1. 始めに
こんにちは、morioka12 です。
本稿では、新卒の学生によるセキュリティエンジニア志望の就職活動について、morioka12 の体験話も含めて簡単に紹介します。
想定読者
- サイバーセキュリティ分野に関する学習に取り組んでいる学生
- 脆弱性診断やペネトレーションテストなどのセキュリティ業務に興味がある方
また、本ブログの内容は、私が所属する学校の「セキュリティに興味がある後輩」に向けて、就活に関する話をした際の内容を元に記載しています。
筆者のバックグラウンド (現時点)
- 情報系の専門学校の4年生
- Web Security や Cloud Security などのセキュリティ分野について学習している学生
- セキュリティ・キャンプ全国大会や SecHack365 などのセキュリティ人材育成イベントの修了生
- 2024年4月からベンダー企業で新卒のセキュリティエンジニアとして就職予定
- 業務: 脆弱性診断やペネトレーションテストなど
ちなみに、直近の振り返りブログは、こちらになります。
2. セキュリティエンジニアとは
セキュリティエンジニア (Security Engineer)とは、情報セキュリティやサイバーセキュリティに特化した技術者のことで、組織やシステム・サービスなどのセキュリティを確保し、情報資産を守るためのエンジニアを指します。
セキュリティに関する業務と言っても、職となる業務内容は幅広く様々あり、例えば以下のようなものがあります。
- 脆弱性診断・ペネトレーションテスト(PT)
- 対象のシステムやサービスにセキュリティ問題(脆弱性)がないかの調査と報告を行う
- SOC (Security Operation Center)
- 24時間365日体制でネットワークやデバイスを監視して、サイバー攻撃の検知や分析を行う
- CSIRT (Computer Security Incident Response Team)
- 企業や組織内のセキュリティインシデントの対応や監視を行う
- PSIRT (Product Security Incident Response Team)
- 自社が提供する製品やサービスに関するセキュリティインシデントの対応や脆弱性管理を行う
- フォレンジック・インシデント対応(IR)
- サイバー攻撃やマルウェア感染などのセキュリティインシデントが発生した際に緊急対応や詳細な調査を行う
- セキュリティ製品の開発
- アンチウイルスソフトやセキュリティ問題を解決するための製品、トレーニングコンテンツの開発を行う
- セキュリティ教育
- セキュリティに関する技術や啓発などの教育を行う
- セキュリティコンサルティング
- セキュリティに関するコンサルや運用支援を行う
- 警察
- サイバー犯罪に関する捜査や対策を行う
脆弱性診断・ペネトレーションテスト(PT)
脆弱性診断やペネトレーションテストは、対象のシステムやサービスにセキュリティ問題(脆弱性)がないかの調査と報告などを行います。
調査を行う対象は、様々な種類があり、主に以下のような分野があります。
- Web アプリケーション
- スマートフォンアプリケーション (Android・iOS)
- デスクトップアプリケーション (Windows・Mac)
- プラットフォーム (ネットワーク)
- クラウド
- ゲームチート
- Web3 (ブロックチェーン・NFT)
- LLM (GPT)
- 組み込み機器 (IoT)
- OT (Operational Technology)システム
- 自動車
- 社内システム
- 公共インフラ
また、高度な診断になると、以下のような業務もあります。
- ペネトレーションテスト
- 脅威ベース(TLPT)
- Red Team
詳しくは、「3.1 企業候補」で紹介する各セキュリティ企業のサービス一覧をご覧ください。
ちなみに、職業情報提供サイト(日本版O-NET)に「セキュリティエキスパート（脆弱性診断）」という職業紹介のページがあります。
他にも、 OWASP Japan が公開している「脆弱性診断士スキルマッププロジェクト」というドキュメントもあるため、こちらも参考になるかと思います。
3. セキュリティエンジニア志望の就活
