第12回：日本で「セキュリティ専門家」を根付かせるには

セキュリティの専門家の重要性は認識していても、絶対的に専門家の数が少ないという問題がある。これまで日本企業の中でセキュリティの専門家を活用できる素地がなく、もともとリスクや危機意識が低いといった理由も考えられる。こうした中で、セキュリティのプロフェッショナル認定制度である「CISSP」が根付く余地はあるのか。CISSPの開発・運営元である「(ISC)^2®」（ISCスクエア）の日本支部・(ISC)² Institute Japan社長の衣川俊章氏に具体的な戦略を聞いた。

衣川俊章 氏 (ISC)2 InstituteJapan社長 2004年5月より（ISC)2 InstituteJapan社長。米国バブソン大学大学院MBA取得経て、米国ソフトベンチャーオペレーションディレクター、戦略コンサル会社コグテック社協同経営者、米国コンテンツ配信関連ベンチャーでのアジア太平洋地区営業責任社、NTTコミュニケーションズでのセキュリティーサービスの新規市場開拓担当者を歴任。成城大学文学部英文化卒。

官庁の後押しがセキュリティ人材育成のカギを握る
セキュリティ専門家が活躍するチャンスが到来

--日本でCISSPを本格展開させるに当たり、具体的な取り組みを伺いたいと思います。特に人材育成や啓蒙活動といった目的を踏まえ、どのような施策を考えていらっしゃるのでしょうか。

衣川氏：　大きく分けて２つの戦略があります。1つはITベンダーやコンサルティングファームとの協業です。その取り組みの一つとしてコンピュータ・アソシエイツ（CA）とグローバルで協業しており、CISSPの取得を社内で奨励すると共に、社外へ向けては教育セミナーなどを展開し、CISSPの底上げに尽力していただいております。
　なぜCAがこうした取り組みを行うかといえば、まずツールやサービスの提供者である側であるという理由が挙げられます。前回もお話したとおり、ユーザー企業がツールやサービスを享受するに当たっては、的確に必要なモノ・事柄を判断できる人材が重要になりますから。ベンダー側とユーザー企業側のそれぞれの立場を、CISSPが介することで、よりスムーズな意思連携が可能になります。
　さらに、最も重要な点は、やはりCISSPがセキュリティの資格としてクオリティが高いこと。だからこそ社内でも取得を奨励し、外部へ向けての啓蒙活動があるのだと考えています。同様の取組みはNTTコミュニケーションズでも行なっていただいています。

--具体的に、クオリティが高いとはどういうことでしょうか。

衣川氏：　CISSPの試験問題は、CISSP保持者が作成します。つまり、実践の場で活躍しているセキュリティの専門家が、時代や技術などの環境に即した最新の問題を作成しているのです。
　また、この資格は1度取得すれば済むわけではありません。第1回でも簡単に触れましたが、「CPE」（Continuing Professional Education credits）という継続教育単位を3年間で一定以上取得することが条件となります。これを満たさなければ、3年後に再受験になります。
　もともと、ベーシックな出題範囲を毎年見直していることに加え、最新のビジネス環境、技術環境を加味したセキュリティ知識を問うことによって、その方のスキルを客観的に判断できます。欧米ではその専門性が評価されており、セキュリティの専門家として国内外問わず活躍できるわけです。

官庁の後押しがセキュリティ人材育成のカギを握る

--2番目の取り組みとは何でしょうか。

衣川氏：　官庁や国内の教育機関、そしてセキュリティ団体との協業です。特に官公庁については、前回「セキュリティ人材の育成」についてもお話しましたが、現在その人物像について議論している最中です。

　なぜかといえば、官公庁ではセキュリティ人材の重要性を深く認識しているんですよ。普遍的かつ高いレベルのセキュリティ知識を有する人材を求めているわけです。ここでわれわれの活動と協力体制を組めるのではと考えています。
　次に教育機関との協業ですが、これも企画段階でいくつかお話させていただいている最中です。たとえば専門性を鍛え、即戦力となるような人材を育成する職業訓練校のような機関も視野に入れています。そのベースとして、CISSPを活用していただく。CISSPは意思決定者向けの資格というお話しは既にさせていただきましたが、（ISC)²では、技術者向けのグローバル資格として「Systems Security Certified Practitioner」（SSCP）という資格を設けており、これを基に教育プログラムを作るということもあり得ます。これを国内で展開するかどうかは検討中ですが、現在そうしたお話をいくつかの教育機関と詰めております。

--なるほど。そうすると、ほかのセキュリティ資格やセキュリティ専門の団体との協業も重要になりますね。

衣川氏：　もちろんです。その一環として、日本ネットワークセキュリティ協会（JNSA）とも提携しています。JNSAの中に「教育部会」という組織があり、その中の分科会ではセキュリティ人材の育成や教育問題について話し合っているのですが、新たに「CISSP分科会」が立ち上がりました。