Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
セキュリティ業界にn年いて思ったこと
Search
misQ
August 24, 2021
Business
0
580
セキュリティ業界にn年いて思ったこと
Infra Study #4のLTで発表したもの(
https://forkwell.connpass.com/event/219136/
)
misQ
August 24, 2021
Tweet
Share
More Decks by misQ
See All by misQ
イベントログ解析ツールのあれこれ
_misq_
3
1.6k
今夜、調べてみました-ペネトレーションテストis 何?-
_misq_
1
150
Other Decks in Business
See All in Business
Fuji Oil Holdings (02/07/2025 Press Release)
tsogo817421
2
180
多様なマネジメント経験から導き出した、事業成長を支えるEMの4つのコンピテンシー / 4 Key EM Competencies for Growth
rakus_dev
1
1k
アッテル会社紹介資料/culture deck
attelu
10
14k
IRIAM Culture Deck
iriam
4
100k
Alp_CompanyDeck.pdf
alpinc
0
330
株式会社shizai - Recruit Deck
shizai
3
57k
ミラティブ「採用候補者さまへの手紙」 / mirrativ letter
mirrativ
4
400k
株式会社モバイルファクトリー 会社説明資料
mobilefactory
0
620
AmbientNavi_紹介資料.pdf
ambientnavi0329
0
380
生成AIが変える新時代のビジネスインテリジェンス
marreta27
0
160
株式会社ビズリーチ 会社概要資料 / Corporate Deck
bizreach_inc
2
27k
CCBJIピッチブック
2024ccbji
0
250
Featured
See All Featured
Writing Fast Ruby
sferik
628
61k
How to Create Impact in a Changing Tech Landscape [PerfNow 2023]
tammyeverts
49
2.3k
I Don’t Have Time: Getting Over the Fear to Launch Your Podcast
jcasabona
32
2.1k
4 Signs Your Business is Dying
shpigford
182
22k
Java REST API Framework Comparison - PWX 2021
mraible
29
8.4k
Fight the Zombie Pattern Library - RWD Summit 2016
marcelosomers
233
17k
The Pragmatic Product Professional
lauravandoore
32
6.4k
What's in a price? How to price your products and services
michaelherold
244
12k
Product Roadmaps are Hard
iamctodd
PRO
50
11k
Art, The Web, and Tiny UX
lynnandtonic
298
20k
実際に使うSQLの書き方 徹底解説 / pgcon21j-tutorial
soudai
175
52k
The Web Performance Landscape in 2024 [PerfNow 2024]
tammyeverts
4
430
Transcript
セキュリティ業界にn年いて思ったこと Infra Study 2nd #4「セキュリティエンジニアリングの世界」 LT
注意 本LTはざっくばらんになんか思ったことをしゃべってるLTです。 期待せず肩の力を抜いてお聞きください 本発表は所属する会社を代表するものではありません このLTを見て体調に不調が発生した場合、 当方は一切の責任を持ちません このLTを見てイライラした方は自粛疲れの可能性があるので カルシウムをとってお部屋の中でもいいので運動しましょう 背景: 背景:https://jp.freepik.com/vectors/background
https://jp.freepik.com/vectors/background
お前誰や 名前:misQ 好きなもの:好き 嫌いなもの:嫌い 主催:雰囲気セキュリティ 発表歴:いろいろ発表とかしている 元々は構築とかソフトウェア開発している側の人間だったが、セキュリティの部 署に異動となって、調査とか検証とかPoCっぽいことを現場作業者だけど見積 もり書いて契約処理して実務して管理して納品まで全部自分でやる人。好き なものは攻撃側の技術。
所属:所属……?うっ頭が……
とりあえず話してみよう →(1か月前)よし、資料作ったぞ! →(1週間前)少し修正とか確認しておかないとな →あれ?ファイルがない? え、もしかして資料作ったときに保存ミスった?
うわぁぁぁぁぁぁぁ というわけで、元の原稿の内容を忘れてしまったので再度作り直し
あれ連絡来ないな?LTとかってタイトルとか不要なのかな? →(当日)あれ?久しぶりにTwitter開いてみ たら珍しくメンションついてるぞ? →運営:「メールもTwitterも連絡つかんから キャンセルさせてもらうよ?」 →ファッ!?
