一人のエンジニアとしての成長は感じていますか？

杉坂氏：入社した当初は右も左もわかりませんでした。しかし日々の業務を通じて、実際の攻撃者が送ってくる通信内容を確認し、どうやって防御すべきか、ネットワークの設計はどうあるべきかといった教科書ではわからないところも学びながら、4年目にしてようやく独り立ちできてきたように思います。NRIセキュアテクノロジーズの社内には、本当に高い技術力を持っている尊敬できる人がたくさんいますので、早くそうした人たちに追いつきたいなと思っています。

橋本：所属する組織や契約が違う以上、全くのフラットな関係というわけにはいきません。中には、我々が知ってはいけない情報、やってはいけない仕事もありますが、お客様を守るという同じ目標に向かって進む上で壁を感じることはありません。

林原氏：私もまだ新米の部類で、胸を張っているほどの実績はありませんが、お客様から高い期待と安心感を寄せていただきながら業務をしていることを日々意識しています。その中で、高品質なサービスを常にお客様に提供するために、先輩方のアドバイスもいただきながら自分なりに納得いくまで考えることを心がけています。

橋本：技術面以外で言うと、以前より視野が広がり、先を見るようになったと思います。 目の前の課題を解決する方法を複数考え、どの選択肢が将来的に組織やチームに利益をもたらす可能性が最も高いかといった観点で考えるようになりました。他にも、そもそもの課題を発生させない方法がないかを模索して、自分にできるアプローチがあればと普段から思考を巡らせています。 また、我々から見て、NRIセキュアテクノロジーズにはこんなにレベルの高い人たちがいるんだと衝撃を受けています。何がすごいかというと、おそらく「考える力」です。設定変更一つ行うにしても、「それをやったらどこにどのような影響があり、失敗したらどうなるのか」を、本当にさまざまなパターンを網羅して考えた上で検討している印象があります。

松岡：私もそう思います。提案した内容に対して何倍もの幅で回答が返ってくるので、問題解決力というか、リサーチ力の高さにいつも驚き、自分もそうした考え方を真似して成長していきたいなと思っています。私自身で言うと、案件について、お客様に問題提起のアプローチなどした上で対応できたときは成長を感じます。また、そもそも用意されている手順書が非常にきっちり書かれているので、それを読むだけでも勉強になりますね。

Q：セキュリティ業界では基本的な技術やノウハウも重要ですが、最新動向のアップデートも欠かせません。どのようにキャッチアップしていますか？

杉坂氏：社内には脆弱性診断をやっている部隊があり、いろいろな情報を内部に発信してくれています。それをウォッチしたり、JPCERT/CCやIPAが公開している脆弱性情報を追いかけたりしていますね。入社直後の研修で基礎を固めることができましたが、その先のわからないことが出てきた時には、社内の検証環境で実際に試しながら知識を蓄積しています。特にクラウド系のサービスについては、他の枯れた技術に比べて我々若手が第一人者になれるチャンスがある分野なので、積極的にやりたいと思っています。

林原氏：SNSでも、サイバーセキュリティやインフラ周りのエンジニアの方をフォローしています。ネットで記事が出るよりも早く、脅威情報やインシデント情報が得られますね。

Q：資格取得にも励んでいますか？

橋本：はい、資格はたくさん取りました。CISSPも取得しており、そのポイントを取得するためセミナーに出たり、社内で検証環境が用意されているので業務中に試したりしています。

松岡：私はパーソルテクノロジースタッフに入社した時にセキュリティの研修を受け、CompTIAのSecurity+を取得しました。今は、業務に生かすことを考えてLinux関連の資格を取得しようと思っています。

プロフェッショナルとしてチャレンジし、レベルアップできる職場

Q：最後に、この先どのようなことにチャレンジしていきたいか、抱負をお聞かせください。

松岡：最近、標的型攻撃やランサムウェアのように、個人の端末が狙われる場面が増えていると感じています。そうした個人のセキュリティ向上に役立つ知識も増やしていきたいと考えています。

橋本：私は派遣チームの成果に責任を負っている立場なので、自分自身の成長はもちろん、マネージャーとしてチーム全体の成長を図り、しっかり成果を出していけるようにしていきたいと考えています。

林原氏：今はまだ、会社の名前で仕事をさせてもらっている段階ですが、いずれ、セキュリティ運用に関する有識者となって、自分自身の名前で仕事をいただけるようになりたいと考えています。マネージドサービスでの経験を生かし、コンサルティングなど別の分野でも活躍したいというのが希望です。

杉坂氏：この4年間携わってきたWebセキュリティに関する知識は得られてきましたが、これからはメールやURLフィルタリングなど、OA環境の各製品に関する知識を少しずつ深めていきたいなと考えています。その上で、どこか一つ尖ったところを持ち、「この分野ならあの人」と思ってもらえるだけの知識を付けたいなと思っています。

Q：どんな人がこの仕事に向いていると思いますか？

林原氏：私の職場では、社員とパートナーはプロフェッショナルのエンジニアとして尊敬し合う関係で、上下関係のようなものはなく、役割分担の違いでしかありません。橋本さんや松岡さんのように、プロのエンジニアとして技術やオペレーション能力を身につけたい方には非常にお勧めできますし、すでにプロの方にとってはその知識や技術力を存分に行かせる場だと考えています。

杉坂氏：お客様環境で実際に動いているシステムに触れることになるため責任は重いのですが、そういった環境でチャレンジし、多岐にわたるセキュリティ製品に触れてみたいと考えている方に向いていると思います。

橋本：自分自身を振り返ってもそうですが、成長を望む人、高いところに飛び込んでレベルアップしたい人にとっては非常にいい環境だと思います。