株式会社NTTデータ様　│　認定サイバーセキュリティ技術者（Certified CyberSecurity Technician）
～グループ全体でサイバーセキュリティビジネスを加速させる人材育成への挑戦～

導入サービス

認定サイバーセキュリティ技術者（Certified CyberSecurity Technician）

対談者プロフィール（※所属・役職は取材時現在のものです）

セキュリティはすべてのエンジニアが身に着けるべき必須スキル

専門性の集積が生む強みと、越えるべき壁

壁を越えることの必要性

人材育成を「研修」から「設計」へ

セキュリティ人材育成というと、多くの企業では「どの研修を受けさせるか」「どの資格を取得させるか」という観点で議論が進みがちだ。しかしNTTデータでは、議論の出発点が異なっていた。
重要視されたのは、「研修そのもの」ではなく、「どのようなエンジニアを育てたいのか」という将来像である。テクノロジーセグメントが目指していたのは、単なるセキュリティ専門家の量産ではない。むしろ、ネットワーク、クラウド、アプリケーションといったそれぞれの専門性を持ちながらも、セキュリティを共通の前提として考えられるエンジニア、顧客と同じ目線でリスクを議論できるエンジニアの育成だった。

CCT受講で点が線になる

CCTという選択肢にたどり着くまで

こうした問題意識のもと、テクノロジーセグメントではさまざまな教育施策が検討された。社内研修を拡充する案もあれば、特定分野に特化した専門資格を取得させる案もあった。しかし議論を重ねる中で、次第に明確になってきた条件がある。

第一に、特定の製品やベンダーに依存しないこと。NTTデータの事業は、多様な顧客・多様な技術スタックに対応することを前提としている。ある製品の操作方法を覚えること自体が目的となる研修では、汎用性に欠ける。

第二に、実務と乖離していないこと。資格取得のための暗記に終始する内容では、現場での判断や議論につながらない。

第三に、若手や非ITバックグラウンドの社員でも理解できること。セキュリティ教育を一部の「選ばれた人材」のものにしては意味がない。

これらの条件を満たすものとして浮上したのが、EC-Councilが提供する「認定サイバーセキュリティ技術者（CCT）」だった。

CCTとは「体系」を学ぶための入口

CCTは、サイバーセキュリティのキャリアをスタートするための基礎資格として設計された講座である。その最大の特徴は、ネットワーク、アプリケーション、クラウド、IoT、インシデント対応といった領域を分断せず、一つの流れとして学べる点にある。サイバー攻撃は、単一の弱点だけで成立するものではない。ネットワークの設定不備が侵入のきっかけとなり、アプリケーションの脆弱性が悪用され、運用上のミスが被害を拡大させる。CCTでは、こうした一連の流れを俯瞰的に捉えることを重視している。また、CCTでは座学だけでなく、iLabsと呼ばれる演習環境を用いたハンズオンが組み込まれている。攻撃手法を“知識として知る”だけでなく、実際に手を動かしながら体験することで、「なぜ危険なのか」を身体感覚として理解できる設計になっている。NTTデータ テクノロジーセグメントでは、この点に大きな可能性を見出した。単なる知識付与ではなく、思考の土台を揃える教育としてCCTは非常に適していると判断されたのである。

若手エンジニアが直面していた課題

CCT受講で起きた変化 ― 点が線になる

CCTを受講して最初に感じたのは、知識の入り方がそれまでとまったく違うということだった、と中山氏は振り返る。

NTTデータでは様々な社内外での学習機会を提供しており、中山氏も入社時の研修にてセキュリティ知識の学習機会を得ていた。しかし、非ITバックグラウンドからいきなりセキュリティ知識を詰め込まれても、それら全てを理解しきることは困難だった。その後の実務経験によって部分的に理解を深めることができたが、改めて体系的なセキュリティ知識を獲得したいと感じるようになった。
CCTでは「サイバーセキュリティとは何か」という全体像から話が始まり、そこからネットワーク、アプリケーション、運用へと、地続きで話が展開していく。中山氏は、この構成によって、自分の中に少しずつ「地図」が描かれていく感覚を覚えたという。断片的に知っていた知識が、どこに位置付けられるのかを改めて理解できるようになり、「あのとき聞いた話は、ここにつながっていたのか」と腑に落ちる瞬間が何度もあった。つまり、従来の研修や実務経験で獲得した知識を、CCTを通じて再統合できたということだ。まさに、点が線になった瞬間といえる。CCTの中でも特に印象的だったのが、攻撃手法を体験する演習だった。これまで防御の観点で学ぶことが多かった中で、攻撃のプロセスを追体験することは新鮮だったという。攻撃者がどのような情報を集め、どのような順序で侵入を試みるのか。その流れを理解することで、日常業務の中で見る設計書や構成図の見え方が変わった。単に「要件を満たしているか」ではなく、「どこを突かれやすいか」という視点が自然と浮かぶようになったのである。

若い年次で知識を柔軟に吸収する

中山氏は入社1年目の終わりにCCTを受講した。「結構難しかった」と率直な意見を述べた。しかし、受講過程においてハンズオンや解説によるサポートを得ることで乗り越えることができた、と振り返る。年次が若いと知識や業務経験が豊富でないことから、CCTのような体系だった基礎的な知識を習得することに価値が生まれる。「1年半程度の業務経験を経て受講をすると、経験を知識で強化することができるのではないか」と中山氏は述べる。若い年次で研修を受けることのメリットがある。年次を経るにつれて専門領域が確立されると、新しいことに取り組むことに抵抗感を感じたり、自身の領域ではないと感じて学習意欲が湧かなかったりする弊害が生まれる。これはどの業種、業界であろうと同じ事が言えるのではないだろうか。柔軟な発想で、吸収力が高いことは若手の強みであり、それらを活かして人材育成に取り組んでいくことはマネージャーとしての使命・責任でもある。

