この記事はFUJITSU Advent Calendar 24日目の記事です。
FUJITSU Advent Calendar 2022に3報目の投稿となります。今回は前2回とは全く毛色の異なる内容で1報です。
筆者は昨年6月に情報処理安全確保支援士試験に合格し、その年の10月に支援士登録を実施しました。その経緯については以下の過去記事に記載しています。
参考
- 安全確保支援士試験そのものについての過去記事
情報処理安全確保支援士はその存在の根拠となっている法律「情報処理の促進に関する法律」で定期的に講習を受講することが義務付けられています。
（受講義務）
第二十六条 情報処理安全確保支援士は、経済産業省令で定めるところにより、機構の行うサイバーセキュリティに関する講習（第二十八条において「機構の講習」という。）又はこれと同等以上の効果を有すると認められる講習として経済産業省令で定めるもの（同条において「特定講習」という。）を受けなければならない。
義務付けられている講習は、毎年受講が義務付けられている「オンライン講習」と3年に1度の受講が義務付けられている「実践講習」または「特定講習」です。以下に公式サイトの図を引用します。
- 参考
オンライン講習は毎年受講料2万円、実践講習と特定講習は何と8.8万円1！！です。3年目の更新までに必要となる維持費は、オンライン講習2万円×3 + 実践講習/特定講習8.8万円 = 14.8万円！！超ハイスペックなPCが1台購入できるぐらいの費用が掛かります。よって勤務先の支援2で登録しているという方が多いのではないかと思います。加えて支援士登録による独占業務などは現状無いため、試験に合格しても登録を見送ったり、支援士登録をしたものの、支援士登録を辞めるという人も居ます。筆者も支援士登録を見送った、辞めてしまったという人の記事を読んだことがあります。その多くの記事は支援士制度に否定的な内容(例：メリット無し等)でした。世の中には維持費が高額な国家資格は有りますが、それらの多くは独占業務が存在する資格です。なので否定的な意見が出るのも無理はないのかもしれません。。。 
ここから本題
さて、維持費が高いということは一先ず横に置いておいて、安全支援士として登録しておくのがそれ程までにメリットの無いことなのか次の更新の時までに資格を維持するか判断するためにも昨年から追加された「特定講習」を受講してみました。受講してみてどうであったか？今後も資格を維持する価値は有るか？などあくまで筆者個人の見解としてまとめたいと思います。
本記事はこれから登録をしようかどうか迷っている方の参考になれば幸いです。
受講した特定講習
特定講習は以下のURLのPDFに記載されている通り、多数の講習が有ります。この中から1つ選んで受講します。
筆者は国立開発研究法人情報通信機構（NICT）が実施している実戦サイバー演習 RPCI(リプシー)を受講しました。
RPCIとは？
RPCIとは、「Response Practice for Cyber Insidents」を意味する演習です。国立開発研究法人情報通信機構（NICT）が提供している実践的サイバー防御演習CYDERの大規模な実機演習環境のノウハウを活かし、情報処理安全確保支援士（登録セキスペ）特定講習向けカリキュラムとシナリオを構築しました。本番に近いリアルな環境でのインシデント対応を行う演習になります。情報処理安全確保支援士の重要な役割のひとつである「脅威への対応と対策」に関して実践で学べます。
受講者のみなさんは、仮想組織のネットワークをシミュレートした演習環境上で擬似的に発生させたサイバー攻撃に、最大4人一組のCSIRTとしてチームで対処します。実際に起こり得る攻撃シナリオで、実機を用いてインシデントハンドリングのプロシージャーを1から10まで学ぶことが可能です。
講習の概要
- 受講料: 88,000円(税込)
- 開催場所: 東京都千代田区大手町
- 講習形態: 集合形式
- 受講日数: 1日
- 受講時間: 8.6 時間
- 修了評価
- 確認テストを受けること
- 確認テストの時間を除いた演習時間のうち9割以上出席すること
北陸先端科学技術大学院大学(JAISIT)が保有する仮想ネットワークをシミュレートできる演習環境上で擬似的にサイバー攻撃を発生させ、参加者はCSIRTのメンバーとしてグループで原因の特定や今後の対処方法の検討などを検討していくという非常に実践的な内容です。また、事前にe-Learningの課題も有り、必要な予備知識などが学べる様になっています。余談ですが、e-LearningにはMoodleが使用されており、大学時代を思い出しました。。。 
1で挙げられている様にハンズオンがメインであるため、退屈な座学を1日聞いておしまい頭には何も残らなかったということは有りません。演習プログラムではいくつかの課題をチームでこなします。時間制限が設けられているため、結構ハードな内容となります。
