事前対策とは、情報資産に危害を与える可能性のある脅威情報を入手してセキュリティデバイスでブロックしたり、セキュリティ対策上の欠陥となる脆弱性情報を入手・判別して保守部門に「パッチを当ててほしい」と伝えたりと、攻撃を受けたとき実被害に遭わないようガードする作業のことです。
事後の対策は、「誰かが不審メールをクリックしてマルウェアに感染してしまった」というような場合に封じ込める作業です。別名「インシデント対応」とも呼ばれます。

実は、過去に勤務していたある企業で一度攻撃されてしまったことがあるんです。
社員のひとりが怪しいメールをクリックしてしまって、通信が発生。その通信からリモート操作されてサーバーへ侵入され、様々な情報を抜き取られてしまいました。しかも気づいたのが攻撃を仕掛けられた3ヶ月後で……。私たちだけでは対応しきれないほど被害が広がっていたため、数千万円かけて専門のセキュリティベンダーへ助力を請いました。私も2～3ヶ月ずっとその対応に追われ、徹夜仕事もあって、本当につらかったですね。

私もCISSPは難しそうな資格ですし、自分には縁がないと考えていました。ですが、T.K.さんが取得したことで背中を押され、挑戦してみることにしたんです。私が取得したのは2023年10月ですね。

日本人的な感覚だとダメなんだよね。アメリカらしい、効率的かつ合理的な考え方。たとえば、攻撃されたとしても価値が低いものにはお金をかけないんですよ。重要な情報さえ守れれば、あとは穴だらけでも構わない。ほかにも、「退職が決まった社員は、1～2週間強制的に休ませるのがセキュリティ上正しい」という問題もあって、本当に衝撃を受けましたね。
退職の決定した社員が会社にいると、アクセス権を剥奪しても他人のアカウントを使用してサーバーへ侵入する可能性がありますから、「まず出社させないのが一番安全」というロジックなんです。

情報処理安全確保支援士も、幅広い知識が求められる上マネジメント系の思考が必要になります。ですが、CISSPのような癖はありませんし、業務未経験でも受験可ですので、CISSPに比べてハードルが低いのではないでしょうか。資格取得を目指すのでしたら、はじめに情報処理安全確保支援士をとる。その上で物足りないようであれば、CISSPに向けて勉強する……という流れがよいのではないかと思います。
2024年4月からCISSPの試験体系が変更になり、マネジメント領域の割合が増加すると発表されていますし……。

そう考えると、やはり「経営者層は自社のリスクに目を向けて、セキュリティ対策をしっかり行う必要がある」という点が重視される風潮になってきているのかもしれないね。

ランサムウェアに感染してサーバーが使えなくなると、身代金の請求が来たりしますし、セキュリティが脆弱ですと相当なリスクです。
2022年、医療センターの電子カルテがランサムウェアによって暗号化され、2ヶ月以上外来診療や検査の停止を余儀なくされた事件もありました。こうしたリスクを経営者層に分かりやすく説明するのも、セキュリティ運用部門の役目です。
また経営者層だけでなく、各個人が普段からセキュリティに対する意識を持つのが重要だと思います。ネットに繋がることで、私たちは知らず知らずのうちに危険なサイバー空間に晒されているんです。たとえば、スマホに妙なアプリをインストールしたり、銀行のポータルサイトを装ったURLをクリックしてしまったり。それぞれが危機感を持ち、騙されないよう細心の注意を払わなければ、サイバー犯罪はなくならないのではないでしょうか。

CISSPを通じて身につけた思考力は、セキュリティ運用の様々な場面で活かされています。「今のやり方は本当に正しいのか」「自動化できないのか」など、普段何気なく行っている作業をもう一度ゼロベースで見つめ直す。そして違う方法でトライしたり、不要であれば取りやめたりする。このように、異なる視点で業務へ取り組めるようになりました。