私がかつてコンサルティング業務に従事し、自らキーボードをたたいてセキュリティ診断や評価をしていた時代には、報告書を一から作成しなければならなかった。なぜならセキュリティ診断で使用する脆弱（ぜいじゃく）性テストのテンプレートが存在していなかったからだ。しかし今では、脆弱性診断プロセスの標準化が進み、脆弱性の発生を防ぐテクニックも確立している。こうしたテンプレートをカタログ化しておいて、報告書作成作業に活用するのが望ましい。

　自動化技術は、脆弱性診断に関連する特定の手作業を減らすのに役立つケースもある。例えばWebアプリケーションのペネトレーションテスト（疑似攻撃で脆弱性を特定する診断手法）を実施する場合、診断プロセスの一環としてさらに3つか4つのアプリケーションを実行する作業が発生することがある。自動化ソフトウェアがあれば人間の代わりに複数のアプリケーションを実行することが可能で、ペネトレーションテスターは使用するツールの設定に気を配る必要がなくなる。自動化ソフトウェアは4つのアプリケーションの実行結果を集約し、結果の重複を排除するといった処理も任せられるので、ペネトレーションテスターはスプレッドシートに記録するといった手作業から解放される。

　この他にも、顧客の必要に応じて報告書を自動作成し、リアルタイムで通知するといった機能がある。これがあればテスターが顧客に重要事項を報告する際に、メールを作成して最終報告書を送付するといった作業はなくなる。

6. セキュリティ関連の仕事への関心を高める

　セキュリティ業界を見ると、悪いイメージがつきまとっているという印象を受ける。セキュリティ業界への就職を目指す人から「技術に関して超人的な知識を持っていなければならないのでは」といった心配の声を聞くこともある。マスメディアもこうしたステレオタイプの固定化を後押ししている面がある。

　私たちはこの業界で働くプロフェッショナルとして「あらゆる経歴を持つ人がセキュリティ分野で成功する可能性がある」というメッセージを広める責任がある。実際に私の同僚は「この職種で活躍している人材の特性は実にさまざまだ」と指摘している。特に自発的に仕事に取り組む人や、意欲の高い人は、優秀なチームメンバーになることが多い。

　一方、個人の資質として採用過程を通じてなかなか特定しにくいのは記憶力と好奇心だ。記憶力が高い人は、さまざまな情報から規則性や関連性を見いだすことに長（た）けている。そのため顧客向けコンサルティングチームの一員として、サイバー攻撃者の思考を再現したり、攻撃の傾向を特定したりするといった場面で能力を発揮できるはずだ。

　好奇心が旺盛な人は、多くの場合「ものごとの仕組みを解き明かしたい」という欲求を持っている。技術が日々複雑さを増し、ハッカーの攻撃対象が広がっている中、この特性はスキルとして生かせるだろう。技術の脆弱性は現実に存在している。放置されている脆弱性を発見し、対策に着手するきっかけを作るのは、たいていは好奇心に満ちた人だ。

燃え尽きを防ぐには業界を挙げた取り組みが必要

　大げさに聞こえるかもしれないが、セキュリティ専門家は世の中で最も素晴らしい職業だと私は考えている。だからこそ、こうした専門家たちが燃え尽きてしまうという、まさに現実にあるリスクを回避する必要がある。幸いなことに、適切な対策を講じれば燃え尽きの防止はできるはずだ。セキュリティ業界の深刻な人材不足にピリオドを打つために、この連載で紹介した6つの方法をどう実行するか、業界を挙げて具体策を考えていただきたい。