＜サイバーセキュリティ戦記＞NTTグループのプロフェッショナルたちNTTのCSIRTで“定点観測”する男、その信条は「ギブ＆ギブ」

2022.06.15

ページタイトルとURLがコピーされました

NTT-CERTに入って、まず担当したのは脆弱性情報の配信業務だった。脆弱性情報を収集し、その影響度合いを判断したうえで、グループ各社へ配信する。セキュリティ上の問題点を指摘される側から、指摘する側になった。

「NTT-CERTの一員となって感じたのは、セキュリティ組織の人間は可哀そうすぎるということでした。自分もムカつくと思っていたわけですが、良いことをしているのに恨まれる。これは一体どういうことだと」

プロジェクトマネージャー時代、神谷はセキュリティを決して軽視していたわけではない。その重要性は当然しっかり理解していた。ただ、開発リソースが限られているなか、指摘された問題に対応するためには、作業工程やリソース配分などの見直しに頭を悩ませる必要があった。また、自分たちが作っていたシステムの欠陥を咎められたような気もした。思い返せば、その怒りの矛先がセキュリティ組織に向かっていた。

両方の立場を経験した神谷は、とにかく相手を咎めないこと、とにかく丁寧にセキュリティ上の問題を伝えることを心がけて業務に取り組んだという。

最初は嫌だったセキュリティ組織への異動。脆弱性情報の配信業務を2年ほど担当する間に、神谷はセキュリティの仕事にすっかりのめり込んでいた。

NTT-CERTは「恵まれている」神谷がいま一番のやりがいを感じている仕事の1つは、月3～4回程度行っているセキュリティ動向などに関するプレゼンテーションだ。自分の見解を存分に話せる機会だからである。

実は、OSINTのチームが毎日書き、データベース化しているドキュメントは、事実のみを記すことを原則としている。つまり、自らの意見や予想は書かない。

なぜなら、そうした「見解」は、デジタルの世界では、どうしても独り歩きしがちだからだ。予測や誤読による誤解が「事実」となって独り歩きし、かえって混乱を招く可能性がある。

「しかしプレゼンは、対話の場ですから、自分の見解をフルで話します。それで『神谷、その見解は間違っているよ』などとやりとりが始まると、もう痺れるくらい楽しいですね。お互いにコミュニケーションを取った結果の成長だからです」

NTTグループ内だけではなく、社外でプレゼンする機会も多い。日本シーサート協議会では、ワーキンググループの主査も務める。海外のセキュリティ団体とも交流している。神谷が、こうした社外活動に力を入れるのは、自身が非常に恵まれた環境にあることを知ったからでもあるという。

「NTT-CERTは恵まれています。日本企業は優れた企業ばかりですが、十分なリソースが得られているセキュリティ担当者は多くありません。対して、NTT-CERTは十分なリソースが与えられています。ですから、恵まれている私たちは、“ギブ・アンド・ギブ”でなければならないと考えています。私のノウハウや知識で、日本のセキュリティレベルの底上げに貢献するんだ、という気持ちで社外活動に取り組んでいるのです。“ギブ・アンド・テイク”なんて、つまらないことは言いません」

セキュリティ業界で名を上げることが目的でもない。神谷がNTT-CERTに入ったとき、当時のリーダーからは、こう言われたという。

「名前が売れているうちは、まだまだセキュリティエンジニアとして一流ではない。君の能力が高まり、インシデントを未然に防げば防ぐほど、評価されなくなるのがセキュリティの仕事だ。なぜならインシデントが起きなくなるからね――と。当時はずいぶん浮世離れした仕事なんだな、と思いましたよね（笑）」

セキュリティの世界には、非常に大きな成果をあげながら、それに見合う評価を得られていない人が大勢いる。セキュリティの世界だけではない。オープンソースソフトウェア（OSS）の世界もそうだ。「ほとんどの人は、OSS開発者には何も報いず、利用するだけ。にもかかわらず、脆弱性が発見されると『すぐ対処しろ』と文句を言うわけです」

こうした人々がきちんと評価され、十分なリソースを確保できるよう、ギブ・アンド・ギブの活動を続けていくのが、恵まれた環境にいる自分の責務だと考えているという。