本ブログでは、業務内容が「脆弱性診断・ペネトレーションテスト(PT)」のセキュリティエンジニアに焦点を当て、新卒時の就活に関する内容を経験をもとに紹介します。
(中途採用の就活は、未経験のため何も根拠のあることは言えません。)
3.1 企業候補
就職先の候補を探す際は、主に以下のようなところから企業調査を行うと、まずは良いと思います。
- セキュリティイベントのスポンサー企業や登壇者の所属先
- 情報セキュリティサービス台帳
- 脆弱性報告の報告者の所属
- 一般社団法人日本ハッカー協会
- (就職サイト)
セキュリティイベント
セキュリティ系のイベントに協賛している企業は、会社としてもセキュリティを前向きに捉えている企業が多い印象のため、候補先としてはとても良いと思います。
主にチェックしていたセキュリティイベントは、以下の3つです。
- セキュリティ・キャンプ
- CODE BLUE
- SECCON
学生で「セキュリティ・キャンプ全国大会の受講生」や「CODE BLUE の学生スタッフ」として参加すると、イベント内で協賛企業のエンジニアの方との交流会があります。
そこでは、実際にその企業のエンジニアの方と直接話すことができるため、とても有益な場になります。
また、「セキュリティキャンプ」や「SecHack365」などのセキュリティ人材の育成イベントで講師をされている方々の所属先をチェックすることも、とても良いと思います。
後日追記
ブログ公開後に、私も登壇したセキュリティイベント「学生のためのサイバーセキュリティカンファレンス P3NFEST Conf」もおすすめだと思いました。
日本ネットワークセキュリティ協会 (JNSA)
また、「日本ネットワークセキュリティ協会 (JNSA)」という特定非営利活動法人があり、そこでは JNSA Internship という学生向けの「産学情報セキュリティ人材育成交流会」が開かれています。
インターンシップに興味をもっている学生がインターンシップの受入れ企業と交流できる場所を提供し、長期インターンシップに関わる不安等を解消することを目的として、2023年12月2日（土）に「産学情報セキュリティ人材育成交流会」を開催いたします。
日本ネットワークセキュリティ協会には、会員企業が存在して、そこからも情報セキュリティに係わる企業の一覧を確認することができます。
情報セキュリティサービス台帳
情報セキュリティサービス台帳とは、経済産業省が定めた「情報セキュリティサービス基準」への適合性を当情報セキュリティサービス基準審査登録委員会が審査して、適合とされたサービスを掲載するものです。
その中に、「脆弱性診断サービス」という一覧があり、日本で脆弱性診断のサービスを提供している企業の一覧で確認することができます。
JVN (Japan Vulnerability Notes)
JVN (Japan Vulnerability Notes)とは、日本で使用されているソフトウェアなどの脆弱性関連情報とその対策情報を提供して、情報セキュリティ対策に資することを目的とする脆弱性対策情報ポータルサイトです。
ここでは、実際にあった脆弱性報告に報告者の所属会社が記載されている報告もあるため、脆弱性調査を行なっている方がどこの企業に在籍されているかを知ることができ、候補先として参考になるかと思います。
https://jvn.jp/jp/all.htmljvn.jp
一般社団法人日本ハッカー協会
一般社団法人日本ハッカー協会とは、情報セキュリティ、システム開発、IoT などさまざまな分野で活躍されるハッカーの皆様が安心して新しい取り組みに挑戦でき、活動に邁進できる社会を目指し、ハッカーの地位向上とハッカーの活躍によるネット社会の安全と健全な発展に貢献している組織です。
ここでは、主に中途採用の転職者向けに求人がでていますが、企業調査として見ていたりしました。
また、2023年から「Hack Fes.」という、若手のセキュリティエンジニアの方向けの対面開催限定イベントが開かれています。
