NRIセキュアテクノロジーズ株式会社 澤 亨保様 インタビュー

NRIセキュアテクノロジーズ株式会社
サイバーエンジニアリング事業本部 DevSecOps事業部
シニアセキュリティエンジニア 澤 亨保様

登録セキスペインタビュー

Q 現在取り組まれている情報セキュリティ業務と、そこで求められる役割について教えてください。

現在はDevSecOps 事業部に所属し、顧客の Web アプリケーションやAPI、プラットフォーム、スマートフォンアプリ等に対する脆弱性診断を中心に業務を行っています。診断は単なるスキャンにとどまらず、検出された脆弱性の根本原因を突き止め、修正方針の提案、修正箇所の再診断までを一貫して担当しています。その過程で、技術的な深さはもちろん、リスクを定量的に説明し、開発チームや経営層と合意形成できるコミュニケーション力が不可欠であると感じます。弊部は多様なバックグラウンドを持つメンバーで構成されており、私は診断サービスの品質保証や若手エンジニアの育成支援も担っております。

また、兼務として人材開発コンサルティング部にも所属し、セキュリティトレーニングの講師やコンテンツ開発、大学での情報セキュリティに関する講義等を担当しております。

脆弱性診断業務で得た技術知識を研修コンテンツに反映させ、受講者が実務にすぐに活かせる構成へアップデートする役割も担っています。

Q どのような業界のお客様への対応が多いのでしょうか。

脆弱性診断や、それに付随する改善提案・コンサルティングといった支援的な業務においては、金融業界のお客様が比較的多い印象があります。金融機関は、金融庁からのセキュリティに関する各種ガイドラインや通達への対応が求められるため、セキュリティ動向に対する感度が高く、新しいサービスや対策についても積極的に情報収集や検討を行われる傾向があります。
そのため、当社が提供しているサービスについても比較的早い段階でお問い合わせをいただくことがあり、結果として金融業界との接点が多くなっていると感じています。
また、当社内にはコンサルティング部門において、セキュリティの「二線」としてお客様先に常駐しながら支援するケースもあり、こうした継続的な関与も含めて、金融業界のお客様との取り組みが多い状況にあると認識しています。

Q 情報処理安全確保支援士試験および資格は、社内や業務においてどのような位置づけでしょうか。

社内には情報処理安全確保支援士をはじめ、多様なセキュリティ資格がありますが、その中でも登録セキスペの資格は、特に国内の顧客向け業務において独自の役割を持っていると感じています。
特に官公庁向けの入札案件では、公的資格の保有が参加要件として求められることがあり、登録セキスペの資格がその要件を満たすための重要な条件となる場合があります。こうした背景から、登録セキスペの資格は単なる知識証明にとどまらず、案件参画の前提条件として機能する側面を持っている点が特徴的です。
そのため、社内外で話を聞く中でも、登録セキスペの資格は個人のスキルを示すだけでなく、組織としてビジネス機会を広げるための実務的な価値を持つ資格として位置づけられていると認識しています。

Q 情報処理安全確保支援士（登録セキスペ）を取得した背景を教えてください。

セキュリティベンダーの社員として業務に従事する中で、お客様の信頼を得るために業界標準の資格取得が必要だと考え、情報処理安全確保支援士の取得に踏み切りました。

Q 資格取得後の業務で特に役立っていると感じる点を教えてください。

試験に向けて暗号・認証・リスクマネジメントなど広範な領域を体系的に学び直す過程で、説明力が飛躍的に向上したと感じています。以前はMSS業務に従事しており、低レイヤーのセキュリティ知識は土台として活かせていましたが、Webアプリケーションの脆弱性に関する知見には不足がありました。
資格取得の学習を通じて、これらの分野を体系的に理解できたことで、現在従事している脆弱性診断業務において、リスクの可視化や影響度の整理が可能になりました。特に、レポート作成時に具体的な改善提案を根拠を持って提示できるようになり、実務への貢献を実感しています。資格が持つ客観的な裏付けは、技術的な説明の説得力を高め、関係者とのコミュニケーションにおいて信頼を築く基盤になっています。

Q この5年間で、企業の情報セキュリティ業務や求められるスキル・視点はどのように変化しましたか？

この5年を振り返り、何より最も劇的な変化をもたらしたのは「AIの普及」だと捉えています。 AIの普及による情報セキュリティ業務の変化としては、大きく2点あると考えます。

