描けるキャリアは多種多様専門性を磨き、自分の理想像を実現できる

現在の配属部署とミッション、そしてなぜDTCYを選んだのか、お聞かせください。

K.M：私はCIC（Cyber Intelligence Center）に所属しています。お客様のインフラストラクチャをサイバー攻撃から守るため、ネットワークやデバイス、セキュリティ製品のログを収集して監視・分析することがメインの業務です。いわゆるブルーチームですね。

M.K：私が所属するのは、サイバーセキュリティ先端研究所（R&D）です。ミッションは、研究成果を社会実装するためのツールやアセットの開発です。先行研究の論文を読み、論文を書いてアウトプットするだけでなく、実際に手を動かして実装や検証も行います。研究だけでなく、研究の成果を世に届けるところまで手掛けることができる点に惹かれて入社しましたが、先輩たちはすでに研究成果を活用した新しいサービスの提供や、お客様と共同でシステム開発をしており、研究成果をスピーディに社会実装できる環境を実感しますね。

S.K：脅威情報を収集する研究などもされていると聞いたことがあります。

M.K：研究所ではSNSから情報収集し、フェイクニュースの検知に役立てる研究やブロックチェーンのトランザクションデータを収集し、不正な取引を分析する研究などにも取り組んでいます。私自身は、Webサイトのレピュテーションをテーマとし、Webの情報を用いた企業のセキュリティやプライバシーのリスク評価について研究するポジションです。また、「衛星の打ち上げ」というテーマにも取り組み、セキュアな衛星開発についての研究も進めています。

K.M：衛星の開発とは、またスケールが大きいですね。S.Kさんはコンサルティング領域を担当していると思いますが、どういう業務を担当しているのですか？

S.K：私はCyber advisory（コンサルティング）として勤務しています。Cyber advisoryには、クライアントのセキュリティ戦略立案を行うチームもあれば、個人情報保護に対応するチームやシステムの導入支援を担当するチームなどさまざまなカテゴリーがあります。その中で、私自身は、お客様のシステムに対して疑似的なサイバー攻撃を行い、そこから識別された課題や対策案のご提示を行っています。対策に際しての具体的な攻撃の監視方法やシステムの運用方法を提案し、今後の支援を行うこともあるので、技術的な仕事だけでなくコンサルティングワークもかなり多いですね。

K.M：私たちは同期といっても、やはり業務がそれぞれまったく違いますね。そもそもなぜDTCYを選んだのかも興味があります。

M.K：私は実はサイバーセキュリティに興味を持ったのは、主人公がホワイトハッカーの、とあるドラマがきっかけです。高校生の頃に感化されて、将来の夢はホワイトハッカーと言っていました（笑）。それが私のサイバーセキュリティの原体験ですね。

K.M：そう言われると、私の原点はゲームかもしれません。近未来のIoT社会が舞台で、そこで起こるセキュリティ犯罪が題材になったアクションゲームです。

S.K：私もやっていました（笑）自分は高校生の時にとあるテレビ番組でサイバーセキュリティの概念に触れたのを覚えています。かっこいいな、と思いサイバーセキュリティを学べる大学に行こうと考えました。

K.M：サイバーセキュリティ領域を仕事にしたいというのは3人とも共通していたのですね。ちなみに私自身、初めは漠然とした興味からのスタートでしたが、大学院でサイバーセキュリティの基礎理論、システム関連、法律やマネジメントまで学んでいく中で、自分はコンサルティングよりも技術寄りの志向だなと実感しました。調べていく中で、DTCYのCICであれば、監視だけでなく提案にも携われるため、大きなやりがいを得られそうだと思い志望するようになったのです。

M.K：私自身は初めはホワイトハッカー、そしてコンサルタントへと興味の対象は変わっていったのですが、次第に社会に貢献できる研究開発に携わりたいと思うようになりました。あるとき所属する研究室にDTCYの方が来られ、お話をお伺いすることができ、それが志望のきっかけでしたね。

S.K：研究所を持っているコンサルティングファームはなかなかありませんからね。私は、セキュリティの事業会社も検討したのですが、必然的に監視や製品開発など守る側になってしまうケースが多いのです。ですがコンサルティング側であれば、ハッキング技術などのテクニカルなスキルが活かせるケースも多いと知りました。そこでDTCYを目指すようになったのです。