「Hack Fes. 2023」はセキュリティ・エンジニアを対象にした対面開催限定のイベントです。専門知識を学んだり、スキルを磨いたりする場であるとともに、新型コロナ禍により失われた参加者同士が直接交流できる場を提供することを目的としています。 イベント名をFes.（フェスティバル）とすることで、堅苦しいお勉強イベントではなく、多くの人が集まることで生まれる「お祭り感」や「ワクワク感」そして「楽しさ」といった雰囲気を、参加者とともに作っていきたいと考えています。
Hack Fes で登壇や講師をされている方の所属先も候補の参考になると思います。
公務員
ちなみに、公務員や国家公務員でセキュリティに関する職業も以下のようにいくつかあります。
- デジタル庁
- 警視庁・警察庁
- 防衛省 (自衛隊)
- NICT 情報通信研究機構
デジタル庁の脆弱性診断士などは「実務経験数」などが応募条件に入っていたりするため、中途採用向けだったりしますが、要件などは参考になるかと思います。
また、デジタル庁は、以下の「政府情報システムにおける脆弱性診断導入ガイドライン」という PDF を公開していて、脆弱性診断に関して参考なる資料かと思います。
3.2 ユーザー企業・ベンダー企業
脆弱性診断のメイン業務である「脆弱性を探す業務」に関しては、ユーザー企業とベンダー企業のどちらでも職としては存在します。
主な違いとしては、以下のような点があります。
- ユーザー企業
- 自社の製品やサービスに対して脆弱性診断を行う
- リリース前後だけでなく、設計・開発・運用の段階でもセキュリティの観点で関わることができる
- ベンダー企業 (セキュリティ系)
- 案件として受注した先の企業の製品やサービスに対して脆弱性診断を行う
- 様々な企業の製品やサービスを脆弱性調査することができる
どちらも業務内容や得れる実務経験に関しては、特徴やメリット・デメリットなどがあると思いますが、これらの選択は個人の好みや何を主軸に選択したいかによるかと思います。
3.3 企業ホームページ
いくつか気になる企業が見つかった場合は、その企業のホームページに記載があるサービス一覧や求人などを見るかと思います。
脆弱性診断を提供する企業はいくつもありますが、各企業のサービスには少なからず「サービスの特徴」があると思います。
特にベンダー企業では、企業側もサービスの差別化をしていたりするため、そこで働くセキュリティエンジニアの業務にも差別化された内容に少しでもなっていると思います。
ユーザー企業のセキュリティチームでも、その企業で使われている技術や環境などは異なるため、特徴が表れていると思います。
そのため、サービスの特徴を見たり、求人ページからどのような人材を求めているか、社風や福利厚生などを確認し、気になる企業を選ぶと良いと思います。
また、会社が掲げているビジョンから会社がどういうことに念頭にしているかも、気にしてみると良いと思います。
採用応募する前に、できればカジュアル面談を申し込むと、より具体的なイメージを持つことができるため、事前のカジュアル面談の実施をおすすめします。
ポイントを整理すると、以下のようになります。
- 全体
- 会社のビジョンや社風、福利厚生などを確認する
- 採用ページから求められるスキル等を確認する
- ユーザー企業
- 提供している製品やサービスに使われている技術や環境などを確認する
- ベンダー企業
- 脆弱性診断等のサービスの特徴を知れる範囲で確認する
技術ブログ
その企業に技術ブログがある場合は、技術ブログも確認してみると良いと思います。
技術ブログは、所属するエンジニアの方が執筆していることが多いため、どういうスキルの持った方が在籍しているかを簡単に知ることができます。
また、一般に公開されている「新卒の研修資料」や「インターンシップの実施ブログ」などもあれば、それらも確認してみると良いと思います。
SNS (X)
IT企業の多くは、SNS (特に X)を活用して、情報発信等をしている企業が多いと思います。
そのため、気になる企業の SNS も確認してみると良いと思います。
その企業の社風や活動を簡単にチェックできると思います。
3.4 求められるスキル
具体的に気になる企業が見つかった場合は、その企業の求人にある「求められるスキル」や「望ましい経験」を特に見てみると良いと思います。
どういったスキルや経験を持った人を歓迎しているのかを早い段階から知れれば、そのための学習や準備をすることが可能となります。
