企画/PM職から見るセキュリティの世界

この記事は RWPL Advent Calender 2025 の20日目の記事です。

明日はてぃーさんがなにか記事を書いてくれるようですきっと。

実力あるセキュリティ従事者に囲まれて大変恐縮です。

目次

はじめに

私は「セキュリティエンジニア」としてキャリアをスタートしましたが、本記事を読んでいる方が思い描くセキュリティエンジニアとは異なり、そのほとんどを自社向けのセキュリティ対策に関する企画/プロジェクトマネジメント職(以下PM)として過ごしています。

ただの学生だった私がセキュリティの企画やプロジェクトマネジメントに関わるようになって感じたことを、良い機会なので残しておきたいと思います。

本記事では、 企画 / PM視点でセキュリティの世界を見たときに感じたポイントを私の経験に基づいて整理してみます。

セキュリティエンジニアの特性とプロジェクト推進

ちゃんと計画を立てているはずなのに進まない...

関係者と話しているのに、決まらない...

誰も間違ったことを言っていないのに、前に進まない...

セキュリティ施策に関するプロジェクトをいくつも担当している中で何度もこの場面に遭遇しました。 これにはセキュリティエンジニアの特性が影響していると推測しています。

外的要因によってスケジュールが簡単に崩れていく

セキュリティ施策おいても、通常のPMのように普通にスケジュールを引いて管理します。

ただ、セキュリティエンジニアの特性上、途中で割り込みが入ることが珍しくありません。

例えば、緊急対応や調査依頼は、計画よりも優先されます。

こういった事象からプロジェクト以外の業務に圧迫され、スケジュール遅延が工数限界からいとも簡単に発生してしまいます。

推進しているうちに新たなセキュリティリスクが露呈する

セキュリティ施策がたとえ順調に進んでいても、その最中に起きる様々な事象によって、要件やゴールまでもが変わってしまうことが多々あります。

この場合、当初の予定から大きく変更されていったり、関係者が増えて意思疎通が取りづらくなったり、それぞれでゴールが異なったりと影響が多くあります。

そのため、その時々の状況を正確に掴みハンドリングしていくPMとしての能力を試されることになります。

定常業務による日頃からの圧迫

ここまでの内容でも変化の激しさを理解いただけたかと思いますが、実際にプロジェクトに参画していただくセキュリティの現場の人間は、定常業務がそもそも多く、常に工数の観点から余裕がないような状況が多いと感じています。

そのため、定例会を設定すること自体がそもそも難しく、設定できたとしても誰かが欠席している状態や、持ち帰っていただいた事項がスケジュール通り進まないなど、遅延してしまう事象が発生しがちです。

セキュリティのPMの役割とは

あくまで個人的な見解となりますが、このようなセキュリティ業界におけるPMにはいくつか必要な要素があると感じています。 一般的に定義されているPMの要素に加えて、追加で考慮が必要になることを考察してみようと思います。

技術より先に「聞く力」が必要である

セキュリティのPMを続けていると、どんなにこれまでの経験が乏しくてと、少しずつ技術的な話もわかるようになってきます。
そして、用語が理解でき、過去の事例も知っている状況になってきます。そうなると「自分で判断できそうだ」と感じる場面も増えてきます。

ただ、実はこの状態が一番危険だったように感じています。

セキュリティにおいて重要なのは、技術的に正しいかどうかだけではありません。

  • 現場として一番困ることは何か
  • どこまでなら受け入れられるのか
  • どのラインを超えるとインシデントに繋がるのか

こうした点は、資料や仕様書からは見えてこないことが多く、実際に関わっている人の話を聞いて初めてそれが露呈し、関係者で認識合わせをするまでは、正確に状況を把握することができません。

詳しくなればなるほど「詳細を聞かなくてもなんとなく分かる気がする」瞬間が増えますが、その状況のまま物事を進めるのは危険が潜んでいるので、実際には詳しくなるほど、慣れてきたからこそ、より丁寧に聞く必要があると感じています。

