万が一マルウェアに感染したときは　その3

セキュリティの根本はインシデントに備えた体制作りから

2012年09月10日 09時00分更新

文● 富安洋介／エフセキュア

専門家の育成がこれからの課題

　それでは情報セキュリティインシデント責任者はどうやって選定すればよいのでしょうか。小さい企業であれば、会社の責任者自体が兼任せざるを得ないでしょうが、その場合は情報セキュリティについては詳しくないということも多いと思われます。

　情報セキュリティについて詳しい社員がいれば、その社員に技術的なところは補ってもらいつつ、最終的な判断を下すというやり方が考えられます。一方、情報セキュリティについて詳しい社員がいない場合は、外部のリソースを利用するのが合理的です。感染したマルウェアの挙動については、アンチウイルスベンダーに確認できる場合もありますし、セキュリティサービスを利用するというのも1つの手でしょう。

　日本の情報セキュリティ業界の実態としては、情報セキュリティの人材確保は大きな課題となっています。そのため、ある程度の規模の会社であっても、情報セキュリティインシデント責任者を任せられる人間がいないというケースも十分にあるかと思います。

　一時的には外部のリソースを利用するとしても、将来的には社内でまかなうことが望ましいため、人材育成やあるいは外部からの人材の確保を考える必要があります。ところが人材育成については、現在のところ標準的なキャリアパスと呼ばれるようなものがありません。情報セキュリティという概念自体が新しいもののため、仕方のないことではあるのですが、キャリアパスの未確立が人材確保を困難としていることの一因となっています。

IPAが情報セキュリティの一線で活躍する人々のキャリアパスを紹介する「情報セキュリティスペシャリストキャリアパス事例集」を公開している

　もっとも、キャリアパス確率については、IPA（情報処理推進機構）が面白い取り組みをしています。情報セキュリティの一線で活躍されている方々が、これまでどんなキャリアパスを歩んできたのかを、「情報セキュリティスペシャリストキャリアパス事例集（PDF）」としてまとめているのです。どういった教育や実務経験が、情報セキュリティへの対応に役立つかということの参考になるかと思います。

　これを見ると、実にさまざまな経歴の方がいることがわかります。情報セキュリティに興味があれば、こうした情報を参考に、専門家への道を歩み始めるのも1つの手です。