ある程度のやりたい業務などが定まった段階で、どういった人材やスキルが求められているのかを知った上で、学習に取り組めるととても良いと思います。
特にセキュリティ分野は、セキュリティという枠でも多くの分野(領域)があるため、実際のサービスや業務内容を調べた上でどういうスキルが活かされているのか(求められているか)を知ると良いと思います。
4. morioka12 の就活話
私は、3年生になる前の春休み前くらい(2年の2月頃)から、就活のための準備を本格的に始めていました。
4.1 気になる企業のリストアップ
1年生の頃から気になる企業は、リストアップして日頃から情報収集などを行なっていましたが、3年生になる前に就活を見据えて気になる企業を10社ほどまで絞りました。
この際は、単に「新卒で入ってみたい」というわけではなく、興味がある企業を10社ほどに絞りました。
絞り方としては、その企業にもし入社したらどういう業務を経験できそうかを主軸に考えて、リストアップしました。
リストアップの企業は、以下のような分類がありました。
- セキュリティベンダー企業
- ユーザー企業のセキュリティチーム (PSIRTなど)
- 外資系のセキュリティベンダー企業
4.2 カジュアル面談
次に、気になる企業のリストから、社内情報をあまり知らない5社ほどと新卒採用の応募前にカジュアル面談を行いました。
カジュアル面談は、サマーインターンで参加した際に行われたり、自分から採用の問い合わせフォームから申し出たり、イベントで知り合ったエンジニアの方を通して開いてもらったりしました。
そこでは、主にエンジニアの方と具体的な業務内容や特徴などを、質疑応答スタイルで簡単に面談を行なってもらい、会社のイメージを具体的に知ることができました。
また、カジュアル面談をする際のポイントとなったことは、「もし入社した場合の業務内容やポジション」を聞いてイメージすることです。
特に自分の場合は「どのような部・課に配属できそう」で「どのような業務が経験できるか・チャレンジできそうか」をよりイメージできたことはとても良かったと思います。
4.3 新卒採用
次に、3年生の秋頃(9月)から始めに興味のあった10社の中からさらに絞って4社の企業と正式な就職活動を行いました。
具体定には、セキュリティチームがある「ユーザー企業: 2社」とセキュリティ専門の「ベンダー企業: 2社」と就活をして、それぞれ内定をいただきました。
カジュアル面談も含めたリアルな流れは、以下のような感じでした。
- ベンダー企業1: 社長面談 → 内定
- (前提: 長期インターンで働いていた)
- ベンダー企業2: エントリーシートの提出 → 課長面接 → 内定
- ユーザー企業1: 2次面接 → 部長面接 → 内定
- (前提: サマーインターンに参加して書類選考と1次面接が免除された)
- ユーザー企業2: 書類選考 → 1次面接 → 2次面接 → Web テスト → 社長面接 → 内定
内定後にも手厚い面談をしていただき、最終的にベンダー企業からの内定を承諾しました。
(ちなみに、就活中は一度もスーツを着る機会がなく、基本的に「カジュアルな格好で」という指定が逆にあるくらいでした。)
最終的に内定を承諾した頃は3年の12月頭で、9月から11月の3ヶ月間で就活と内定先との面談、内定承諾先の検討を行いました。(とても悩みました)
また、就活を通して、今まで取り組んできた内容や経験を多くの方に評価・コメントしてもらうことができ、改めて自分のスキルなどを認識することができました。
就活は、とても良い経験になり、ありがとうございましたの気持ちとなりました。
5. セキュリティエンジニアを目指す就活生へ (まとめ)
以上の経験をもとに、セキュリティエンジニアに興味のある学生は、以下のような点を意識して学生生活や就活に挑むと個人的には良いと思います。
5.1 セキュリティ業界を知ろう
世の中には、どういう企業があり、どういう職業があり、どういうサービスがあり、どういう業務があるのか、などを自分から調べてみましょう。
その中から興味のある企業や職種をいくつか選び、少しでも目星を付けておくと良いと思います。
