サイバー空間の安全を守る専門家として、ホワイトハッカーとセキュリティコンサルタントは共に重要な存在だ。しかし、両者が果たす役割やアプローチの仕方は明確に異なっている。
ホワイトハッカーは、主に技術的な側面からシステムの弱点を洗い出す。攻撃者と同じ手法を用いてネットワークやアプリケーションに擬似的な攻撃を仕掛け、脆弱性を発見するのが主な任務だ。高いプログラミング能力やOSの内部構造に関する深い理解が求められる。
一方、セキュリティコンサルタントは、組織全体の情報保護戦略を立案する。企業のビジネスモデルや資産の重要度を考慮し、どのようなリスクがあるかを評価した上で最適な対策を提案する。技術的な視点だけでなく、経営的な視点や法規制への対応も視野に入れる必要がある。
ホワイトハッカーが発見した個別の脆弱性に対し、それを組織としてどう管理し、運用ルールに落とし込むかを考えるのがコンサルタントの役割だ。技術を駆使して「穴」を見つける作業と、組織の仕組みとして「守り」を固める作業は、補完関係にあるといえる。
Webサービスが複雑化する現代において、一方の知見だけでは十分な防御は望めない。システムの深部まで解析する技術力と、全体を俯瞰して最適解を導き出す構成力の両輪が揃うことで、強固な防衛体制が構築される。
自身の適性が、特定のプログラムと向き合う技術志向にあるのか、あるいは人と組織を動かす戦略志向にあるのかを見極めることが、この分野でキャリアを積む第一歩となるだろう。
セキュリティコンサルタントに求められるスキルの1つは、情報セキュリティ分野に関する知識だ。サイバー攻撃は日々変化しているため多岐にわたる情報についていき、セキュリティ対策を常に最新のものにしておく必要がある。
また、アプリケーションやネットワークの知識も求められる。企業ごとに違うアプリケーションをしておりバージョンも異なるため、セキュリティコンサルタントは幅広いアプリケーションとネットワークの知識が必要だ。
セキュリティコンサルタントには、仮説を構築する能力も求められる。問題起きる前に防止策を考案し、実行することが必要だからだ。仮説を構築するには、洞察力や発想力が必要とされる。
さらに、クライアントに情報セキュリティという難しい分野について、わかりやすく説明するプレゼンテーション能力も必須スキルの1つだ。
なお、セキュリティコンサルタントになるためにはIT分野に関係した実務経験が求められる。
例えば、セキュリティコンサルタントの求人の中には「UNIXやLinux、Windows環境でのサーバ側の知識を持ち、HTMLもしくはJavaでの開発経験がある」というものがある。IoT領域のセキュリティコンサルタントの求人では、「IT・Web・ネットワークエンジニアとして、あるいは制御・組み込みソフトウェアの分野での経験がある。または、コンサルタントかプリセールスとしての経験がある」となっているケースが多い。
とはいえ、セキュリティコンサルタントの経験がない場合でも、社内研修でキャッチアップできるようになっていることもある。
セキュリティコンサルタントに興味が湧いたときは、『セキュリティコンサルタントのお仕事｜Security-Tech-BOOK』が足がかりになってくれるだろう。