はじめに
最近、転職活動の面接でマネージャー層の方々と話す中で、衝撃的な言葉を耳にしました。
「うちにはペネトレーションテスター（診断員）としての仕事はないよ」
「開発とセキュリティは別物だから」
しかし、本当にそうでしょうか？
AIが普及し、誰でも容易にソフトウェアの弱点を見つけ出せるようになった現代において、この考え方は非常に危険だと感じています。本記事では、開発者が「攻めの視点（ペネトレーションテスターの意識）」を持って設計・開発することの重要性について整理します。
1. AIの流行がもたらす「攻撃の民主化」
今やAIは開発の強力なサポーターですが、それは攻撃者にとっても同じです。
- 脆弱性発見の高速化: AIを活用することで、ソースコード内の論理的欠陥や設定不備を自動で、かつ容易に発見できるようになりました。
- 安定の時代は終わった: これまでの「リリースしてから修正する」という考え方では、AI時代の攻撃スピードには到底追いつけません。
2. なぜ「Design・Develop by Safe」なのか？
提唱したいのは、設計（Design）と実装（Develop）の全工程において、最初から安全を組み込むという考え方です。
| 項目 | 従来の開発 | これからの開発 (Design by Safe) |
|---|---|---|
| セキュリティのタイミング | 開発の最後（テスト工程） | 要件定義・設計段階から |
| 開発者の意識 | 動くものを作る | 堅牢なものを作る |
| コスト | 後からの修正で高コスト化 | 手戻りが少なく低コスト |
| AIとの関わり | コード生成にのみ使う | AIの悪用を想定して防御する |
3. 「ペネトレーションテスターの視点」を持つ開発者の価値
面接で「仕事がない」と言われたのは、おそらく 「開発」と「セキュリティ」を分断して考えている古い組織構造 が原因です。しかし、現代で本当に求められているのはDevSecOpsを体現できる人材です。
「脆弱性を見つける専門家」が必要ないのではなく、「脆弱性の作り方を知っているからこそ、絶対にそれを作らない開発者」 が必要なのです。
- 攻撃者の手法を理解している。
- だからこそ、認証周りやネットワーク設計で「どこが狙われるか」が直感的にわかる。
- この視点があるだけで、リリース後のインシデントリスクは劇的に下がります。
4. 変化する時代を生き抜くために
「一般的な開発」の仕事の一部は、将来的にAIに置き換わるかもしれません。しかし、「システムの安全性を担保し、リスクを管理する判断」 は、人間にしかできません。
セキュリティの知識を深め、Webアプリケーション開発とペネトレーションテストの専門性を掛け合わせることは、これからの不安定な時代において、最も「安定」に近い武器になると確信しています。
まとめ
「セキュリティの仕事がない」と言われたら、こう答えたいと思います。
「セキュリティは独立した仕事ではなく、質の高い開発そのものに含まれるべき要素です」 と。
Design & Develop by Safe。
この概念を当たり前に持てるエンジニアが増えることで、より安全なデジタル社会が作れるのではないでしょうか。