また、同じ脆弱性診断でも会社ごとに異なるアプローチや特徴がサービスにあることが多いため、差別化されたサービスの特徴や技術ブログ、実績などからその会社の技術力を見ることもおすすめします。
5.2 セキュリティイベントに参加しよう
セキュリティイベントに参加すれば、企業のエンジニアの方と話せる機会が生まれるため、積極的に参加しましょう。
そのチャンスを有効的に活用し、会社の話や業務内容、社風などを聞いたりすると良いと思います。
また、就活は新卒のタイミングだけでなく、社会人になってからの「転職」にも色々なエンジニアとの交流は大いに活かせると思います。
例えば、以下のようなセキュリティイベントがあります。
- セキュリティ・キャンプ全国大会
- セキュリティ・ミニキャンプ (地方大会)
- SecHack365
- CODE BLUE (学生スタッフ)
- SECCON
- AVTokyo
- Hardening Project
- connpass
- P3NFEST Conf 2024
ちなみに、有志で一般公開されている「Security Event in Japan」というセキュリティ系のイベントがまとまった Google カレンダーがあったりします。
この Google カレンダーのポリシーは、以下のブログで公開されています。利用する際は、一度ご確認ください。
5.3 求められる人材の特徴を知ろう
各企業の求人(採用ページ)から、どういう人材やスキル・経験を持った人が求められているかを知りましょう。
早めに知れれば、そのための学習時間も確保できたり、アピールするための準備ができるかもしれません。
また、新卒の求人だけでなく、転職者向けの中途採用の求人も確認しておくと良いです。
中途採用で求められているスキルや経験も知っておくと、さらに今後のキャリアパスとしてのイメージをしやすくなります。
セキュリティ分野を学習する上で大事な点
セキュリティ分野の学習をする上で個人的に大事だと思う点は、セキュリティだけを念頭に学習しないことです。
セキュリティはあくまで、何かの分野や技術があった上で、生まれる(成り立つ)ものだと思います。
そのため、例えば Web Security に興味がある場合は、基礎となる Web 技術や Web アプリケーションが動くクラウド技術なども学習しておくと、とても良いと思います。
超セキュリティ入門
初めてセキュリティ分野を学習する際は、以下の2点がオンラインで手軽に取り組めるため、とてもおすすめです。
また、Web Security に関しては、以下の「バグバウンティ入門(始め方)」のブログでおすすめの書籍やコンテンツなどの学習教材を紹介しています。
また、Mobile Security に関しては、以下の「バグバウンティにおけるモバイルアプリの脆弱性報告の事例まとめ」のブログでおすすめのコンテンツなどの学習教材を紹介しています。
5.4 アピールできる取り組みをしよう
就活を始める前までに、何か自分が取り組んできたことで少しでもアピールできること(経験や実績など)を作っておきましょう。
アピールできる点は、その人にあったことでなんでも良いかと思いますが、例えば以下のような点があると思います。
- CTF の大会で上位にランクインする
- Hack The Box (HTB) で上位のランクになる
- IPA の「情報処理安全確保支援士」や OffSec の「OSCP」などのセキュリティに関する資格を取得する
- 研究内容で成果を出す
- 「セキュリティ・キャンプ全国大会」などの選考がある外部イベントに受かって参加する
- コンテストやハッカソンに参加する (入賞する)
- 外部イベントで登壇する
- サマーインターンシップやウィンターインターンシップなどに参加する
- 長期インターンシップや技術アルバイトで実務経験を積む
- OSS やソフトウェアを対象に脆弱性調査をして CVE ID を取得する
- バグバウンティプラットフォームで脆弱性調査をして報酬金を獲得する
また、実績以外でも、何か一つでも自信を持てる分野やスキルがあると、とても良いと思います。
アウトプット
セキュリティの学習において、常に新しい技術や脆弱性情報などの「インプット」も大事ですが、それに合わせて「アウトプット」も大事だと思います。
