セキュリティエンジニアという仕事自社サービスの弱点を探す診断担当
自社サービスの弱点を探す診断担当
自社のサービスやシステムに対して、攻撃者と同じ目線で脆弱性(システムの欠陥や設定ミスなど、攻撃に悪用されうる弱点)を探します。脆弱性診断(弱点がないかを幅広く調べる検査)に加え、ペネトレーションテスト(攻撃者になりきって、実際に侵入できるかを試すテスト)を行う場合もあります。自社内に専任チームを持つ企業は大企業を中心に限られており、求人数は多くありません。
診断や開発の実務経験を前提にした求人が多く、まずセキュリティ専門会社(セキュリティ対策を専門に提供する会社)で経験を積む人が多い
月の残業は目安15〜25時間程度(求人情報などに基づく参考値)。新機能のリリース前は診断依頼が集中して上振れしやすい
情報が少なく参考程度。大手金融グループなどでは800万円〜1500万円の掲載例もあり、企業により大きく上下する
- 業務内容
- 新機能やサービスのリリース前に、自社のWebサイトやアプリの脆弱性診断を行う(例: 入力欄に不正な文字列を送って、情報が盗めてしまわないかを確かめる)
- 見つけた弱点の危険度を評価し、開発チームへ報告して、修正後に直っているかを再確認する
- 外部の診断会社に診断を依頼する際の発注管理と、納品された結果のレビュー
- 診断の手順書づくりや、診断ツールの導入によって診断作業の内製化(自社で行えるようにすること)を進める
- 具体的な業務イメージ
午前は、診断を依頼された機能の仕様を確認し、どこが狙われそうかを整理します。午後は、診断ツールを実行して結果を確認したうえで、ツールでは見つけにくい部分(ログインの仕組み、購入の流れなど)を手動で試します。診断の合間には、開発チームに結果を説明して修正方針を相談します。
診断の件数や期間は、システムの規模や会社の体制によって大きく変わります(1回の診断が数日で終わる場合もあれば、数週間かかる場合もあります)。自社に専任チームがある会社は多くないため、診断以外にも、開発者へのセキュリティ相談の窓口を兼ねることがあります。
成果物とツールの対応では、診断報告書の作成にWord、診断結果の一覧管理にExcel、通信の中身を確認して試すためにBurp Suite(通信を中継して内容を見たり書き換えたりする診断用ツール)などの扱いが求められます。
- この仕事のやりがい
- 攻撃される前に自社の弱点を見つけ、実際の被害を防げる手応え
- 同じ会社の開発者と一緒に、診断から修正までを見届けられる
- 自社サービスを深く知ったうえで、攻撃者視点の技術を磨ける
- 向いている人
- 「ここを突いたらどうなるか」と仕組みの穴を考えるのが好きな人
- 見つけた弱点を、開発者が直しやすい形で分かりやすく伝えられる人
- 新しい攻撃手法や技術を自分で調べて学び続けられる人
- 向いていない人
- 指摘して終わりにしたい、開発チームとの調整が負担な人
- さまざまな会社のシステムを幅広く経験したい人
- 地道な再現確認や報告書づくりが苦手な人
- つまずきやすいポイント
- リリース直前に重大な弱点が見つかり、開発チームとスケジュールの板挟みになりやすい
- 診断の専任チームが小さく、社内に相談できる先輩が少ない
- 自社サービスだけを診断するため、経験の幅が広がりにくい面がある
- 必要スキル
- Webアプリ・ネットワークの脆弱性の知識 診断ツールの操作と手動検証力 開発者への説明・調整力 報告書の作成力 プログラミングの基礎
- その後のキャリアパス例
- 社内のセキュリティリーダー・プロダクトセキュリティ(自社サービスの安全性を開発段階から高める仕事)の責任者へ
- セキュリティ専門会社(セキュリティ対策を専門に提供する会社)のペネトレーションテスター(攻撃者になりきって、実際に侵入できるかを試す担当)や、より高度な攻撃検証の専門職へ
🎮 この職種を疑似体験
リリース2日前の診断で、自社の決済機能に、悪用されれば他人のカード情報が見えてしまう重大な弱点が見つかりました。あなたの次の一手は？
◎ それが実務でも評価される対応です
影響の大きさと再現方法を整理して早く伝え、判断材料として選択肢まで示せると、開発側も動きやすくなります。見つけた弱点を、開発者が直しやすい形で分かりやすく伝える力が、この仕事で向いている人の条件です。
実務ではこう対応することが多いです
重大な弱点を残したまま公開すると、悪用された場合の被害が大きくなります。リリース後に伝えるのではなく、判断できる時点で早く共有するのが基本です。
実務ではこう対応することが多いです
指摘のメールだけだと、重大さが伝わらず後回しにされることがあります。口頭での説明や修正後の再確認まで関わるのが、社内の診断担当に期待される役割です。
実務ではこう対応することが多いです
本番環境で実データを触る行為は、情報漏えいそのものを起こしかねません。診断は事前に決めた範囲と方法で行い、危険性は再現手順や画面の証拠で示すのが一般的です。
この職種で転職を考えたら
相性の良い転職エージェントは人によって違います。求人の量や、担当者との相性を見るためにも、2〜3社まとめて登録しておくのがおすすめです。
セキュリティエンジニアの求人・選考ノウハウに強いタイプ
求人を見る(準備中)
自分のペースで求人を探したい人向け
求人を見る(準備中)※上記リンクの一部はアフィリエイトプログラムを経由しています。他の求人リンクは準備中で、提携が完了し次第順次差し替えます。
掲載の年収は各パターンの求人情報から算出した中央値の参考レンジです。経験・スキル・企業規模により変動します。