実務経験にマネジメント観点を付加したコンサルタントへ

CCT受講後、中山氏が最も大きな変化として挙げたのは、「お客さまが言っていることが、以前より分かるようになった」という点だった。ITやセキュリティにおいて習得すべきスキルや知識は膨大であり、まだそのすべてを理解できるわけではない。それでも、議論の前提や論点がどこにあるのかは把握できるようになり、「分からないまま話を進めてしまう」状態が減ったという。コンサルタントにとって、これは非常に重要な変化である。相手の言葉を正確に理解できなければ、適切な提案や助言はできない。CCTの受講を経て最低限の共通言語が中山氏の中に根付いていった。CCTはセキュリティをこれから体系的に学んでいきたいエンジニアにとっての最適な講座として位置づけられている。「セキュリティの分野は幅広く、実践を通じて知識やスキルを身に着けていきたい。お客様は実現したいシステムに対してセキュリティの不安をもっていらっしゃることが多くある。コンサルタントとしてお客様のビジネスを踏まえたうえで、セキュリティをどのように担保するのか、寄り添って支援することが求められる。将来的にはCISSPを取得するなど、実務経験にマネジメントを付加したコンサルタントになっていきたい。」と中山氏は結んだ。

セキュリティはすべてのエンジニアが共通して理解しておくべき基礎教養

CCTの効果は、個々の受講者の成長だけにとどまらなかった。育成を担うマネージャーや組織の視点において、変化を感じ取ることができる。

それまでセキュリティ教育は、どちらかといえば「専門部署向けの特別な研修」という位置づけになりやすかった。ネットワーク系、セキュリティ系の社員には手厚く用意されている一方で、アプリケーション開発やコンサルティング寄りの職種では、セキュリティは「必要になったら学ぶもの」「OJTの中で身につけていくもの」と考えられることも少なくなかった。

しかし、CCTを導入したことも契機となって、セキュリティ教育の位置づけそのものが変わっていったと感じられる。セキュリティは一部の専門家が担う領域ではなく、すべてのエンジニアが共通して理解しておくべき基礎教養である、という意識が日々高まっている。

NTTデータおよびグループ会社全体で日本全国のお客さまを支援

人材育成を越えて

実務に直結する研修の在り方

研修はゴールではない、という共通認識

CCT導入を通じて、NTTデータの中で改めて強く意識されたのが、「研修そのものが目的になってはいけない」という点だ。資格を取得したから終わり、研修を受けたから安心、では実効性がある研修とは言えない。重要なことは、その学びをどう業務に結びつけ、どう次の成長につなげていくかである。そのような観点から、CCTは体系的な内容でありながら、業務との距離が近く、受講後すぐに「使いどころ」が見える。だからこそ、研修で終わらず、現場での対話や設計、レビューといった日常業務の中に自然と溶け込んでいった。

「何を教えるか」ではなく、「どう位置づけるか」

NTTデータの事例が示しているのは、セキュリティ教育において「何を教えるか」以上に、「どう位置づけるか」が重要だという事実である。高度な専門研修を増やす前に、まず全員が共通して理解すべき基礎は何か。その基礎を、どのタイミングで、どのように学ばせるのか。人材育成を“設計”として捉え直すことが、これからのシステム開発企業には求められている。CCTは、その設計を支えるための、実践的で再現性の高い選択肢の一つだと言えるだろう。

セキュリティを「難しいもの」「専門家任せのもの」と捉え続ける限り、組織は強くならない。すべてのエンジニアが、セキュリティを前提に考える。その当たり前をどう作るか。NTTデータのCCT導入事例は、その問いに対する一つの道筋を示している。GSXはサイバーセキュリティ人材の育成プログラムの提供を通じて、NTTデータの取り組みをこれからも継続的に支援していく。

• 様々な領域のエンジニアに対しセキュリティスキルの習得を目指す セキュリティは特定の専門家だけに求められるものではなく、あらゆるエンジニアに求められるスキルであることをしっかりと認識し、エンジニア育成に取り組んでいる
• 若い年次からスキル習得に取り組む 一定の業務経験を積んで研修を行うことで習熟度が増すことに加え、新しいことへのチャンレンジに対する受容性の高さから、研修効果を高めている
• グループで人材育成をすることで支援範囲を拡大する 研修をグループに展開することで、グループでの競争力強化に取り組んでいる
• CCTで自社の研修が面になる 自社の研修で得た知識が、CCTを通じて統合され、面となって知識習得が進んでいる

- 認定サイバーセキュリティ技術者（Certified CyberSecurity Technician） サイバーセキュリティの基礎的なスキルを身につけ、サイバーセキュリティのキャリアをスタートするために必要な基礎を３日間で網羅的に習得する、効率の高い学習コースです。サイバーセキュリティの概念をはじめ、現場で実際に必要となる技術を駆使し、トレーニング用のツールを利用して実践を行うことにより、実効性のある技術を身につけられます。