セキュリティのご支援活動で、情シスの方々へのセキュリティ教育をどうしたらよいのか というご質問をいただくことがあります。
セキュリティというと、セキスペいわゆる情報処理安全確保支援士の資格取得のことが思い浮かぶかもしれません。これは確かに一定の素養があることの証明にはなりますが、マニアックなことも聞いてくるので、私は正直こだわっていません。
この資格取得もそうですが、セキュリティの勉強法というのがこれまた難しいといいますか、わかりにくい。
その理由は、いわゆるITの素養があることが前提になっているからで、かつそのITの素養もかなり広範囲で、技術的には相当深いため、身につけ方も簡単とはいいがたいからです。
どの程度のことまでわかっていたらいいのかは、その職場業務ミッションに照らして人様々です。今日、ホワイトハッカー養成をうたった講座、専門学校などもたくさんありますが、ホワイトハッカーレベルを目指すためには、ITについて相当な素養が必要です。
私は、セキュリティの教育を行う場合ITの知識についての解説も行って、ITとセキュリティを同時に学習するのがよいと思っています。また、情シスの方であれば実際の機器の設定やログ確認などの日々の運用や、SASEなどの新たな仕組みを導入することもあると思います。そういうタイミングを利用して、自分なりに深堀りすることも有益です。
情シスであればバンダーから購入するわけですから、あれこれ突っ込んだ質問をして詳しい情報を出させることもできます。また練習用の環境を仮想環境でもいいので構築し、実際に手を動かしてやってみることもいいでしょう。