【ITニュース解説】My Plan for Moving From Full Stack Dev Into Cybersecurity

システムエンジニアを目指す皆さんにとって、将来のキャリアパスは多様で、刺激的な選択肢がたくさんある。その中でも、特に注目を集めているのが「サイバーセキュリティ」分野だ。多くの開発者がスピード感のある日々の開発業務から一歩踏み出し、より専門的で安定したキャリアをサイバーセキュリティに見出そうとしている。この記事では、あるフルスタック開発者がどのようにしてサイバーセキュリティの道へ進もうとしているのか、その具体的な計画と、そこから得られる学びを解説する。

まず、この開発者は現在の職場でセキュリティ関連の仕事を探すことから始めている。これは、新しい会社を探すよりもはるかに手軽で効率的な方法だ。多くの企業には、誰も担当したがらないセキュリティタスクが山積しており、既存のコードベースに詳しい開発者であれば、これらのタスクを引き受けることができる。具体的には、主に三つの種類の仕事が存在する。一つ目は「AppSecの修正」だ。これは、報告された脆弱性を修正したり、まだ見つかっていない脆弱性を自ら探し出して対処したりする仕事だ。二つ目は「コンプライアンス」に関する業務だ。SOC 2のようなセキュリティ監査プログラムでは、企業のセキュリティ対策が適切に行われているかを証明する必要があり、そのためにはエンジニアが具体的なセキュリティ統制を実装し、その証拠を集めなければならない。三つ目は「ペネトレーションテストの指摘対応」だ。外部のセキュリティ専門家が行う侵入テスト（ペネトレーションテスト）で発見された問題点について、その報告書に基づいて一つ一つ適切に解決していく作業が含まれる。これらの仕事は、今の会社にいながらにしてセキュリティの実務経験を積む絶好の機会となる。

数あるサイバーセキュリティの分野の中でも、この開発者は「アプリケーションセキュリティ（AppSec）」を最初の橋渡しと捉えている。サイバーセキュリティは非常に広範な分野であり、攻撃側（レッドチーム）、防御側（ブルーチーム）、その両方を兼ねる側（パープルチーム）といった専門的なキャリアパスが存在し、それぞれネットワークの深い知識やインシデント対応、攻撃・防御ツールの使い方など、開発者がまだ持っていないスキルを要求されることが多い。しかし、AppSecはフルスタック開発者がすでに持っている知識やスキルに最も近い分野だ。たとえば、認証の仕組みは開発者が実際に構築しているからこそ深く理解できる。入力値がいつ、どこで不適切な信頼を受けてしまうのかも、コードを読んでいれば推測しやすい。もし「/orders/:idに対するIDOR（Insecure Direct Object Reference）の脆弱性」という指摘があれば、開発者はすぐにその処理を担当するコードの箇所へたどり着くことができる。このように、長年の開発経験がAppSecの分野では大きな強みとなるのだ。開発者にとって、AppSecはサイバーセキュリティへの最も短い道のりの一つであると言えるだろう。

この分野へ足を踏み入れる上で、一つ心に留めておくべき重要なことがある。それは、セキュリティ関連の仕事には「膨大な量のドキュメンテーション（書類作成）」が伴うということだ。脆弱性を修正するだけが仕事ではない。その脆弱性を修正したこと、次に同様の脆弱性を見つけるためのプロセスを確立していること、そしてそのプロセスが毎回きちんと実行されていることを「証明」することの方が、実はより大きな仕事となる。具体的には、あらゆることに対して証拠が必要となる。たとえば、アクセス権限のレビュー記録、従業員のオンボーディング（入社時）およびオフボーディング（退社時）の記録、デバイスや暗号化のチェック記録、変更承認の記録などがそうだ。証拠がない統制は、存在しないものとみなされてしまう。また、監査では全体をまとめた要約ではなく、個別の具体的な証拠を求められる。監査人は対象の中からランダムに項目を選び、それ一つ一つに対して証拠の提示を求めるため、普段は見過ごしていたような小さな隙が発見されることもある。書面化されたセキュリティポリシーも、チームが実際にそれに従って運用していなければ意味がない。ポリシーと現実の運用との間にズレがあれば、それもまた指摘事項となる。そして、これらの作業には、他の部署の人々に記録や承認を求めたり、同じ質問に何度も答えたりといった、調整や待ち時間も多く発生する。これは時に精神的に疲弊する作業かもしれないが、セキュリティ監査はあなたが「証明できること」しか評価しないという現実を教えてくれる。この事実をあらかじめ知っておくことは、この分野で成功するための重要な心構えとなる。

実務経験を積むと同時に、資格取得にも力を入れる計画だ。この開発者はサイバーセキュリティの修士号取得を目指し、すでにWebペネトレーションテスターの認定資格（CWPT）も取得している。さらに、CompTIA Security+という基本的なセキュリティ資格の取得も視野に入れている。確かに、資格そのものよりも、実際に手がけた仕事で得られた経験の方が重要視される傾向にある。しかし、実務経験を積みながら並行して資格を取得することで、自身の専門知識を客観的に証明し、対外的な信頼性を高めることができる。

最終的に、このキャリアチェンジが他の企業への転職活動にどう影響するかという点について、この開発者は「大きな差を生むだろう」と期待している。単に資格を持っているだけの応募者と、実際に脆弱性の修正、コンプライアンス対応、ペネトレーションテストの指摘対応といった実務を経験してきた応募者とでは、面接で話せる具体例の質が全く異なるからだ。速いペースの開発業務による燃え尽き症候群は現実的な問題だが、セキュリティ分野への移行がプレッシャーを完全に無くすわけではない。しかし、仕事の内容は異なり、これまで積み重ねてきた開発経験を無駄にすることなく、新しい専門分野で活かすことができる。この計画がどのように進んでいくのか、失敗も含めて今後報告される予定だが、開発者のキャリアパスを考える上で非常に参考になるアプローチであると言える。システムエンジニアを目指す皆さんも、自身の開発スキルを活かせるセキュリティ分野に注目し、将来の選択肢の一つとして検討してみてはいかがだろうか。