セキュリティ人材育成 はじめの一歩 2017/12/20 セキュリティ人材育成の “出口”に関する一考察 ～ユーザー企業における取組事例～ パナソニック株式会社 製品セキュリティセンター 森田 智彦 

Product Security Center 2 Who am I ? 森田 智彦（３４） 自社製品の診断に従事 ＝ホワイトハッカー ベンダー企業ではなく ユーザー企業 関西のセキュリティ・ コミュニティの運営 

Product Security Center 3 今日お話しする内容 • 人材育成の“出口”の話 • “出口”の失敗と、これから 

Product Security Center 4 人材育成の入り口と出口 • 入り口と出口 入り口：学校 出口：企業 

Product Security Center 5 人材の流れの偏り • わかりやすい出口＝ ベンダー企業 ユーザー企業 首都圏 地方 イメージ しやすい おしごと 製造業 人材の流出 首都圏のITベンダー 

Product Security Center 6 IT人材の調査報告 • IT人材に関する経産省報告書 – 人材の不足数の予測 • セキュリティ人材不足は – ベンダー企業： 4万2190人 – ユーザー企業：23万8680人 – ベンダー企業には今後の提言 • ユーザ企業については、ほとんど言及がない • ユーザー企業としての危機感 – この現状をなんとか変えたい・・・ http://www.meti.go.jp/press/2016/06/20160610002/2 0160610002-7.pdf 

Product Security Center 7 ユーザー企業の採用活動 • セキュリティ人材の採用活動 • うまくいかない理由について考察 • 漁業に例えてみる 学生 ＝ サカナ 企業 ＝ 漁師 ※あくまで比喩ですので、誤解なきように 

Product Security Center 8 よくある失敗① ずーっと待っているけど、釣れない 「募集をしても必要な経験、スキルを有する応募者がいない」 ・その池に、サカナいますか？ ・これまでの勘・経験で 選択した釣り方は正しい？ 

Product Security Center 9 よくある失敗② 定置網では、目的のサカナが獲れない 「定期採用で多数採用しても、セキュリティ人材はいなかった」 ・数が少ないサカナなので 偶然獲れるものではない ・たくさん獲った中から選別、 育成して何年かかる？ ・サカナにとっては 出荷先がわからない不安も http://www.maff.go.jp/j/tokei/census/gyocen_illust2.html 

Product Security Center 10 よくある失敗③ 環境変化で最近は、めっきり不漁続き 「東京一極集中のため、関西での採用活動は不利」 ・遠洋漁業を行うのも 一つの手ではあるが・・・ ・海洋環境の人為的改善は 実施しているのか？ 

Product Security Center 11 よくある失敗④ 釣ったサカナが、なんだか元気がない 「入社してくれたのに、期待と現実のミスマッチで退職を検討」 ・釣ったら終わりではない ・用意した環境は サカナに合っていたのか？ ・回遊性のサカナだった のでは？ 

Product Security Center 12 あるべき姿 • 待つのではなく、みずから漁に – 古いスタイルの採用活動からの脱却 • 人事・採用に任せず、現場のエンジニアから就活生にアプローチ • 魚群探知機のアンテナは最新機種に – 優秀人材の判断基準、ターゲットの見直し • 高偏差値の大学ではなく、長く使える技術を持った人材＝CS教育 • サカナの関心を引く – 企業内の殻に閉じこもらず積極的な情報発信を行う • 各種勉強会、カンファレンス、セキュリティキャンプ、SecHack365 • サカナが住める環境作り＝人工漁礁 – 関西を盛り上げていくコミュニティを育てる • 関西の学生・企業のエンジニアのコミュニティを通したつながり 

Product Security Center 13 とあるメーカーの事例① • 社外からの認知向上 – カンファレンスでの技術発表 • メーカーが、情報公開することはまれ – ノベルティ製作 • クラウドソーシングでロゴ作成、チームウェア、ステッカーなど • サービスを売るためではなく、チームやメンバーの名前を売る – イベント協賛 • 「認知向上」、「社外からの技術吸収」、「人材の早期発掘」で 上司を説得し、決裁起案 • 学生に会いに行く機会を増やす 

Product Security Center 14 とあるメーカーの事例② • 社内の体制づくり – チームメンバーの意識改革 • 学会／勉強会／CTFなどの情報をマメに発信して、脱・ひきこもり – 上司の理解を得る • 業務外と捉えられがちな活動を、「これも仕事」と認めてもらう – 人事・採用担当との調整 • 独自企画の企業見学会やインターン、採用活動の許可を取得※ ※経団連「採用選考に関する指針」に準拠 広報活動 ： 卒業・修了年度に入る直前の３月１日以降 選考活動 ： 卒業・修了年度の６月１日以降 内定日： 卒業・修了年度の１０月１日以降 

Product Security Center 15 とあるメーカーの事例③ • 良好な“一本釣り”の関係を構築 – インターンなどを通じた事前の十分な対話 – 入社後にもイキイキと泳ぎまわれる環境を ⇒即戦力のセキュリティ人材の新卒採用に成功 

Product Security Center 16 まとめ • 時代に合わせ、企業側も採用方法を変える • 関西に、人と情報が集まる「コミュニティ」をつくる – 複数の大学、複数の企業の協力が必要 Special thanks to いらすとや http://www.irasutoya.com/ 

Product Security Center 17 ▸OWASP：Open Web Application Security Project ▸ 世界最大のセキュリティ・コミュニティ ▸関西支部でも定期的な 勉強会を開催しています [告知]OWASP Kansai https://owasp-kansai.doorkeeper.jp/