どうも、僕です。前回の投稿から一年近く経っていて、「光陰矢の如し」とはうまく言ったものだなあと痛感しております。この一年でCISSPという資格を取りました。「何それ? 美味しいの?」という方々も多いかと思いますが、ISC2 Japanの説明を参照いただけると助かります。
どうやって勉強するの? といった内容のサイトはたくさんあるのでここでは割愛させていただき、どう認識が変わったかについて書かせていただければと思います。
CISSP取得の理由
CISSP取得前まで、組み込みのファームウェア開発や回路基板設計・作成、3D-CADでの筐体設計もやれば、Python（Django・Flask・FastAPI・ROS2）を使ったウェブアプリケーションやロボットの開発、AWSでの環境構築なんかもやっていました。VPN環境の構築や運営もやっていました。というか、それら以外やれることがなかったというのがほんとのところです。一人法人で売り上げを上げるための手段としてやっていたわけです。
それはそれで良かったのですが、無理が祟ったこともあり、少し戦略を変えなければならなくなりました。これまでの経験から、一本だけの技術をやるより、さまざまな要素を組み合わせて全体を構築・設計していくことが自分には向いていると感じていました。IoTとかもそうでしたし。そこで、技術的な面と若干法律的な要素が組み合わさったCISSPを取ってみるかとなりました。
絶賛円安の中、10万円超えの再チャレンジ特典付き受験料は心とお財布に痛い部分はありましたが…。ただ、試験中逃げ出したくなった時に心の支えになったのは「10万円以上払っちまったしなあ…」というどうしようもない現実だったのは事実ですw
奇跡的にもなんとか受かって、今までの経験が請求書という形で残っていたので5年以上のエンドースメントもパス。晴れてCISSPとして認定されました。なお、AWS Certified Security - Specialty を持っていたので実は4年の経験で良かったのですが。
視点の変化
エンジニアとして仕事をしていると、最先端のサービスを見かけて「スゲエ!」となると即導入したくなる方も多いかと思います。このサービス導入したら今やってる面倒なセキュリティ設定、全部丸投げできるじゃん。CrowdStrikeとかZscaler、さっさと導入しろよと言いたくなるかと思います。僕もそうでしたw
一方で、法人をなんとか経営してきた身としては、「金かかるなあ…これ」というのが本音です。帳簿でどんどん減っていくキャッシュをHPだと認識していると、「俺に更なるダメージを負わせようとしているのか、こいつらは…」とも言いたくなるわけです。特にセキュリティ分野では顕著です。経営者としては金にならねえだろ! と認識するのも無理のない話で、どうしても及び腰になります。そこを突かれて、恐ろしい額の被害を受けている企業が増えているというのが現実でもありますが。
CISSPの考え方として「セキュリティに金突っ込みすぎて会社が傾いたら意味ねえだろ。」というのがあります。つまりは、エンジニアサイドの考え方と、経営者サイドの考え方の落とし所を見つけることに価値があるわけです。そして、現実的なレベルで落とし所を最低限はできているねとサインできるのが、CISSPであります。AIがこれだけ進化を遂げて攻撃と防御に使用されている現実において、現時点での事業を続けるだけの最低ラインを満たしているかどうかというのはかなり重要なポイントです（必要十分とは言い切れないのが辛いところです。そんなところあるのか? という疑問はありますが）。
取得後の正直な話
さて、晴れてCISSPになったわけですが、正直に言います。
触れられる情報が増えました。セキュリティイベントに参加しても、出会える方々がすごい。
周囲の反応は概ね「何それ?」です。医者に資格の話をしたら「ふーん、大変でしたね」で終わりました。取引先に言っても「ああ、そうなんですか」です。エンジニアの方でも「CISA?」と聞き返されることがあります（違います）。知名度という意味では、日本では残念ながらそういう資格です。
ただ、AIが加速して浸透していく世の中になった以上、これまでのようにアンチウィルスソフトを入れておけば安全という時代は完全に終わりました。ゼロデイ攻撃の情報もほぼ毎日入ってきます。AIがAIを騙して、攻撃として成立するようにもなりました。日本もSCS評価制度が導入されますが、そんな背景もある中では導入されるのも自然の成り行きと言えます。なお、SCS評価制度では、CISSPはセキュリティ専門家になるための保有資格の候補として案内されています（情報処理安全確保支援士・公認情報セキュリティ監査人・CISSP・CISA・CISM・ISO27001主任審査員のいずれか）。ただし資格の保有だけでは足りず、所定の研修の受講と事務局への登録が必要で、正式な要件は2026年9月時点で未公開です。
余談ですが、合格した後も「本当に受かっていいのか」という感覚が消えません。自分の知識の穴を一番知っているのが自分自身だからです。ただ最近は、それは健全な状態なんじゃないかと思うようにしています。「全部わかった」と思った瞬間が一番危ない、というのはセキュリティに限らない話でしょう。
今後考えていること
どこの国もそうですが、中小企業というのは星の数ほどあり、それらがあって大企業が成り立っているという側面があります。しかし、中小企業というのはどうしても売り上げに直結しないセキュリティ分野への投資が及び腰になるのが現実です。そこを狙われて大企業のサプライチェーンが破壊されているわけです。
だからこそ、「ルーター? 20年前から変えてないよ?」というような企業様のお手伝いができればと考えております。昨今一部でドタバタしているSCS（サプライチェーン強化に向けたセキュリティ対策評価制度）の★3対応についても、準備段階のご相談をお受けできます（制度の運用開始は2027年3月頃の予定で、専門家による確認・署名はそれ以降になります）。
SCSの星の数でこれまでのビジネスが続けられなくなる、というような企業様を少しでもお手伝いできれば嬉しいです。
ご連絡はこちらから→sazabee.com（CISSP・セキュリティ顧問のご案内）