文：斉藤 健一（日本ハッカー協会 監事）
文筆を生業としている筆者。仕事柄、セキュリティ業界の方々を取材することも多く、時には彼らが業界に入った経緯を尋ねることもある。もちろん、志望動機やきっかけは人それぞれなのだが、返答にはいくつか共通の傾向が見られる。
1つは「社会やネットワークの安全を守りたい」という正義感に根ざしたものだ。他方、「自分が楽しいと思うことを追求し続けていたら、今の場所にいた」という答えも多い。
今回、登場いただく三村聡志さんは自身のことを後者のタイプだという。プロフィールを簡単に紹介すると、経産省などが主導して開催するセキュリティ・キャンプの卒業生であり、東京電機大学修士課程修了後、大手セキュリティ対策ソフトベンダーを経て、現在は高い技術力に定評があるイエラエセキュリティに在籍している。同時に、NICT（国立研究開発法人 情報通信研究機構）の専門研究技術員としても活動し、SECCON実行委員を務めるなど、コミュニティ運営にも積極的に携わっている。
●マルウェアの解析がきっかけでセキュリティ業界に
現在はセキュリティに専心している三村さんだが、学生時代からセキュリティ一辺倒というわけではなかったそうだ。とはいえ、伺った当時のエピソードからもハッカーらしさが感じられる。
学部生時代にはソフトウェアハウスでアルバイトをしており、コードを書いていた。PCのアプリケーションの設定を異なるPC間で同期するものだが、EXEファイルを静的に解析し、アプリケーションの設定がレジストリ上のどこに保存されているかを事前に調べて同期対象としたり、指定したDLL関数を強制的に注入して、本来とは異なる処理を実行する「DLLインジェクション」を駆使したりしていた。
セキュリティ業界に進もうと思ったのは大学院生時代、標的型マルウェアを解析していたときのことだった。三村さんは「そこに自分の知らないPCの動かし方が書かれていた」といい、強く心を惹かれたという。2014年～2015年のことだ。当時、日本企業をターゲットにしたサイバー攻撃が急増しており、政府はサイバーセキュリティ基本法を制定するなどして国をあげた対策に乗り出した。
だが、当時のセキュリティは「これをしてはならない」、あるいは「これをしなくてはならない」という禁止事項・制約事項をユーザーに強いることで成り立っていた。日頃から「人々の課題をソフトウェアで解決したい」と考えていた三村さんは、「インターネットの安全」こそが自分の進む道だと自覚したという。
●物事の仕組みを掘り下げることがスキルの糧となっている
「物事の仕組みを掘り下げるのが好き」。三村さんは自分の性分をこう語る。例えば、一般ユーザー向けなら「PCのUSBポートにケーブルを挿せばデバイスが使えるようになる」という一文の説明で済むところを、とことん掘り下げたくなるのだという。
「PCとUSBデバイスはどのように接続されているのか?」に始まり、「どのような通信プロトコルが使われているのか?」、「データ転送はどのように行われているのか?」、最終的に「0と1は電気的にどう通信しているのか」などなど。一度気になると、とことん追求しないと気が済まなくなるのだそうだ。三村さんにとって、こうした掘り下げの過程はとても楽しいものであると同時に知識やスキルの習得にもつながっているという。
現在、三村さんはイエラエセキュリティでIoT製品のセキュリティ診断などを担当しているが、掘り下げの過程で得たさまざまな知識が役立っているといい、「診断用フレームワークを超えた低レイヤーの部分まで扱えるのが自分の強みになっている」と語る。
●組織人として悩み、転職の道を選ぶ
エンジニアとして有能な三村さんだが、新卒で就職した大手セキュリティ対策ソフトベンダーでは悩みを抱えることとなった。ユーザーサポートに配属されて2年弱、仕事内容も徐々に責任あるものへと移行し、コールセンターから報告された事案を取りまとめる業務にあたっていたという。
三村さん自身、ユーザーサポートという業務の重要性は理解しているが、その一方で技術に触れられないもどかしさも感じていたという。そのような中、業務で開発部と意見交換をするうちに、三村さんも解析作業に協力するようになった。本来、データなどの解析は開発部の業務であるため、組織の了解を得た上ではじめたことだった。しかし、実際に作業をはじめてみると社内からネガティブな意見も聞かれるようになり、三村さんは悩み転職を考えるようになったという。
三村さんは当時を振り返り「社会人として何もしていないうちから転職してもよいのか悩んだ。会社を辞めたら路頭に迷うのではないかと不安になった」と語る。しかし、それ以上に「技術に触れられないことからくる焦りが自分を苛んだ」と転職を決意、セキュリティ・コミュニティの知り合いを通じて現職に就く。「万人にお勧めできるやり方ではない」とする一方、「実際に転職してみると、当初の不安は単なる杞憂だった」とも話してくれた。
技術に秀でたハッカーを組織が雇い入れることの難しさは以前から議論されている。仕事に対して独自のやりがいを持つ彼らは、職務の枠組みからはみ出してしまうことも多い。一方、優秀なIT人材の確保は、DXを推進する組織や企業にとって重要な課題の1つである。国内の一部大企業では、米国との比較などからITエンジニアの給与面の改善が図られているという。しかし、人材を確保したいのであれば「環境や仕事のやりがい」についても考慮すべきではないだろうか。