Upgrade to Pro — share decks privately, control downloads, hide ads and more …

セキュリティ人材育成の “出口”に関する一考察

330214d6e31937be5550132041aeaa39?s=47 kansaisecurity
December 20, 2017

セキュリティ人材育成の “出口”に関する一考察

パナソニック株式会社 製品セキュリティセンター
森田智彦
2017/12/20 「セキュリティ人材育成 はじめの一歩」講演資料

330214d6e31937be5550132041aeaa39?s=128

kansaisecurity

December 20, 2017
Tweet

Transcript

  1. セキュリティ人材育成 はじめの一歩 2017/12/20 セキュリティ人材育成の “出口”に関する一考察 ~ユーザー企業における取組事例~ パナソニック株式会社 製品セキュリティセンター 森田 智彦

  2. Product Security Center 2 Who am I ? 森田 智彦(34)

    自社製品の診断に従事 =ホワイトハッカー ベンダー企業ではなく ユーザー企業 関西のセキュリティ・ コミュニティの運営
  3. Product Security Center 3 今日お話しする内容 • 人材育成の“出口”の話 • “出口”の失敗と、これから

  4. Product Security Center 4 人材育成の入り口と出口 • 入り口と出口 入り口:学校 出口:企業

  5. Product Security Center 5 人材の流れの偏り • わかりやすい出口= ベンダー企業 ユーザー企業 首都圏

    地方 イメージ しやすい おしごと 製造業 人材の流出 首都圏のITベンダー
  6. Product Security Center 6 IT人材の調査報告 • IT人材に関する経産省報告書 – 人材の不足数の予測 •

    セキュリティ人材不足は – ベンダー企業: 4万2190人 – ユーザー企業:23万8680人 – ベンダー企業には今後の提言 • ユーザ企業については、ほとんど言及がない • ユーザー企業としての危機感 – この現状をなんとか変えたい・・・ http://www.meti.go.jp/press/2016/06/20160610002/2 0160610002-7.pdf
  7. Product Security Center 7 ユーザー企業の採用活動 • セキュリティ人材の採用活動 • うまくいかない理由について考察 •

    漁業に例えてみる 学生 = サカナ 企業 = 漁師 ※あくまで比喩ですので、誤解なきように
  8. Product Security Center 8 よくある失敗① ずーっと待っているけど、釣れない 「募集をしても必要な経験、スキルを有する応募者がいない」 ・その池に、サカナいますか? ・これまでの勘・経験で 選択した釣り方は正しい?

  9. Product Security Center 9 よくある失敗② 定置網では、目的のサカナが獲れない 「定期採用で多数採用しても、セキュリティ人材はいなかった」 ・数が少ないサカナなので 偶然獲れるものではない ・たくさん獲った中から選別、

    育成して何年かかる? ・サカナにとっては 出荷先がわからない不安も http://www.maff.go.jp/j/tokei/census/gyocen_illust2.html
  10. Product Security Center 10 よくある失敗③ 環境変化で最近は、めっきり不漁続き 「東京一極集中のため、関西での採用活動は不利」 ・遠洋漁業を行うのも 一つの手ではあるが・・・ ・海洋環境の人為的改善は

    実施しているのか?
  11. Product Security Center 11 よくある失敗④ 釣ったサカナが、なんだか元気がない 「入社してくれたのに、期待と現実のミスマッチで退職を検討」 ・釣ったら終わりではない ・用意した環境は サカナに合っていたのか?

    ・回遊性のサカナだった のでは?
  12. Product Security Center 12 あるべき姿 • 待つのではなく、みずから漁に – 古いスタイルの採用活動からの脱却 •

    人事・採用に任せず、現場のエンジニアから就活生にアプローチ • 魚群探知機のアンテナは最新機種に – 優秀人材の判断基準、ターゲットの見直し • 高偏差値の大学ではなく、長く使える技術を持った人材=CS教育 • サカナの関心を引く – 企業内の殻に閉じこもらず積極的な情報発信を行う • 各種勉強会、カンファレンス、セキュリティキャンプ、SecHack365 • サカナが住める環境作り=人工漁礁 – 関西を盛り上げていくコミュニティを育てる • 関西の学生・企業のエンジニアのコミュニティを通したつながり
  13. Product Security Center 13 とあるメーカーの事例① • 社外からの認知向上 – カンファレンスでの技術発表 •

    メーカーが、情報公開することはまれ – ノベルティ製作 • クラウドソーシングでロゴ作成、チームウェア、ステッカーなど • サービスを売るためではなく、チームやメンバーの名前を売る – イベント協賛 • 「認知向上」、「社外からの技術吸収」、「人材の早期発掘」で 上司を説得し、決裁起案 • 学生に会いに行く機会を増やす
  14. Product Security Center 14 とあるメーカーの事例② • 社内の体制づくり – チームメンバーの意識改革 •

    学会/勉強会/CTFなどの情報をマメに発信して、脱・ひきこもり – 上司の理解を得る • 業務外と捉えられがちな活動を、「これも仕事」と認めてもらう – 人事・採用担当との調整 • 独自企画の企業見学会やインターン、採用活動の許可を取得※ ※経団連「採用選考に関する指針」に準拠 広報活動 : 卒業・修了年度に入る直前の3月1日以降 選考活動 : 卒業・修了年度の6月1日以降 内定日: 卒業・修了年度の10月1日以降
  15. Product Security Center 15 とあるメーカーの事例③ • 良好な“一本釣り”の関係を構築 – インターンなどを通じた事前の十分な対話 –

    入社後にもイキイキと泳ぎまわれる環境を ⇒即戦力のセキュリティ人材の新卒採用に成功
  16. Product Security Center 16 まとめ • 時代に合わせ、企業側も採用方法を変える • 関西に、人と情報が集まる「コミュニティ」をつくる –

    複数の大学、複数の企業の協力が必要 Special thanks to いらすとや http://www.irasutoya.com/
  17. Product Security Center 17 ▸OWASP:Open Web Application Security Project ▸

    世界最大のセキュリティ・コミュニティ ▸関西支部でも定期的な 勉強会を開催しています [告知]OWASP Kansai https://owasp-kansai.doorkeeper.jp/