運営:「準備したんだったらしゃべってもいいですよ」 運営の方々にはご迷惑をお掛けしてしまい 誠に申し訳ございません 懐が深いForkwellさんに感謝
Infra Studyにお越しの方で セキュリティ関連の業務をしている人っ てどれくらいいるのだろう
TL;DL セキュリティはトピックスは常に出てくる面白い分野だが、ビジネスだといろいろ 難しい 人材確保が難しい ネットワークもしくはサーバの構築とかを押さえたうえでセキュリティの知識 を押さえた人材の育成をしないとオペレータにしかならない問題 セキュリティ製品/サービスを扱っている会社はたくさんある 海外ベンダの製品をそのまま売る「代理店」のケース、それ以外の検証、 開発、運用、コンサルで帳尻をとるケースと様々 発注側と受注側はパートナーとして事にあたりましょう
憎んでもいいが前に進むための力として使えないのであれば双方辛くなる
セキュリティってどうなんだろう?(曖昧) 会社の別部署の若い年次の後輩から「こっちの部門でもセキュリティをやるぞっ て言ってるんですが、セキュリティって何を分かっていればいいんでしょうね?」と 言われる 自社で開発しているセキュリティ製品を持ってるベンダーでない状態でn年間 業務してたらセキュリティビジネス難しいという気づきを得た 案件面 人材面
案件面 作業が遅れたり、誤りがあったらどうなるか 運用やセキュリティは作業のミスが攻撃を受けて大ごとになったときにサービ ス停止まで行く セキュリティは場合によっては業務のすべてが停止する可能性もある 開発や構築は(全くよくないが)発覚タイミングによっては新サービスは最悪リ リースを遅らせるという行為ができなくはない
そもそも案件化まで結びつかん 顧客としてもお金を出したからと言って新たな利益を積むというよりは保険のよ うなものだからそこまで大きくお金を出す判断出しづらい でも、セキュリティ製品やら関連する案件は高いという風潮 ものによるが結構ベンダから仕入れて稼働足すと結構な金額になりがち 各製品を連携をすることで稼働を足しやすくなっていたけど、それも各種 ベンダーやプラットフォームが公式連携するとそこで大きく稼働が取れない お金を出した後に要望に食い違いが発生したりすると大体つらいことになる 管理・交渉・契約でしっかりと対応できていないと訴訟になるし、診断とか であれば事前の調整が甘いと攻撃だと判断されることもある
人材面 セキュリティ人材が少ないと言われてるけど……そもそも簡単に増やせるのか? セキュリティは基本的にベースを理解していて初めて成立する分野だと思う サーバ構築ができるとか、ネットワークの基本は分かっているとか 昨今だったらクラウド環境の設定を適切に そうじゃない場合「ツールだけ使える」とか「なんか他の人が作ったものを評 論するだけ」人材が多い気がする
人材育成 人材育てるのも(どの業界もそうだけど)基本的に難しい 基本OJTベースにならざるを得ない 部署、上司、先輩ガチャが発生→突然の転職 それ以外のところは個人の勉強ベースになってしまいがちになる セキュリティ関連は曖昧なバズワードが多く出てくる。新たな情報が出てくる のが開発とか構築とかに比べて範囲が広くかつ早い 関連する研修/資格が基本高い(気がする) SANSとかだと研修/資格(GIAC/10万円)込みで100万円ぐらい
顧客に分かっておいてほしいこと これ入れれば未来永劫大丈夫なんてものは存在しない 新たな脆弱性や攻撃は出てきているので、セキュリティ製品を入れたままにせ ず更新とかをしていってください なんでセキュリティは値段高いのか 正直高いのはセキュリティ機器のベンダーの価格が結構高くてそれに人件費 上乗せると高くなりがち 価格抑えて結局いろいろ付け加えられると現場壊れちゃう PMとか営業の交渉が必要になるが大体もめる 受注した側はパートナーとして提案して対処もするが、だからといって顧客側で
セキュリティを丸投げしてしまうと非常に厳しい 常に不摂生をし続けている人が自身を何とかせずに、医者にすべてを丸投 げしてしまっているのはよろしくないという感じ
まとめ セキュリティはトピックスは常に出てくる面白い分野だが、ビジネスは結構厳し いと思った セキュリティ扱っている会社はたくさんある ベンダの製品をそのまま売る ベンダの製品を使って検証、開発、運用、コンサルを主力とする 人材確保が難しい 基礎的な知識を抑えたうえでのセキュリティの知識を抑えた人材の育成 をしないとオペレータとして肩身が狭くなっていく セキュリティは分野に幅がある。管理側はスキルの把握、育成の方針を
固めていきましょう 発注側と受注側はパートナーとして事にあたりましょう 憎んでもいいが前に進むための力にならないのであれば双方辛くなる
終わり