TL;DR

技術知識だけでは「事実の要約」止まり。顧客が求めるのは「判断材料と提案」
3つの問い（背景・目的・効果）を立てるだけで、情報の読み解き方が変わる
毎週のJPCERT/CC Weekly Reportで繰り返し練習できる

対象読者

セキュリティコンサルタント1年目〜3年目
報告書で「で、うちは何すればいいの？」と言われた経験がある方
情報のまとめ方から分析・提案のやり方にレベルアップしたい方

1年目の壁: なぜ先輩と同じ報告書が書けないのか

同じ情報源を使っているのに、1年目と3年目では報告書の内容がまったく違う。

レベル	できること	必要なもの
Level 1	情報を見つけて伝える	情報源の知識
Level 2	情報を正確に要約する	技術知識
Level 3	情報を読み解いて提案する	読み解き方（思考法）

多くの1年目はLevel 2で止まっている。Level 3に上がるために必要なのが「3つの問い」だ。

3つの問い

どんなセキュリティ情報に対しても、以下の3問を立てる。

問い1: なぜこの組織は、今この情報を公開したのか？（背景）

考えるポイント:
- 脅威が急増している？ → 緊急対応が必要
- 法制度が変わる？ → 準備期間がある
- 大規模インシデント発生？ → 再発防止
- 年次レポート？ → 中長期的な計画に活用

問い2: 誰に、何をしてほしいのか？（目的）

考えるポイント:
- 想定読者は誰？ → 情シス担当？経営層？一般ユーザー？
- 期待する行動は？ → パッチ適用？投資判断？意識向上？
- 顧客がこの「想定読者」に該当するなら、行動を報告書に書く

問い3: これが広まると、何が変わるのか？（効果）

考えるポイント:
- 短期: 対象組織が対策を開始
- 中期: 業界全体の対策水準が向上
- 長期: セキュリティ文化の成熟
- この視点で「来期に向けて検討すべきこと」まで提案できる

実践例: Level 2 vs Level 3

題材: IPA「情報セキュリティ10大脅威 2026」

Level 2（事実の要約）

IPAが情報セキュリティ10大脅威2026を公開しました。
1位はランサムウェアによる被害、2位はサプライチェーン攻撃です。

Level 3（読み解いた後）

IPAが情報セキュリティ10大脅威2026を公開しました。

【背景】
サプライチェーン攻撃が3年連続上位。一過性ではなく構造的問題として定着。

【当社への影響】
複数の外部委託先とデータ共有しており、リスクは現実的。

【提案】
1. 主要委託先のセキュリティ対策確認チェックリスト作成（4月中）
2. 委託契約のセキュリティ要件見直し（次回更新時）
3. 本レポートを経営報告に添付（来期予算確保の根拠）

1年目が今日からできる5つのこと

JPCERT/CC Weekly Reportを毎週読む — 毎週水曜公開。まず習慣化
1記事に3つの問いを立てる — 背景・目的・効果。最初は5分、慣れれば2-3分
先輩の報告書と比較する — 同じ情報源からの差分が「読み解き方」の差
報告書に「提案」を1つ入れる — 「推奨します」→「○○部にて、来週金曜までに対応」
セキュリティ勉強会に参加する — connpass、OWASP Japanで他者の読み解き方を知る

まとめ

1年目の最大の武器は技術知識の量ではない。学び方を知っていることだ。

3つの問い（背景・目的・効果）は、どんな脅威が出ても使える普遍的な思考法。毎週のWeekly Reportで練習すれば、半年後には報告書の質が変わっている。

関連記事

タグ: #Security #セキュリティ #初心者 #キャリア #新人エンジニア

関連イベント

この「3軸分析」を実際に体験できるオンライン勉強会を開催しています。JPCERT/CC Weekly Reportを題材に、30分で読み解き方を実践します。

毎週の実践例はnoteで配信中

この記事で紹介したフレームワークを、毎週のJPCERT/CC Weekly Reportに適用した実践例をnoteメンバーシップで配信しています。

3軸分析の詳細テキスト（背景・目的・効果）
ペルソナ別行動シミュレーション（現場担当者・管理者・経営者）
PDF完全版レポート、インフォグラフィック

初月無料で試せます。

▼ noteメンバーシップ
https://note.com/yuusan_security/membership

▼ 無料記事・プロフィール
https://note.com/yuusan_security

最終更新: 2026-04-15