「ポートフォリオ」という言葉は、転職活動を始めた方であれば1度は聞いたことがあるかと思います。
主にクリエイター職で注目されていますが、IT業界の転職全般にもその流れが広がりつつあります。
セキュリティエンジニアもその例にもれず、転職エージェントを利用する場合はエージェントからポートフォリオについて質問をされると思います。
しかし、セキュリティ業界に関係するポートフォリオを提示しろと言われても、何があるのかパッとは思いつきませんよね？
そこで、実際にセキュリティ業界への転職時に有効になるポートフォリオについていくつか考えてみました。
業務経験や資格以外でアピールできる武器になる上に、いつでも誰でも始められるのでぜひ取り組んでみてください！
ポートフォリオでおすすめできる取り組み4選
ポートフォリオを簡単にいってしまえば、「自身が作成した作品集」のことを指します。
デザイン系やWEB開発系のエンジニアであれば、自身が作ったサイトなどをポートフォリオとして会社に提示することが多いようです。
プログラマであれば、GitHubに登録したソースコードもポートフォリオになります。
これらを見ていただくとわかりますが、ポートフォリオの目的はその業界内で「自分は十分活躍できる力を持ってますよ」といったことをアピールすることです。
では、セキュリティエンジニアはどうなのかというと…実はポートフォリオとして活用できそうなものが色々あります。
セキュリティ関連も様々なイベントや活動があり、実際に参加するところまではいかなくても、知っておいた方がいいのでぜひ目を通してみてください。
CTFに取り組む
近年、国内でも盛り上がっているのがCTFというイベントです。
特に国内最大のCTF(SECCON)では、様々な企業がスポンサーになっており企業としてもCTFを通じて優秀なセキュリティ人材を探していたりします。
そもそもCTFとはCapture The Flagの略で、セキュリティに関する技術を競うお祭りです。
競技には以下の2種類があります。
- Jeopardy … クイズのようなものを答えたりする形式
- Attack-Defense … チーム戦のような形でお互いのサーバに対し攻撃し合う形式
初めての参加であれば、まずクイズ形式(Jeopardy)のイベントから参加することをおすすめします。
主にセキュリティに関する幅広いジャンルから出題され、自分の得意なもの・気になるものからやってみるのが良いです。
問題毎に難易度のようなものはありますが、解く順番などは特にありません。好きなもの、できそうなものから取り組んでみましょう！
また、CTFで解いた問題はブログなどで発表することが推奨されてます。
そのような記事はwriteup記事と呼ばれています。
しかし、CTFはレベルが高い問題が多く挫折してしまう人が多いのが現状です。
そういったことがあるからか、最近初心者向けのCTFもいくつか開催されています。
まずは初心者向けなど敷居が低いところからはじめてみるのがおすすめです！
国内CTFでおすすめは「seccon for beginners」！
ほぼ毎年5月頃に開催されています。
こうしたリアルタイムに解くタイプのCTFは開催時期に合わせる必要がある、時間制限もあったりとなかなか思うようにいかないこともあると思います。
「自分のペースで解きたい！」
「もう少しCTFの練習を積んでみたい！」
という方は、いつでも参加できるタイプの常設CTFに取り組んだ方がいいかもしれません。
常設CTFは、CTF未経験者であればまず最初に取り組んでみるといい、と言われているものだったりします。
CTFってどんなものかを今すぐにでも味わってみたい方にはおすすめです！
常設CTFおすすめは「ksnctf」！
問題が古く動かないものもありますが、比較的優しめです。
また、解き方がわからなくてもすでにWriteupを書いている方もいるため、挫折しにくいです。
同じく初心者向けの常設CTFとして「CpawCTF」が有名ですが、私はまだチャレンジしたことがないので機会があれば取り組んでみたいと思っています！
CVEを取得する
皆さんは「CVEを報告しました」とか「CVE持ってます」といったやりとりをみたり、あるいは聞いたりしたことありませんか？
個人が報告する場合もあれば、セキュリティベンダーが報告した内容について会社のHPに掲載する場合もあります。
CVEを簡単に説明すると、製品に内在する脆弱性を表す識別子のことを指します。
例えば「●●社の△△という製品に、◇◇という脆弱性がありますよ」といった内容をIPAなどに報告し、認められた際に発行されます。
CVEは資格ではありませんが、第三者に評価され公表されるものなので実績として報告することができます。
CVEを持っている時点で、少なくとも次のことをアピールできます。
- 脆弱性に関する知識と、それを見つけられる技術
- 脆弱性を悪用せず、公的機関に報告するなどセキュリティ業界に必要な倫理観を持っている
- セキュリティに関係する勉強への意欲がある
わかりやすい実績なので、下手に資格を持っていることよりも評価されるかもしれません。
この紹介をみて「CVEをとるのって大変でしょ？」という疑問を持つ方もいるかと思います。
確かに、CVEを取得することは簡単なことではありません。
