ホーム › 記事 › セキュリティ資格は必須じゃなかった。それでも勉強している理由
セキュリティ資格は必須じゃなかった。それでも勉強している理由
求人を10件読んで、必須資格はゼロでした。自分がセキュリティに入ったときも、資格は持っていません。
それでもいま、情報処理安全確保支援士とCISAを勉強しています。個人的な向上心ではなく、勤務先の要件があるからです。
この記事の要点
- 求人10件のうち、必須資格があったのは0件
- 自分も資格なしでセキュリティに入った（社内異動）
- 勉強しているのは勤務先の要件。入り口で不要でも中では要る
- 支援士は出題の領域がGRCの実務とずれている。重なるのはインシデント対応くらい
- 実務で先に要るのは、監査人と会話が成立すること
求人では、必須ではなかった
LinkedInで10件読んだとき、必須の資格はゼロでした。
資格の記載自体はあります。CISSP、CISA、情報処理安全確保支援士、GIAC。ただしすべて「歓迎」「尚可」「preferred」でした。詳しくは求人10件を読んだ記録に書いています。
自分自身も、セキュリティのポジションに入ったとき資格は持っていませんでした。社内で手を挙げただけです（その記録）。
入り口では要らなかったということです。
それでも勉強しているのは、勤務先の要件だから
いま支援士とCISAを勉強しています。
続けているのは、勤務先に資格の要件があるからです。個人的な向上心の話ではありません。
読んだ10件では要らなかったものが、入った先では要る
この2つは矛盾しません。
- 読んだ求人10件 — 資格は足切りに使われていなかった（0件）
- 入った先 — 要件として求められた
つまり資格は「入るため」ではなく「入ったあと」に求められた、という順番です。少なくとも自分の場合はそうでした。
「資格を取ってから転職しよう」と考えている人には、順番が逆かもしれないという話になります。
支援士は、GRCの実務と噛み合うか
正直に書きます。自分の持ち場では、あまり噛み合っていません。
勉強していて感じるのは、アプリケーションセキュリティやインフラセキュリティの比重が大きいということです。自分の仕事はコンプライアンス寄りのGRCなので、重なる範囲が狭くなります。
重なるのは、インシデント対応くらい
実務と直接つながっていると感じるのは、インシデントハンドリングのあたりです。
そこ以外は、知識として持っていて損はない、という距離感にとどまっています。日々の業務で引き出す場面が来ません。
出てこないもの：稼働率の計算
午前問題には、稼働率を計算させるような設問があります。
この種の問題が、いまの仕事で出てきたことはありません。
GRCの仕事に直結するかというと、しません。
CISAのほうが、実務には近い
2つを並べると、CISAのほうが距離が近いと感じています。
監査という枠組みそのものを扱うので、いまやっている仕事と重なる部分が多くなります。支援士は技術寄り、CISAは監査寄り、という分かれ方です。
これは自分の持ち場がコンプライアンス寄りだからで、技術寄りのセキュリティ職なら逆になるのだと思います。
資格より先に要るもの
「GRCに移りたい」というエンジニアに、資格を先に勧めるかというと、勧めません。
先にやることがあると思っています。
監査人と駆け引きできるようになること。
駆け引きといっても、交渉術の話ではありません。外部の人に説明して、会話が成立する状態を作れるかという意味です。
これは記事にした「一番大変だったこと」と同じ
以前、GRCに入って一番大変だったのは非エンジニアへの説明だと書きました（その記録）。
監査人、経理、法務、外部の会計士。システムの中身を知らない相手に、仕組みがどう守られているかを説明します。
そこが一番大変でした。そして、そこを先に埋めるのに資格勉強が近道だったとは感じていません。
- 仕組みがあることと、第三者が確認できることは違う
- 「そういう作りなので大丈夫」では終わらない
- 記録で示せるかが問われる
少なくとも自分は、この切り替えを問題集で身につけた実感がありません。
この話の範囲
- 一人の、一つの持ち場からの話です。コンプライアンス寄りのGRCという前提があります
- 技術寄りのセキュリティ職なら、支援士の評価は変わると思います
- 求人のデータは10件しかありません。第1回の記録です
- 勤務先の要件は会社ごとに違います。自分の会社がそうだったという以上のことは言えません
まとめ
- 求人10件のうち、必須資格は0件。自分も資格なしでセキュリティに入った
- それでも勉強しているのは勤務先の要件だから。読んだ10件では要らなかったものが、入った先では要る
- 支援士は出題が技術寄りで、GRCの実務と重なるのはインシデント対応くらい
- CISAのほうが実務に近い。ただし自分の持ち場がコンプライアンス寄りだから
- 資格より先に要るのは、監査人と会話が成立すること
資格を否定したいわけではありません。順番の話です。入るために取るものというより、入ってから要求されるものでした。