米自動車メーカーFord MotorのITセキュリティマネジャーであるビル・トラスター氏は、「セキュリティのプロフェッショナルは、セキュリティ認定資格の取得に自制的かつ選択的な態度を示すことが重要だ」と話す。認定資格にカリキュラムの重複が多いことが、その理由の1つだ。事実、実務者向けのCISSPと会計士向けのCISAは基本的に同じ教材を使っている。

　「特定の情報セキュリティのキャリアパスに合致し、論理的に意味があり、自己のセキュリティキャリアと方向性が一致する資格を選択することが重要だ」。こう語るのは、米コンサルティングサービスのSapientでCISO（最高情報セキュリティ責任者）を務めるカート・ダルトン氏である。こうした意見に、米コネチカット大学情報セキュリティディレクターのトーマス・マーフィー氏も同意し、「さまざまな分野にまたがる認定資格で埋め尽くされた履歴書には慎重になる」と語る。候補者の専門分野がはっきりせず、キャリアパスが混乱しているように見えてしまうからだ。

企業は資格よりも経験を重視？

　求職者たちは、自分の実績や実務経験などを強調する前に、取得した全ての資格を履歴書の1ページ目にリストアップしがちだ。米国の技術プロバイダーであるNuance CommunicationsのCISOであるスタン・ブラック氏は、「優れたセキュリティ専門家は、幾つかの認定資格を持っているだろう。だが本当に素晴らしいセキュリティ専門家は、多次元的な能力を備え、ITとオペレーション分野にまたがる広い経験を持つ。他のIT分野でキャリアを積んだ後にセキュリティとコンプライアンスの両方を任されることも多い」と語る。

　企業システムとデータを守る人々と悪質なハッカーとの戦いは激しさを増す。こうした中、クラウド専門ベンダーである米CovisintのCISO、デーブ・ミラー氏は、「テクノロジーは急速に変化しつつある。認定資格などよりも、実践的な経験や技術的専門性の方がはるかに重要だ」と主張する。同社のビジネス基盤であるクラウドサービスには、教室や本などでは学べない、セキュリティの高度な技術的アプローチが求められるという。

　ITセキュリティ専門家たちは長年、認定資格こそが自分たちのセキュリティキャリアを証明してくれると考えてきた。結局のところ、リクルーターは候補者の保有資格に応じて人選している事実を無視できないからだ。だが米ノースカロライナ州の保健社会福祉省で情報セキュリティアーキテクトを務めるジム・マーフィー氏は、「認定資格で人材を探すのは危険だ。リクルーターはさまざまな認定資格の違いを認識しておらず、その結果、有能な人材を取り逃がしている」と指摘する。

資格と経験のバランスが重要

　米ロサンゼルスにある教育コミュニティー、Stephen S. Wise Temple and SchoolsのCISOであるデビッド・ラム氏は、「実務経験と認定資格のバランスが重要だ」と感じている。「セキュリティのプロたちは、昇進に最も効果的な認定資格は何かを慎重に検討しなければならない。認定資格を選ぶときは、それぞれの価値も要素も考慮に入れる必要がある。例えば、業界内での認知度、認定更新の要件、実際のスキルとの関連性、市場の需要などだ」（ラム氏）

　米ジョージア州立大学のCISOであるタミー・クラーク氏は、「長期間同じ仕事に就いている人は、何らかの形で自分の知識と経験を広げる必要がある。認定資格を取得することは、その1つの方法だ」と語る。同氏は、「自己の経験を認定資格とトレーニングで磨くことは、それが仕事に大きな価値をもたらしていれば、常にスキルを向上させていることをアピールする材料になる。これは、雇用者側から見ても価値がある」と続ける。

　後編は、最も有用なセキュリティ認定資格、業種業態によるセキュリティ認定資格に対する要求の違いなどを解説する。