セキュリティエンジニアという仕事依頼元の弱点を探すペネトレーションテスター
依頼元の弱点を探すペネトレーションテスター
依頼を受けた企業のシステムに対して、ペネトレーションテスト(攻撃者になりきって、実際に侵入できるかを試すテスト)や脆弱性診断(システムの欠陥や設定ミスなどの弱点がないかを調べる検査)を行い、結果を報告書にまとめます。さまざまな業界のシステムを短期間で診断するため、経験の幅が広がりやすい一方、案件ごとの納期の中で成果を出す力が求められます。
開発・インフラの経験者が多く、実務経験2年以上を求める求人も見られる。育成枠のある会社もある
月の残業は目安20〜35時間程度(求人情報などに基づく参考値。案件の納期前に報告書づくりが集中する分、上振れしやすい)
求人の中心的なレンジ。高度な攻撃検証ができる上位ポジションは900万円を超える例もある
- 業務内容
- 依頼元企業のWebサイトやスマートフォンアプリの脆弱性診断(例: ログイン画面や入力欄に細工したデータを送り、他人の情報が見えてしまわないかを調べる)
- ネットワークやサーバーに対するペネトレーションテスト(例: 外部から侵入できる穴がないか、侵入できた場合にどこまで内部へ入り込めるかを実際に試す)
- 診断結果を報告書にまとめ、弱点ごとの危険度と、直し方を依頼元に説明する
- 診断ツールの調整や、新しい攻撃手法の調査・検証(社内の技術共有)
- 具体的な業務イメージ
診断期間中は、午前に診断ツールの実行や結果の確認を行い、午後はツールで拾いきれない部分を手作業で試します。診断が終わると、結果を整理して報告書を作成し、依頼元に報告会で説明する流れになります。複数の案件を並行して担当することも多く、診断期間と報告書作成の時期がずれるため、納期の管理が重要です。
1つの案件にかかる期間は、システムの規模によって数日〜数週間と幅があります。担当する案件数は会社や役職によって異なります。
成果物とツールの対応では、診断にBurp Suite(通信を中継して内容を見たり書き換えたりする診断用ツール)などの扱い、報告書の作成にWord、診断結果の整理にExcel、報告会の資料づくりにPowerPointでの構成力が求められます。
- この仕事のやりがい
- さまざまな業界のシステムを診断でき、短期間で技術が伸びる
- 自分が見つけた弱点が修正され、依頼元の安全性が上がった実感
- OSCP(実技試験でペネトレーションテストの実力を証明する国際資格)など、技術力が資格や実績として形に残る
- 向いている人
- 仕組みを分解して、穴を探すことそのものが楽しいと感じる人
- 見つけたことを、技術に詳しくない担当者にも分かるように伝えられる人
- 技術の変化を、休日も含めて自分から追いかけられる人
- 向いていない人
- 報告書の作成など、文章にまとめる作業が苦手な人
- 納期に合わせて複数案件を並行することに強いストレスを感じる人
- 一つの自社サービスにじっくり関わり続けたい人
- つまずきやすいポイント
- 診断した後の修正は依頼元が行うため、改善まで見届けにくいことがある
- 契約で決められた診断範囲を超えてはならず、制約の中で成果を出す必要がある
- 技術の進歩が速く、学習を続けないと診断の質が落ちやすい
- 必要スキル
- Webアプリ・ネットワークの攻撃手法の知識 診断ツールの操作と手動検証力 報告書の作成力 依頼元への説明力 プログラミング・スクリプトの基礎
- その後のキャリアパス例
- 高度な攻撃検証(レッドチーム=攻撃者役として組織の防御力を試す専門チーム)や研究職へ
- セキュリティコンサルタント・診断チームのリーダーへ
- 事業会社(自社サービスを運営する会社)の社内診断担当や、プロダクトセキュリティ(自社サービスの安全性を開発段階から高める仕事)への転身も
🎮 この職種を疑似体験
診断の最中に、契約で決められた診断範囲の外にあるサーバーにも接続できてしまうことに気づきました。あなたの次の一手は？
実務ではこう対応することが多いです
診断は、契約で決められた範囲と許可の内側で行うのが大前提です。範囲外への接続は、依頼元の許可がなければ不正アクセスと見なされるおそれがあるため、成果のために踏み込むことはしません。
実務ではこう対応することが多いです
範囲外に接続できること自体が、依頼元にとって重要な情報であることが多いです。気づいた事実は黙らず、適切に共有することが信頼につながります。
実務ではこう対応することが多いです
理由を伝えずに終了すると、依頼元は何が起きたのか分からず、不信感につながります。診断を止める場合は、状況と理由を記録して連絡するのが通常の対応です。
◎ それが実務でも評価される対応です
範囲を守りながら、気づいた事実を記録して依頼元に伝えれば、範囲の見直しなどの相談もできます。決められた制約の中で成果を出しつつ、依頼元に分かりやすく伝える姿勢が、ベンダーのテスターに求められます。
この職種で転職を考えたら
相性の良い転職エージェントは人によって違います。求人の量や、担当者との相性を見るためにも、2〜3社まとめて登録しておくのがおすすめです。
セキュリティエンジニアの求人・選考ノウハウに強いタイプ
求人を見る(準備中)
自分のペースで求人を探したい人向け
求人を見る(準備中)※上記リンクの一部はアフィリエイトプログラムを経由しています。他の求人リンクは準備中で、提携が完了し次第順次差し替えます。
掲載の年収は各パターンの求人情報から算出した中央値の参考レンジです。経験・スキル・企業規模により変動します。