2023年5月29日から6月2日にかけて、弊社主催のオンラインセミナー「Cybereason Security Leaders Conference 2023春 トップランナーと考えるこれからのサイバーセキュリティ」が開催されました。本稿では、4日目に開催された立命館大学 情報理工学部 教授 上原哲太郎氏によるセッション「セキュリティ人材育成の動向」の内容をご紹介します。

本当に足りないのは一体どんな人材なのか？

「セキュリティ人材が足りない」と言われるようになって既に久しいですが、実際どのような人材がどの程度足りていないのか、その実態についてはあまりよく知られていません。IPAが2012年に公表した「情報セキュリティ人材育成に関する基礎調査」の中で「セキュリティ人材が24万人不足する」と指摘したことから、以降はこの「24万人」という数字が半ば定説のように扱われてきた経緯があります。

しかし2022年に(ISC)2が行った調査によると、確かにセキュリティ人材の需要は増え続けてはいるものの、米国のセキュリティ人材の数が120万人に対して日本は38.8万人と、人口比で見ればほぼ同等の数を確保できていることが分かります。そのため、ただやみくもに人材不足を叫ぶだけでなく、「どのような人材がどれだけ足りていないのか」「そのような人材を育成するためにはどのような施策が必要か」ということをきちんと考え、実践的な施策を講じることが重要です。

そのような発想に立ってあらためて人材不足の実態をとらえ直してみると、不足しているのは極めて高度なスキルや知見を持ついわば「トップガン人材」ではなく、むしろその下でシステムのセキュリティ対策を日々運用している技術者や、セキュリティを考慮したシステム設計・開発を行う開発者の数が不足していることが分かります。こうした層に対する育成施策を手厚くすることで、セキュリティ人材不足の課題を効率的に解決できると考えられます。

事実、既に産官学のさまざまな分野で育成施策が講じられており、例えば経済産業省の近畿経済産業局では関西地域のサイバーセキュリティ関連組織と連携して「関西サイバーセキュリティ・ネットワーク」と呼ばれる取り組みを立ち上げており、セキュリティ人材を育成するためのさまざまな勉強会やセミナーなどを開催しています。IPAでもさまざまな育成プログラムに力を入れており、「業界別サイバーレジリエンス強化演習（CyberREX）」などはその代表例です。

もちろん民間でも企業や団体が中心となってセミナーや勉強会を開催しているほか、将来セキュリティエンジニアを目指す学生向けのセキュリティコンテスト「CTF（Capture The Flag）」も人気を博しています。国も学生向けの教育施策に力を入れており、例えばIPAが主催する「セキュリティ・キャンプ」は高校生や大学生を対象にした人材育成プログラムとして広く知られています。

高等教育機関におけるセキュリティ教育の拡充

一方、大学を中心とした高等教育機関においても、現在セキュリティ教育に力を入れる動きが加速しています。その先鞭を付けたのは、2004年にセキュリティ専門の高等教育機関として設立された情報セキュリティ大学院大学と、セキュリティ研究の分野で名高い米カーネギーメロン大学の日本校が2005年に開校したことでした。

これらは大学院でセキュリティの教育や研究の機会を提供するものでしたが、やがて学部・学科レベルでセキュリティ教育を提供する大学も出てきました。2016年に長崎県立大学が国内初の情報セキュリティ学科を設置したのに続き、立命館大学 情報理工学部でも学科7コースのうちの1つに「セキュリティ・ネットワークコース」を新たに設けました。

さらに学部・学科レベルではないものの、大学院の研究室レベルでセキュリティを専門に教育・研究しているところは数多くあります。ただし大学院ではどちらかというと研究室での研究がメインになるため、体系立ててセキュリティについて学べる機会は実はさほど多くありません。

そうした傾向を変えるきっかけとなったのが、2007年に文部科学省が立ち上げた「先導的ITスペシャリスト育成推進プログラム」でした。このプログラムがきっかけとなり、大学間や産学の垣根を越えて実践的なセキュリティ人材育成の在り方が広く検討されるようになりました。

もちろん学生や研究者として大学院に所属する道だけでなく、社会人として働きながら大学院で学ぶ道も用意されています。関西エリアでは大阪大学が、そして関東エリアでは東京電機大学などが社会人向けの教育コースを用意しているほか、近年ではネットを介して講義を受けられる通信制大学でも手軽にセキュリティについて学べるようになりました。

こうした高等教育機関で学ぶ最大のメリットは、普段仕事をしているだけでは決して接する機会のないその道のエキスパートから直接高度なセキュリティ知識を学べることにありますが、それとともに学ぶ者同士でコミュニティを形成し、人の輪を広げていくことでその後の仕事や学びの機会や成果を高めていけるところにあります。ぜひこうした機会を最大限に活用して、セキュリティ人材の輪を広げていくことをお勧めします。

【調査結果資料】サイバーセキュリティ知識に関する調査結果レポート（2022年11月実施）

サイバーセキュリティの専門知識を持たないビジネスパーソンを対象に、サイバーセキュリティ知識に関する理解度とサイバーセキュリティに関する意識の実態を調査するため、2022年11⽉下旬に「サイバーセキュリティ知識についての理解度テストとアンケート」を実施しました。

アンケートの回答を調査レポートとしてまとめましたので、回答を元にした実態と傾向を把握いただき、サイバーセキュリティを専門としないビジネスパーソンの方は、今後のサイバーセキュリティ知識に関する理解度とサイバーセキュリティに関する意識の向上の機会としてご活用ください。

また企業・組織のサイバーセキュリティ担当者の方は、社内向けのサイバーセキュリティの理解度を高める研修の実施など、今後のセキュリティ対策の強化にお役立てください。
https://www.cybereason.co.jp/product-documents/survey-report/9854/