スキルアップコラム

今回はスキルセットの向上について書いてみたい。スキルセットというと堅苦しい感じがするが、いわゆる必要な知識や技能であり、研修コースの受講や書籍などにより学習するものである。

一般的な認定試験合格のための知識も、日本ではこのスキルセット中心に組み立てられている。教育機関は「合格への近道（受験対策コース）」などといった名称で資格対策コースを行っている。

筆者がセキュリティ・エデュケーション・アライアンス・ジャパン（SEA/J）の運営に参加した2002年7月には、情報セキュリティ教育市場には、経済産業省の情報セキュリティアドミニストレータ試験が前年に実施されていたものの、国内にはこれといった技術者向けの資格も教育もない状態であった。

同時期の技術者人材の状況は、総務省の情報通信ソフト懇談会が2003年12月に出した報告書によると、情報通信人材の不足は42万人、うちセキュリティ人材は12万人と推計されている。

現在では、情報セキュリティの世界にもBS7799(※1)やISMS(※2)といったマネジメントシステムが導入され、組織内教育の重要性が認知されてきた。多くの教育会社や資格認定団体が教育や資格を提供しているが、組織内での職責に見合った教育や資格取得が行われているとは言いがたい。実際、経済産業省の情報処理技術者試験受験状況を見ても、情報処理関係の業務従事者の受験・合格者数は多くはない。

一般的に資格試験を行う目的は、スキルの習得と保有スキルの確認の2つである。合格レベルというバーを越えるために学習することで得られる知識が、スキルの習得として現状のスキルに付加される。逆に現状のスキルを自分や他人に確認できる形にするために合格という形で証明するということである。合格の結果として、履歴書に書ける、社内資格として認定してもらえる、などといった「特典」が考えられるが、話をシンプルにするために、スキルの習得と保有スキルの確認の2つに絞ってみよう。

情報セキュリティ人材の場合には、前者のスキル習得という観点で資格取得を考えることが多い。知識が十分ある人は、試験を受けるだけであろうが、実際は業務で使える知識を教育機関や市販書籍で勉強し、その上で受験して合格するといったルートをたどる。

保有スキルの確認という意味では、希望職種への採用や業務上の適正配置といった場合に、関係者間でのスキルギャップが生じることがなく効果的であろう。いずれの場合にも、まずは必要スキル体系の整理が必要となる。その上で、必要と考えるスキル項目を順序だてて習得し試験に臨む。高度資格の取得には、まずは基礎的資格を取得し基礎固めをした段階で、次のレベルに移ることが理想ということだ。

職務に合った資格を選択することも重要である。マネジメント系の資格をエンジニアが取得しても、逆にCISOといった組織の情報セキュリティの責任者がエンジニア系資格を取得しても、あまり意味がない。このためセキュリティ・エデュケーション・アライアンス・ジャパン（SEA/J）でも、職務を大きく2つに分けて、基礎コースで全般スキルを、応用コースでテクニカル系とマネジメント系で選択できるコース設定をしている。

○SEA/J認定試験情報のホームページ

情報セキュリティ対策のための人材育成の過程を見てみよう。まずは組織を守るための必要スキルをすべて抽出する。次に組織内に配置する職種ごとに、組織を守るために必要なスキル項目の漏れがないように対応付ける。いくつかの教育コースや対応する資格を、職種とレベルごとに定義していくことにより、情報セキュリティ対策に対応した人材育成ロードマップができ上がる。

これを具体化したものが、筆者がリーダーとしてまとめた、NPO日本ネットワークセキュリティ協会(JNSA)による「2005年度 情報セキュリティ推奨教育の検討に関する調査報告書」である。

現在は、情報セキュリティ教育や資格は千差万別で、非常に増えてきている。選択の方法を間違えなければ有益で、かつ導入したセキュリティシステムを有効に働かせる人材の育成ができる。

資格取得は個人のスキル向上および保有スキルの棚卸しとしても有効だ。筆者自身、毎年2回実施される経済産業省の情報処理技術者試験はできるだけ受験することにしている。自分の足りないスキルや、次に学習すべき分野がよく分かり、成長の糧となっていく。ぜひ、チャレンジし続けたいものだ。情報セキュリティ対策部門や人材育成部門でも、組織発展のための人材への投資として教育や資格取得を奨励してほしい。

※1：BS7799
BSI（英国規格協会）によって規定される企業や団体向けの情報システムセキュリティ管理のためのガイドラインであり、特にセキュリティの運用管理に重点が置かれている点が特徴。現在はISO化され、ISO/IEC17799として発行されている。

※2：ISMS
ISMS（Information Security Management System）は、企業や組織が自身の情報に関するセキュリティを確保・維持するために、セキュリティポリシーと呼ばれるルールに基づいたセキュリティレベルの設定やリスクアセスメントの実施などを継続的に運用する枠組み。