アウトプットと言っても、そこまでハードルの高いことばかりではなく、簡単なものからで全然良いと思います。
例えば、以下のようなアウトプットの形があると思います。
- 勉強したことや取り組んだこと、取得した資格の合格記などをブログとしてまとめて公開する
- CTF や Hack The Box で解いた問題の解法(Writeup)をブログで公開する
- 外部イベントなどで登壇する
- コンテストや大会で入賞する
- 開発したものを公開する
- 何かの実績を成果物としてまとめる
個人的には、「ブログの執筆」が手軽にアウトプットできるものだと思います。
ブログを書いて公開することのメリットだと思う点は主に以下のような点です。
- インプットしたことを整理することができる
- 取り組み成果として記録を残すことができる
- 業界の方や同じように取り組まれている方に認知してもらえる
- ブログの内容に関する登壇オファーの依頼がくる可能性がある
- ブログを見た誰かが参考にしてもらえる可能性がある
(ブログを書く上での注意として、書籍等の内容を記載して公開するなどの著作権への配慮は気にする必要があります。)
私の場合もブログを書いて公開することでセキュリティ業界の方々に認知してもらったり、就活の際にもアウトプットとして話の話題にもなりました。
私が学生中に書いたブログは、以下のようにまとめたものがあります。
バグハント (CVE)
少しハードルがありますが、実際に OSS やソフトウェアなどを対象に脆弱性の調査をして、報告してみるのも良いと思います。
そして、CVE ID の取得まで至れると、良いアピールになると思います。
特に、有名な OSS や Github star が多い対象などで脆弱性を見つけられると、高く評価されやすいと思います。
詳しくは、以下をご覧ください。
バグバウンティ
さらにハードルがありますが、バグバウンティプラットフォームで脆弱性の調査と報告をしてみるのも良いと思います。
そして、報酬金の獲得まで至れると、良いアピールになると思います。
特に、脆弱性の重大度(リスクレベル)が Critical や High などで脆弱性を見つけられると、高く評価されやすいと思います。
詳しくは、以下をご覧ください。
5.5 習慣的に情報収集をしよう
外部イベントや就活情報は、「早めに知れたか OR 知れなかったか」で大きな差が生まれることがあります。(見逃したり、定員オーバーだったり、など)
そのため、常に情報収集は自分から習慣的にしておくと、とても良いと思います。
日本だと X (Twitter)で情報発信している企業やエンジニアの方が多いためフォローしておいたり、毎年あるイベントや応募開始時期などは、前年度の日程を参考にカレンダーをセットしておいたりすると良いかと思います。
例えば、サマーインターンシップの応募は「4・5月頃から」だったり、新卒採用の早期採用は「10月頃から」だったりします。
この辺も事前に確認したりしておくと良いと思います。
6. 終わりに
本稿では、新卒の学生によるセキュリティエンジニア志望の就職活動について、morioka12 の体験談も含めて簡単に紹介しました。
セキュリティエンジニアに興味のある学生や就活する方に、少しでも参考になれば幸いです。
何か気になることやアドバイスを貰いたい等あれば、気軽に DM やメールでご連絡ください。
反響コメント
- 「ほんとうに社会人ではない...?」と疑うくらいいい記事だった。過去の自分に記事のURLを送り付けたいレベル。 (link)
- これは良い記事。自分も同じようなところから情報集めて就活してたの思い出した。 (link)
- セキュリティ業界に就職したい学生は目を通しておくと良いと思う。 (link)
- セキュリティに特化した学生を獲得したい組織の皆さんはこういうのは参考として読んでおくべきかなあと思います。 (link)
学校の後輩との就活話を簡単にブログ化しました。 #はてなブログ
— morioka12 (@scgajge12) January 6, 2024
新卒の学生によるセキュリティエンジニア志望の就活話 - blog of morioka12https://t.co/KXFgrK1Pym
ここまでお読みいただきありがとうございました。