セキュリティに携わる翻訳者として動く

セキュリティの話は、そのままでは他部門に伝わりづらいことが多いです。

技術的な脆弱性やリスクの話も、
「それが事業やプロダクトにどう影響するのか」という文脈に落とさなければ、
意思決定の材料として扱ってもらえません。

そのため、セキュリティのPM職には
セキュリュティの現場担当者と事業・プロダクトの間を正確に繋ぐ役割が求められていると感じています。

ただし、単に言い換えるだけでは足りません。
論点を整理し、「今、何を決める必要があるのか」を明確にすることまで含めて、初めて意味のある翻訳になります。

完璧な説明ができなくても、完璧に理解ができていなくても、上記で述べたような聞く力を活かしながら、翻訳しようと試み続けること自体が、議論を前に進めると感じています。

部分的にわからなくても大筋があっていれば誰かが補足してくれますし、困ったら詳しい人に話題を投げかけてみるのも一種のテクニックだと思います。

とにかく噛み砕いて共通の言語・理解に翻訳し、正確に関係者間の認識を合わせることが重要だと感じています。

ROIの算出と見せ方

セキュリティ施策のROIを、きれいな数字で示すのは正直かなり難しいと思っています。

無理に数値化しようとすると、前提条件の妥当性や計算方法ばかりが論点になり、本来考えるべきリスクの話が後回しになる可能性があります。

しかし、ROIは経営陣が判断するための材料の一つとして必須の要件になります。

例えばリスクベース(損失見込み)の観点で見ると、

  • この施策をやらなかった場合、何が起きうるのか
  • どこまでリスク許容できるのか

といったようになりますし、実コストベースで見ると

  • ライセンス費用の変遷
  • 実機(IDSの筐体)の価格

がメインになります。 さらに、ここから業務効率化ベース(工数見込み)になると、

  • 運用工数の削減
  • 機器等のリプレイス工数削減

など、工数をコスト換算し、算出すること可能になります。

これらの内容を工夫し、いかに経営陣が判断できるような材料とできるか、いかに現実的なROIを作成できるか、セキュリティ施策のPMにとって悩ましい課題であり、手腕の見せ所になると考えます。

まとめ

セキュリティ施策のPMには特有の難しさがある

セキュリティの企画 / PMは、一般的なPMのやり方を活かせる部分は大いにありつつも、そのまま適用することは難しい分野だと感じています。

スケジュールは崩れやすく、関係者は多く、判断には常に不確実性が伴います。

ただ、それは個人のスキル不足というより、セキュリティという領域そのものの性質によるものだと思っています。

もし今、

なんだかやりづらい
想定していたより難しい
なかなかプロジェクトが進まない

と感じている方がいれば、それは決して珍しくないと思います。私も常に上記を感じながら、プロジェクトを進めています。

本記事はあくまで個人の見解になりますが、同じような立場で悩んでいる方の思考整理の一助になれば幸いです。

CODE BLUE 2023に学生スタッフとして参加しました

はじめに

11月8日(水)〜11月9日(木)の2日間に開催されたサイバーセキュリティの国際会議CODE BLUE 2023に学生スタッフとして参加しました。

codeblue.jp

学生スタッフとは

運営スタッフとしてCODE BLUEに参加することができます。それぞれに業務が与えられますが、ずっと仕事をしているわけではないので休憩中に講演や企業ブースを回ることができます。チケットを買わずに入場できることを考えるととてもお得ですね。

www.atpress.ne.jp

 

今年は30名程度の採用でした。応募は100人以上あったみたいなので倍率は3〜4倍程度だと思われます。

 

応募条件

大体6月ごろに募集が公開されるイメージです。応募条件は学生であれば誰でも申し込むことができます。ただし、22歳以下であれば学生でなくても申し込めます。今年は高校生から大学院生までかなり幅広い年齢層の方がいました。私はM2時点での参加なので本当に運が良かったと思います。