2で挙げられていますが、チームで課題に取り組みます。筆者が参加したグループは3人チームでしたが、学生さん？と年配の方がチームメンバーでした。課題をチームで解き、時には議論をして進めるのですが、これが予想以上に大変でした。議論でなかなか意見が出ない、思うように情報共有が出来ないなど1人で問題文を読んで進めるのとは違った難しさが有る演習でした。
3は正にその通りで、筆者は日頃の業務では残念ながらインシデントハンドリング等は携わっておらず、今回初めて体験しました。1つ1つ可能性を潰しながら原因を特定したり、他の組織からもたらされる情報を分析したりとインシデントハンドリングの難しさを体験出来る素晴らしい内容でした。
4で挙げられているチューターの方は知識が豊富で、作業が止まっているとそれとなくアドバイスをして下さったり、休憩時間に質問に答えて下さったりと様々なサポートをして頂きました。(雑談ではNW試験の話題で盛り上がりました。)
実際に受講してみて
実際に講習を受講してみて学んだこと、率直な感想を記載したいと思います。ネタバレは禁止されているため、あまり当日の詳細は書けませんので悪しからず。加えて内容はあくまで筆者個人の見解です。
- サイバーインシデントハンドリングの手順を体験することが出来ました。
- Nmap、Hidra、Wiresharkなどを使って根本原因を探っていく分析する方法を学べました。講習で使用したツールを今後の自己研鑽でも利用して講習では時間の制約で理解しれきれなかった部分を再度復習したいなと思います。
- SC、RISSだけでなく、NWの試験対策にもなる内容でした。NWのセキュリティの問題は時にSCの問題よりも難易度が高い場合が有ります。その意味で今回学んだことが活かせそうです。
- サイバー攻撃が発生した場合の影響範囲は想像以上であり、安全支援士として日頃からセキュリティに気を配りたいと改めて思いました。
- 受講料は8.8万円ですが、事前のe-Learning課題や当日の演習内容等を考えると相応な価格設定なのかなとは思いました。同様の内容を扱っていて更に高額な講習も有ることを考えると割とお得な講習なのではと思います。
- チームでのグループワークや課題の時間配分等は難しく感じる場面も多々有りました。最終課題は時間が足りず、満足な内容とは程遠い内容での提出となりました。加えて確認テストは暗記力勝負な感じであり、折角手を動かしたり、体験することに重きを置いている講習の最終テストとしては少々残念な内容でした。
まとめ
情報処理安全確保支援士資格を維持する上で最大の関門？？とも言える特定講習を受講したので記事にまとめてみました。過去に実践講習(IPA実施)について感想を投稿している方が居ましたが、その記事を読んで登録維持が少々不安になりましたが、RPCIは(日頃インシデントハンドリング等を業務でやっていない)筆者にとっては学ぶことの多い講習だったと思います。受講料をどうするか？自腹を切るか、勤務先の支援を受けられる様に相談してみるかという点は多くの方にとって悩ましい点だとは思いますが、筆者は(もし勤務先から支援を受けられる等受講料が何とかなるのであれば)特定講習として選択するのに非常に良い講習だと思います。
余談になりますが、この記事の内容を考えている時にこんな情報を目にしました。
情報処理安全確保支援士試験が午前Ⅰ、午前Ⅱ、午後Ⅰ、午後Ⅱの4つの試験区分から構成されていたのが、午後試験は午後(150分)に統合される様です。そして、この変更についてIPA曰く、
SC受験者が従事するセキュリティ関連業務の多様性の高まり、境界の曖昧化の傾向等を踏まえ、今回、午後Ⅰ試験と午後Ⅱ試験を統合して問題選択の幅と時間配分の自由度を拡大しました。また、午後Ⅰ試験と午後Ⅱ試験の統合によって、試験時間が短くなりSCの受験しやすさが高まりました。試験時間を短縮することによって受験のしやすさを高め、サイバーセキュリティの確保を担う情報処理安全確保支援士の育成・確保を一層推進していきます。
安全支援士の登録者の伸び悩み(寧ろ減少している)ことへの対応と考えている様ですが、試験時間を短縮したら解決するという単純な問題ではないように筆者は思います。これは繰り返しとなりますが、現状この資格の独占業務は無く、加えて登録料、維持費は高額です。勤務先による支援を前提とした制度設計の様に見受けられます。維持費の減額か独占業務の設置は登録者からすると検討してもらいたいですね。。。
次の更新では
2年後(2024年)に更新を迎えます。今の所、支援士資格を更新しようと考えています。維持費は高額ですが、技術者として必要なセキュリティの知識を維持していく良い動機付けにもなるため、当面登録維持で行こうと思います。
Reference