どうも、僕です。前回の投稿から一年近く経っていて、「光陰矢の如し」とはうまく言ったものだなあと痛感しております。この一年でCISSPという資格を取りました。「何それ? 美味しいの?」という方々も多いかと思いますが、ISC2 Japanの説明を参照いただけると助かります。
どうやって勉強するの? といった内容のサイトはたくさんあるのでここでは割愛させていただき、どう認識が変わったかについて書かせていただければと思います。
CISSP取得の理由
CISSP取得前まで、組み込みのファームウェア開発や回路基板設計・作成、3D-CADでの筐体設計もやれば、Python（Django・Flask・FastAPI・ROS2）を使ったウェブアプリケーションやロボットの開発、AWSでの環境構築なんかもやっていました。VPN環境の構築や運営もやっていました。というか、それら以外やれることがなかったというのがほんとのところです。一人法人で売り上げを上げるための手段としてやっていたわけです。
それはそれで良かったのですが、無理が祟ったこともあり、少し戦略を変えなければならなくなりました。これまでの経験から、一本だけの技術をやるより、さまざまな要素を組み合わせて全体を構築・設計していくことが自分には向いていると感じていました。IoTとかもそうでしたし。そこで、技術的な面と若干法律的な要素が組み合わさったCISSPを取ってみるかとなりました。
絶賛円安の中、10万円超えの再チャレンジ特典付き受験料は心とお財布に痛い部分はありましたが…。ただ、試験中逃げ出したくなった時に心の支えになったのは「10万円以上払っちまったしなあ…」というどうしようもない現実だったのは事実ですw
奇跡的にもなんとか受かって、今までの経験が請求書という形で残っていたので5年以上のエンドースメントもパス。晴れてCISSPとして認定されました。なお、AWS SCSを持っていたので実は4年の経験で良かったのですが。
視点の変化
エンジニアとして仕事をしていると、最先端のサービスを見かけて「スゲエ!」となると即導入したくなる方も多いかと思います。このサービス導入したら今やってる面倒なセキュリティ設定、全部丸投げできるじゃん。CrowdStrikeとかZscaler、さっさと導入しろよと言いたくなるかと思います。僕もそうでしたw
一方で、法人をなんとか経営してきた身としては、「金かかるなあ…これ」というのが本音です。帳簿でどんどん減っていくキャッシュをHPだと認識していると、「俺に更なるダメージを負わせようとしているのか、こいつらは…」とも言いたくなるわけです。特にセキュリティ分野では顕著です。経営者としては金にならねえだろ! と認識するのも無理のない話で、どうしても及び腰になります。そこを突かれて、恐ろしい額の被害を受けている企業が増えているというのが現実でもありますが。
CISSPの考え方として「セキュリティに金突っ込みすぎて会社が傾いたら意味ねえだろ。」というのがあります。つまりは、エンジニアサイドの考え方と、経営者サイドの考え方の落とし所を見つけることに価値があるわけです。そして、現実的なレベルで落とし所を最低限はできているねとサインできるのが、CISSPであります。AIがこれだけ進化を遂げて攻撃と防御に使用されている現実において、現時点での事業を続けるだけの最低ラインを満たしているかどうかというのはかなり重要なポイントです（必要十分とは言い切れないのが辛いところです。そんなところあるのか? という疑問はありますが）。
取得後の正直な話
さて、晴れてCISSPになったわけですが、正直に言います。何も変わりませんでしたw
周囲の反応は概ね「何それ?」です。医者に資格の話をしたら「ふーん、大変でしたね」で終わりました。取引先に言っても「ああ、そうなんですか」です。エンジニアの方でも「CISA?」と聞き返されることがあります（違います）。知名度という意味では、日本では残念ながらそういう資格です。
売上もすぐには変わりませんでした。資格を取れば問い合わせが殺到する、なんてことはなく、淡々と日常が続きます。受験料10万円超の回収はまだ道半ばです。これは本当のことなので書いておきます。
ただ、一つだけ変わったことがあります。自分の頭の中が整理されました。
「なぜこのセキュリティ対策をするのか」「どこまでやれば十分か」「それは誰が決めることなのか」——エンジニアとして経験則で判断してきたことが、ようやく腹落ちした感覚がありました。経験があっても言葉がなければ他人に説明できません。CISSPはその言語を手に入れる過程だったとも言えます。
余談ですが、合格した後も「本当に受かっていいのか」という感覚が消えません。自分の知識の穴を一番知っているのが自分自身だからです。ただ最近は、それは健全な状態なんじゃないかと思うようにしています。「全部わかった」と思った瞬間が一番危ない、というのはセキュリティに限らない話でしょう。
今後考えていること
どこの国もそうですが、中小企業というのは星の数ほどあり、それらがあって大企業が成り立っているという側面があります。しかし、中小企業というのはどうしても売り上げに直結しないセキュリティ分野への投資が及び腰になるのが現実です。そこを狙われて大企業のサプライチェーンが破壊されているわけです。
だからこそ、「ルーター? 20年前から変えてないよ?」というような企業様のお手伝いができればと考えております。昨今一部でドタバタしているSCS（サプライチェーン強化に向けたセキュリティ対策評価制度）の★3対応も、相談を受けることが可能になりました。SCSの星の数でこれまでのビジネスが続けられなくなる、というような企業様を少しでもお手伝いできれば嬉しいです。
ご連絡はこちらから→sazabee.com