応募課題

今年度公開された応募課題を以下に示しておきます。字数制限はないのでもはや作文と言っても過言ではない。(私は2000字超ぐらいは書いたような…)

【望ましい経験／スキル（※Mustではありません）】

  • 勉強会運営、ゼミ運営、イベント運営・支援経験
  • 接客経験（アルバイトなど）
  • セキュリティに対する興味
  • 英会話スキル
  • <<重要>> 何よりもCODE BLUE を心から楽しめる方をお待ちしています！
  • 志望動機
    • CODE BLUE学生スタッフへの応募理由や採用となった場合の想いなどを記載してください。【望ましい経験／スキル】を踏まえて記載やハンドル名での活動実績もウェルカムです！

上記の内容からも分かるように、単純にスキルセット等ではなく、様々な側面から判断されて採用されるようです。(技術力に自信がなくてもなんとかなります多分)

業務内容

業務内容は多岐にわたります。今年は簡単に列挙すると

  • 受付
    一般参加者に参加賞を渡す業務や、スピーカーに記念品を渡す業務など。基本的には1日目の中盤まで忙しく、その後は割と業務が落ち着くため、他の業務の手伝いをしていました。
  • レシーバー配布
    同時翻訳レシーバーの配布や回収、消毒などをメインで行う業務。レシーバは持ち帰り厳禁のため、回収や消毒には他担当からもヘルプで参加していました。
  • 講演会場担当
    ドアキーパーやカンペ出し、マイク管理など講演会場における業務。講演中の仕事であるため、精神的に疲れる可能性もある(講演が英語だったり、会場が厳粛だったり)が、シフト中も講演を聞くことができます。
  • コンテストブース担当
    会場で行われるCTFなどに関して対応する業務。(時間なくて行けてないから全然どんなことしてたか覚えてない…)
  • スピーカーアテンド
    会場に来たスピーカーの案内や身の回りの世話などを担当します。スピーカーは外国人の方が多いため、基本的に英会話のスキルが要求されます。他の業務と異なり、学スタ内で公募があり立候補した人の中から選ばれます。私は英語が流暢ではないため、立候補しませんでしたが、可能であれば一番充実している業務だと思います。
  • 案内誘導
    参加者の方に対して、受付や講演場所、トイレなどの場所に誘導する業務。
    私はこの業務を担当しましたが、結構過酷でした(笑)
    基本的な業務としては会場の出入り口に配置され、初めて来場される方を受付に誘導、二度目以降はパスを持っているか確認、お帰りの際にはレシーバーをお持ちでないか確認していました。いわゆる「境界防御」ですね(笑)
    出入り口なので座る場所もなく、歩くこともあまりできないため、何よりも立ちっぱなしが辛かったです。(2日目は足つりました)
    今年は2名しか業務にアサインされず、めちゃくちゃ大変だったので来年以降はもうちょっと人増やしてくれるかなあと思います。
  • 企業ブース担当
    会場に設置される企業ブースの対応をする業務。基本的にブースの設置と片付け時に忙しいため、それ以外の時間は遊撃隊として他業務のヘルプに回ってくれていました(めちゃくちゃ助けられた)

※今年はNOCの公募はなかったようです

Day0

13:00に会場集合しました。

その後、学スタ同士の顔合わせと担当の確認業務などが行われました。今年は公募時には記載されていませんでしたが、交通費が全額負担されることになり、その手続きも行いました。(領収書は紙媒体で必要らしく、証明できない人が多発してました)

各自の業務を確認した後、余裕がある人はNOCの通信負荷試験に協力しました。高画質のYouTube動画を垂れ流し、pingを飛ばしながら会場を練り歩く集団が形成されて面白かったです。

夕方は学スタとスポンサー企業の方との懇親会を兼ねたキックオフ(交流会)が行われました。各企業の人事の方も連れてきており、リクルートも兼ねているんだろうなと感じました。
希望者はホテルを用意していただけるため、会場から徒歩10分圏内のホテルに宿泊しました。夜ご飯は自由だったので仲良くなった人たちと少しだけ飲みに行きました。(ほよたかさんご馳走様です。ほかの学スタみんな凄かった...)

