22歳高卒セキュリティ業務未経験エンジニアが一発で情報処理安全確保支援士に合格した話

はじめに

今回、令和5年度秋期の情報処理安全確保支援士を合格しました。
お恥ずかしながら点数は非常にギリギリでした。

でも合格は合格なので許してほしい！！

自身のスペック

• 年齢：22歳
• 学歴：高卒
• 職種：モバイルアプリ開発エンジニア(に転職したばかり)
• 保持資格：基本情報技術者試験及び応用情報技術者試験
• セキュリティ業務経験：一切無し

試験の感想(午前II)

易しめ。
しっかり学習しておけば受かるが、暗記メインだと難しそうな印象があった。

試験の感想(午後)

問3 / 問4を選択。

問3は化け物すぎた。
コンテナなんてDockerで少し触ったくらいですよ...。

問4は鬼畜の所業。
とはいえ、マルウェア + キーロガーの組合せを思いついたのは大きかった。
問3が悲惨だったのでここに全てがかかっていた。

勉強時間

大体、1カ月半程度です。
平日は仕事終わりで2-4時間程度
休日はバラツキますが、4-10時間程度勉強しています。

4-10時間って集中力持たなくない？と思う方もいらっしゃるかもしれませんが、
朝1.5時間 / 昼1.0時間 / 夜2.0時間みたいに分割すると意外とちょろいっす。
なお、これは応用情報受かった前提での勉強時間です。

基本情報レベルから計算したら600-800時間とかは学習しています。
勉強方法の誤りのせいで応用情報でかなり沼にハマりました。

勉強方法

午前I

今回、午前Iは免除だった為一切勉強していません。
ただ、もし自分が午前Iを受ける立場なら恐らく、APの過去問道場を何周もしているでしょう

午前II

SCの過去問道場を永遠と学習していました。
範囲は、H25春~R4秋位で、受験時での段位は、3段でした。

とにかく、午前IIは正答率を90%キープすることを目指していました。
どんな問題・類が来てもです。

午後

午後については2点ポイントがあります。

1. 何度も午後問題を練習してくこと
2. 暗記ではなく理解をすること

実は特にこの2が本当に重要です。

理解をするとは？

これ、意外とされてる方いません。
例えば、DNSにを例に挙げます。
DNSは名前解決要求を行う際に使われますが、皆さんこの程度で理解を止めてしまっていませんか？
具体的に、DNSサーバの中にはキャッシュサーバやコンテンツ(権威)サーバがあります。
リゾルバからキャッシュサーバに対して、名前解決要求が行われた際にキャッシュサーバが当該データを保持していればそれらを返すが、保持していない場合はコンテンツ(権威)サーバに問い合わせる。
その時に使われる情報の1つにトランザクションidが使われて...とここまで理解を深めておく必要があります。

理解することの重要性

理解することの重要性はまだまだ活きます。
情報処理安全確保支援士は、サイバーセキュリティを対象とした資格試験ですが実体はネットワークにもかなり入り込んでいます。
それ位、サイバーセキュリティとネットワークは密にあるんですね。
例えば、さっきのDNSの例を再度挙げましょう。
キャッシュサーバがコンテンツサーバにデータを引き渡す、といった時に私はこんな疑問が出てきました。
「ん？ならもしキャッシュサーバがデータを返す前に攻撃者が偽装してコンテンツサーバにデータ返せたらどうなるの？」と...。
それがまさかのサイバーセキュリティのDNSキャッシュポイズニング攻撃に繋がっていました。
つまり、ネットワークの基礎・仕組みを学ぶことで、必然的にサイバーセキュリティへ繋がるのです。
これに気が付くと仕組みの重要性が更に高まるのではないでしょうか。

勉強した分野

特に重点的に抑えた分野

• 認証・認可（SAML、OIDC、Oauth）
• 公開鍵暗号
• デジタル署名
• HTTP/HTTPS
• DNS
• プロキシ
• デジタル証明書

ある程度抑えた分野

• 共通鍵暗号
• メッセージ認証コード
• TLS
• FW

ちょっとだけ抑えた分野

• DKIM
• SPF
• オンプレ関係

最後に

やはり、情報処理安全確保支援士は難しいです。
ネットでは国語さえ出来れば等と囁かれていますが、私としては技術知識も一定程度の水準で必要だと思います。
特に今回の午後の問4は、攻撃の種類を知っているだけ、とかだと手も足も出ないでしょう。
問3も文章読み取るだけでは無理で知識力が必須でした。

もし、上記のような勉強方法が参考になれば幸いです。
ぜひ、頑張ってください。
私は、来年からTOEIC&Google Cloud資格を頑張ります！！！