日々の学びや業務の中で磨ける専門性についてお教えください。

K.M：SOC（Security Operation Center）といわれるサービスを提供する企業や組織は他にもありますが、DTCYのCICは非常に幅広い製品に触れられるため、とても刺激になります。監視しているだけでも多くを学べますし、最新の脆弱性（OSやソフトウェアにおけるセキュリティ上の欠陥）診断の技術も吸収できるため、日々の仕事が全て学びになっています。
我々の性質としては、攻撃を受けてから何が起きているのか、問題はないかを分析するので“守り”の部分が主業務ではあります。しかし、影響があった場合は早急にクライアントに通知することが必要なので、日々、分析を重ねてスピードや成果を挙げるスキルを磨いていくしかありません。セキュリティを守る最前線にいるポジションだからこそ、日常の監視業務が全てノウハウになっていると思いますし、すぐ隣にいる先輩方からさまざまな知見を学びながら成長できますね。

M.K：研究所には幅広い分野においてスペシャリストの先輩がいるので、多様な専門知識を学べる機会が非常に多いです。新しい分野を学ぶ際には、外部研修を受けさせてもらうこともできます。私も小型衛星のトレーニングに参加させてもらい、衛星開発の知見を磨きました。参考文献となる学術書も購入できるので、文献から得た知識をもとにして自ら手を動かして学ぶことができます。

K.M：CICでもメンバーから希望が上がったら、学びに必要な図書を購入しています。普通なら手の届かないような高額な専門書をタイムリーに入手できるのは、ありがたい環境だと感じますね。

S.K：私は業務上、ハッキングを行うため、やはり日々の経験がそのまま学びになります。どのクライアント先も、それぞれがセキュリティを固めてシステムを守っており、導入されているセキュリティ製品やSOC等の監視の目をかいくぐるために、どういった攻撃をしていくのか、どう脆弱性を発見していくのかを実践で学ぶことができますね。
とはいえ、環境固有の知識に偏らないようにするためには、日々の勉強も必要です。DTCYでは資格取得の補助を受けることができますし、外部研修も受けられます。ラスベガスで開催されるBlack Hatというセキュリティのカンファレンスに参加させてもらったメンバーもいて、飛行機代も含めて数百万円もの費用を会社が負担してくれました。

M.K：それは羨ましい話です。

K.M：そんな支援もあるんですね。

S.K：これだけ充実した学びの環境はそうそうないと思っています。

DTCYだからこそできることについて教えてください。

K.M：私は今、アナリストとして監視業務を担当していますが、インテリジェンス（サイバー攻撃の検知に向けて情報収集・分析し、情報提供・アドバイザリーを行うこと）の分野にも興味があります。ダークウェブに流出している情報を集めるノウハウなどもDTCYならではの高い技術があってこそのものなので、いずれ学びたいですね。
DTCYの強みは、サイバーセキュリティにおける多様なキャリアが描け、選ぶこともできるという点だと思います。今日、お二人のお話を聞いてみて、それぞれの仕事も面白そうだと感じましたし、この先CICで一定の経験を積んだ後は、また違う領域に進むのも面白いのかも知れません。

M.K：R&Dでは、大学の研究とは使える予算が違い、大きなチャレンジができる楽しさを味わえます。衛星の研究は、未経験の分野でしたが自ら手を挙げて参加させてもらいました。今後も新しいテーマに次々と挑戦し、DTCYでしか得られない経験を積んでいきたいと思います。
社会やビジネスに貢献しながらもアカデミックな研究に注力できるのは、この会社ならではの大きな強みだと感じます。衛星の研究は大学機関でもできるかもしれません。けれど、打ち上げた衛星で実証実験を行い、その先のビジネスに結びつけていけるのは、DTCYだからこそできることでしょうね。

S.K：Cyber advisoryの魅力は、自分達の技術力を使ってお客様の課題を解決できる点にあります。ストラテジーの戦略立案や長い目で見たセキュリティ対策はもちろん大事ですが、即時的な効果を生む対策を提案できるのは魅力です。いってみれば、明日サイバー攻撃を受けてもおかしくないわけですから。そうした大手企業の足元に潜む脅威に対して、アドバイザリーを行い課題解決ができるのは、DTCYならではの経験と面白さなのかなと思います。
現在、私が担当しているのは金融業界のお客様が中心なので、そこからさらに幅を広げ、メーカーやインフラなど、ものづくり大国・日本の根底を支える業界のお客様にもサービス提供できる技術を身につけていきたいですね。コンサルタントとしてのスキルとホワイトハッカーとしてのスキル、どちらも高めて成長していける環境はDTCYの魅力だと思います。