Day1

1日目は7時集合でした。朝早すぎです。

何人かでホテルのロビーで待ち合わせして10分前ぐらいに会場到着しました。受付開始が8時からでしたが、早く到着される参加者の方がいるため、7:45頃には出入り口で仁王立ちして、参加者の誘導を行いました。

午前中は特に忙しく、ほぼ休憩が取れませんでしたが、だんだんと受付をされる方が減ってきたタイミングで交代制で休憩をとるようにしました。ただ、会場の出入りが講演合間などでかなり多かったため、受付誘導とレシーバの回収業務の影響でこの日まとまった休憩はほぼ取れませんでした。

少し取れた休憩では、自分の興味ある講演を聞いたり、企業ブースを周ったりしました。私は地方在住なので、普段会うことなんてできないような方たちとセキュリティの話ができたり、各企業がどんなことをやっているのか見聞を広めるいい機会でした。講演もエンドポイントセキュリティについてのものだけ聴講することができ、研究で横展開について触れたこともあったため、面白かったです。また、書籍を購入してサインと写真撮影をしていただいていたら、それが全世界に晒されたこともいい思い出です(笑)

夜はまた学スタ同士でご飯に行きました。お酒を飲まないと宣言して中華を食べに行きましたが、気づいたら飲んでました。

Day2

2日目は、1日目に会場が7時にしか開錠されなかったため、7:20集合でした。(朝の20分はまじででかい)

前日の足の疲れが取れず、かなり序盤から苦しかったです。出入り口なので、壁に寄りかかるのは印象悪く、椅子に座ることができない業務による疲労はすさまじかったです。ただ2日目は、受付業務の方など手の空いたスタッフがちょくちょく交代してくれたのでかなり助かりました。

そのため、この日は聞きたかった講演をいくつか聞けたので、とても満足できました。ただ、まとまった休憩時間はあまりとれず、疲れ切って休憩室で座っている時間も長かったので、会場で実施されていたGMO by イエラエさんのCTFには参加できませんでした。(遊びに行ったら終了直前だった。本欲しかった...)
他にも、スタッフしているサーバの人たちとエンカして楽しかったです。

業務終了後には、Networking Partyがありました。スピーカーやスポンサーの方がたくさんいて交流する機会だったので、他の学スタとガンガン話しかけてました。どの人も歓迎してくださるので怖がらずに積極的に話しかけに行けてよかったです。名刺は100枚程度持って行ったのですが、70枚ぐらいなくなりました。

さらにその後、スポンサー企業(pwc)主催のAfter Partyにも参加しました。今年の開催はV2 TOKYO - 六本木最大級のナイトクラブで行われました。初めてのクラブは大音量・大人数であんまり声聞こえなかったけど、たくさんの人たちに話しかけました。



最後に学スタ何人を誘って、ラーメンを食べてその日を締めました。

後泊させてもらえたので、次の日は10時ギリギリにチェックアウトして、仲良くなった人と溜池山王駅まで一緒に行って別れました。

終わりに

今年はCODE BLUEの学生スタッフとして参加しました。今年で学生は終わりなので来年は学生スタッフじゃなくて、何か違う形で参加できればなと思います。(どうにか会社のお金で...)
とにかく今年は参加できてよかったです！！！

来年以降の学スタ応募者へ

  • 興味あるならとりあえず申し込むべし
  • 英会話スキルがある人はスピーカーアテンド立候補した方が楽しそうでした
  • 足と英会話スキルが必要になりそうですね
    どこのポジションでもどっちも必要になりそうな気がします
  • 就活内定してない人とかはリクルートにつながりそうです