ただ、CVEが取れなければ無駄、ということは決してありません。そこまでに得た経験・知識は後で生きる可能性は十分あります。
「どんなのがあるのか知らない…」という場合は、JNVの脆弱性レポートやSecurity Nextなどのニュースを追いかけてみましょう。
「どこから取り掛かればいいの？」という人は、公開された脆弱性を再現できるか手元で試してみるところから始めてみるのがおすすめです。
まずは、ブログなどで紹介しているもので簡単そうなものを見つけて、手を動かして再現してみるといいと思います。
CVEと似たような感じで脆弱性を報告する「バグバウンティプログラム」というものがあります。
こちらはある程度腕に自信がある人が参加するものなので、初心者の方にはあまりおすすめできません。
ただ、興味があれば参加してみるといい刺激がもらえるかもしれません。
勉強会に参加して発表する
有志によるセキュリティ関連の勉強会は、connpassなどでいくつか開催されています。
ハードルが高めのものもありますが、初心者向きの勉強会も開催されています。
勉強会のデメリットとして、開催されている場所によっては参加が難しいことがあげられます。
しかし、今はオンラインでの開催をする場合も多いため住んでいる地域などに関係なく参加しやすい状況となっています。
また、セキュリティ勉強会だからといってセキュリティ知識がある程度ないとダメということはありません。
むしろ、セキュリティ業界に関心を持っている人や学生などに向けて開催されているものもあります。
セキュリティへの興味、関心があれば、いくつかの勉強会に参加をしてみることをおすすめします。
カメラで顔を写す必要がないものも多いので、そういった意味でも参加しやすい環境が整っているのかもしれません。
ちなみに、未経験者向けや初心者向けの勉強会であれば、意欲次第で発表者側になれる可能性も十分あります。
本業はセキュリティと関係ないけど、趣味でセキュリティについて調べている人も多いため「業界の人ではないので…」と謙遜する必要もありません。
そうしたところで発表した資料などをSlideShareやGitHubなどでインターネット上に公開すれば、それがそのままポートフォリオとしても有効活用できます。
チャレンジした分だけ積み重ねになるので、ぜひ検討してみてください！
間違ったこといってるかも…と不安に思うことがあるのならなおさら公開してみましょう！
一人では答えに辿りつけなくても、勉強会のような場で公開することによって知識を持った方が指摘してくれるかもしれません。
ブログを始める
こちらは、今まで紹介したものに比べると始めるまでの敷居が低く無駄になる要素もないため、一番おすすめできる方法です。
前から「エンジニアたるもの、情報発信するべき！」との声もあり、まして情報が少ないセキュリティ関連の記事であればなおさら貴重です。
ブログも今は無料で品質の高いものがいくつもあるので、どれから初めても問題はありません。
その中であえておすすめを上げるとするなら、Hatena BlogやQiitaから始めてみると良いかと思います。
ブログの内容も基本的にはなんでもいい…のですが、「なんでもいい」といわれると逆に何をしたらいいのかわかりませんよね。
ここではおすすめするテーマをいくつか列挙してみました。何をしたらいいのか迷ってる方は、興味があるものから始めてみてください。
- 公開されたCVE検証記事(環境構築と実際に動かすところまでを紹介)
- セキュリティ関連の技術書を参考にした、検証記事(例：XSSの脆弱性があるアプリを実装して検証してみた、など)
- やられアプリの攻略記事(例：OWASP BWAの●●アプリを攻略してみた、など)
- CTFのwriteup記事
- ハニーポットの検証記事、攻撃のトレンド記事
- ログ解析で学習したことのアウトプット記事(例：Splunkを構築して使ってみた、など)
- セキュリティ関連資格取得に関する紹介記事
パッと思いつく限りでもこれぐらいあります。
ちなみに、ここで紹介したようなことは既に他の方が公開されていたりしますが、あまりそこは気にしてくていいです。
人によってやり方や環境が異なり、紹介の仕方なども個性が出るためかぶることはあまりないからです。
そもそもセキュリティ業界でどういった分野があるのかよくわからない…という方は、以下の記事でセキュリティ業界における役割などについて紹介してますので、参考にしてみてください。
また、あくまで目的がポートフォリオとして有効活用するということなので、他のブログ内容と被っているかどうかはあまり問題ではありません。
気に入ったテーマがあれば、ブログを開設してぜひ始めてみてください！
これからレンタルサーバを始めるなら、ConoHa WING
がおすすめです！
UIが使いやすく、月額費用も安いため最初の運用に最適です。
まとめ
今回は、昨今の就職時における流行りであるポートフォリオについて考えてみました。
私自身、セキュリティエンジニアの転職に関するポートフォリオはあまり聞いたことがなかったりします。
それは逆にいうと、就職活動を前提としたポートフォリオを意識してコツコツ作り込んで行けば転職時に有利に進められる可能性があるということです。
ポートフォリオは、業務経験や資格以外でアピールできる貴重な資料になるのでぜひ取り組んでみてください。
コメント