一つ目は、「AIを活用した高度なサイバー攻撃への対応」です。AIの普及により、当然サイバー攻撃者もAIを活用するようになりました。例えば、これまで不自然な日本語で作られていたフィッシングメールが、AIによって自然で巧妙な文面に進化しています。こうした変化に対し、我々防御側もAIを搭載したセキュリティソリューションを導入し、膨大なログからプロアクティブに脅威を検知し、自動対応していく業務へとシフトしています。

二つ目は、「社内のAI利活用を守る業務」です。従業員が各種生成AIを利用する際、機密情報の漏洩を防ぐためのガイドライン策定や、データ保護の仕組みづくりが急務となっています。ビジネス推進と安全性を両立させるためのルールを作り、それを運用していくことが、現在の必須業務になっています。

こうした業務の変化に伴い、求められるスキルや知識も大きく変化していると感じます。 これまではネットワークや特定のセキュリティ製品に関する知識が中心でしたが、現在は「AIそのものの仕組みや特性を理解すること」が求められています。たとえば、大規模言語モデル特有のプロンプトインジェクションといった新しい脆弱性を理解し、自社で開発するAIアプリケーションにセキュリティをどう組み込むかといった、開発領域に踏み込んだスキルが必要不可欠です。

また、技術的なスキルだけでなく、「ビジネス視点でのコミュニケーション能力」もこれまで以上に重要になっています。AIという新しい技術に対して、「リスクがあるから使わせない」と厳しく制限するのではなく、「どうすれば安全にAIを活用して自社のビジネスを加速できるか」を経営層や事業部門に提案できる力です。

まとめますと、セキュリティとビジネスは、一見するとお互いに推進を阻害し合う要素に見えがちです。これらを効率よく、かつ効果的に取り入れる支援をしていくという本質的な役割はこれまでと同様ですが、AIの普及により、その調整力や提案力といったスキルがこれまで以上に強く求められていると考えております。

Q 民間事業者等が行う実践講習の講師として関わるうえで、受講者に特に伝えたいポイントや育成で重視していることがあれば教えてください。

私がセキュリティ研修の講師として意識しているのは、受講者の知的好奇心をくすぐり、セキュリティを「楽しい」「面白い」と思ってもらうことです。

研修を受講される方の中には、ご自身の知識アップデートという能動的な方もいらっしゃいますが、「上司からの指示で参加している」「資格更新のために仕方なく」という受動的な動機の方も多くいらっしゃるのが実態です。そうしたモチベーションの中で効果的に学習していただくために、大きく3つの工夫をしています。

1つ目は、実体験を通じた楽しさの提供です。 単なる知識のインプットではなく、実際に攻撃が成功するプロセスや、それを防御する仕組みを体感してもらうことが重要です。そのため、講義にはハンズオン環境を設け、受講者自身が脆弱性を再現し、修正するまでの一連のフローを体験できるようにしています。

2つ目は、学習へのハードルを下げることです。 ハンズオン研修は事前の環境構築が必要なことが多く、特に初学者や本業でお忙しい方にとっては大きな負担になります。そこで我々の研修では、ブラウザのみで演習に取り組める環境を用意し、実体験への心理的・技術的なハードルを極力下げるようにしています。

3つ目は、学んだことをすぐに実務へ接続させることです。 受動的な参加であっても、研修の価値を感じてもらうためには業務への直結が不可欠です。例えば講義の中で、「今ご自身が携わっているシステムのソースコードを思い浮かべてみてください。危険な関数を使っていませんか？ 脆弱な暗号アルゴリズムを採用していませんか？」と具体的に問いかけます。「もしパッと答えられないなら、研修後にぜひ設計を見直してみてください」と伝えることで、その日の学びをどう実務に活かすか、具体的なアクションを提示することを意識しています。

Q 今後、貴社が強化していきたい情報セキュリティ分野や、登録セキスペに期待する役割について教えてください。

登録セキスペの方々に期待する役割は新技術の利活用とビジネス推進を両立させる調整役です。新しい技術が登場した際、「リスクがあるから使わせない」とビジネス推進を阻害するのではなく、「どうすればこの新技術を安全に使いこなし、ビジネスを加速できるか」を考え、リスクをコントロールすることを期待しています。直近ではAI活用になりますが、これに限らず今後台頭しうる新技術に柔軟に適応し、ビジネス推進を支援する能力を求めます。

現代においてサイバー空間の安全を守ることは、単に企業のデータを守るだけでなく、人々の生活基盤や社会インフラを守ることに直結しています。登録セキスペの皆様には、新技術への対応や目の前のビジネスを守るその日々の業務が、安心・安全な社会づくりの一端を担っているという誇りを持ち、共に業界を牽引していく存在になってほしいと願っています。