「起きた後」ではなく、「起きる前」に。セキュリティを目指して積み重ねてきたこと
私のキャリアのスタートは、警察官でした。
地域課の交番勤務として、事件・事故への初動対応や住民からの相談対応、パトロールなど、地域の安全を守る仕事に携わっていました。
警察には犯罪を未然に防ぐ役割もあります。一方で、現場で向き合うのは、すでに起きてしまった事件や事故であることも少なくありません。
目の前で起きたことに対して、限られた情報から状況を整理し、リスクを判断して対応する。その仕事に携わる中で、私の中に少しずつ一つの思いが生まれました。
「起きた後に対応するだけではなく、もっと手前でリスクを見つけ、被害そのものを防ぐ仕事がしたい」
その思いから興味を持ったのが、サイバーセキュリティでした。
しかし、当時の私はITの実務経験がありませんでした。
だからこそ、セキュリティの知識だけを身につけるのではなく、まずは守る対象であるシステムやアプリケーションそのものを理解したいと考えました。
「どのように作られ、どのように動き、どのように守られているのか」を知ることが、セキュリティを専門にしていくための土台になると考えたからです。
そこで、IT業界への転身を決めた後、最初の一歩としてオンラインスクールでHTMLを中心としたWeb制作の基礎を学びました。
そしてIT業界での1社目では、将来的に脆弱性診断やペネトレーションテストへ進むための土台として、開発とセキュリティ運用の双方を経験することを目標にしました。
約1年半の開発業務では、システムがどのように作られ、プログラムがどのように処理されて機能として形になっていくのかを学びました。Javaについても研修を通じて基礎を身につけました。
その後、インフラ・セキュリティ運用にも携わり、ログ監視やセキュリティインシデント対応を経験しました。
開発では「どう作るのか」を考え、セキュリティ運用では「何が起きているのか」「どこに影響しているのか」をログから追う。
同じシステムでも、立場が変われば見え方が大きく変わることを実感しました。
並行して、自社業務ではISMS・ISOに基づく情報セキュリティ内部監査にも携わりました。そこでは技術だけではなく、情報資産の管理やセキュリティ規程など、組織のルールや運用によってリスクを減らす視点も学びました。
こうして、「作る側」と「守る側」の両面からシステムを見るための基礎を積むことができました。
そして次に進みたいと考えたのが、もともと目標としていた脆弱性診断やペネトレーションテストでした。
1社目ではその領域に直接携わる機会が限られていたため、これまで身につけた知識を土台に、今度は「攻撃者ならこのシステムをどう見るのか」という視点を身につけたいと考え、現在の環境へ移りました。
現在は、Webアプリケーションやプラットフォームを対象とした脆弱性診断に携わっています。
AeyeScanによる自動診断に加え、Burp Suiteを用いてリクエスト／レスポンスを確認・改変しながら、手動で検証しています。
そして診断に携わるようになって、以前経験した開発の知識が、思っていた以上につながっていることを実感しました。
画面に現れる挙動だけを見るのではなく、
「この裏側では、どのような処理が行われているのか」
「なぜ、この挙動になるのか」
「攻撃者なら、ここから何ができるのか」
と考えながら検証する。
その中で、詳細なエラー情報の露出や機微情報の漏洩など、実装上の問題につながる脆弱性を発見した経験もあります。
警察官だった頃に感じていた、**「もっと手前でリスクを見つけたい」**という思い。
振り返ってみると、その思いは仕事を変えてもずっと変わっていませんでした。
事件・事故が起きた現場で対応するところから始まり、ITの基礎を学び、システムを作る側と守る側を経験し、組織のルールや統制からもリスクを見る。そして今は、攻撃者の視点から、まだ被害が起きていないシステムの弱点を探しています。
少しずつですが、私が最初に目指した**「起きた後に対応するのではなく、起きる前に見つけて防ぐ」仕事**に近づいてきたと感じています。
ただ、脆弱性を一つ見つけることがゴールだとは考えていません。
今後は脆弱性診断の経験をさらに深め、ペネトレーションテストにも挑戦したいと思っています。
単一の脆弱性を見るだけではなく、システムの構成や仕様、複数の弱点を組み合わせながら、
「攻撃者なら、次にどう動くか」
を考え、実際の攻撃経路として検証できるようになることが、次の目標です。
将来的には、攻撃者視点と防御側の双方を理解し、技術的なリスクを見つけるだけでなく、その意味を相手に分かりやすく伝え、被害を未然に防ぐことのできるホワイトハッカーを目指しています。
目標を決めたら、そこから逆算して必要なことを考え、その一歩先まで行動する。
振り返れば、私自身のキャリアも、そうやって少しずつ積み重ねてきたものなのだと思います。
