ペネトレーションテストの最前線｜攻撃と防御を融合させるペンテスター2人に聞く｜ブログ

高度セキュリティ資格をこれまでに多数取得。数字の裏にあるのは、“学び続ける”文化と、それがそのままサービスの進化に直結する好循環でした。

サイバー攻撃が高度化・巧妙化を続けるなか、多くの企業は多層防御に取り組み、さまざまなセキュリティソリューションを導入しています。しかし、対策を積み重ねるほどに、こんな疑問が浮かび上がります。「果たして、これらのソリューションは本当に有効に機能しているのか」。そして、「万一それでも侵害を受けた場合、どの程度の被害が生じるのか」――。

こうした問いに、想像や理論ではなく“事実”で答える手段が、ペネトレーションテストやレッドチーム演習です。サイバー攻撃者と同じ視点で擬似的に攻撃を仕掛け、システムのどこに、どのようなリスクが潜んでいるのか、そして侵入を許した場合にどこまで被害が及びうるのか、さらには侵入を適切に検知し対処できるのかを、実際に検証します。

ただし、その診断を成立させるには、攻撃手法はもちろん、SOCをはじめとする“守る側”の知識、そしてITシステムや基盤への深い理解が欠かせません。加えて、技術の進化とともにシステム環境は複雑化し、クラウドまで含めた、より高度で最新の知見が求められています。オンプレミスを前提とした知識だけでは、もはや十分とは言えないのです。

NRIセキュアのコンサルタントは、このニーズに応えるべく、日々の実務で知見を積み重ねると同時に、高難易度のセキュリティ資格に挑み続け、自己研鑽を欠かしません。自らの成長が業務に生き、その経験を糧にさらに実力を高めていく――。今回は、そんな好循環を体現する2人に話を聞きました。これまでに多数の資格を取得してきている河合将隆と、粘り強く深い専門性を掘り下げる岡山あん。異なる強みを持つ2人が、どのように成長し、それをどのように高品質なペネトレーションテストサービスへとつなげているのかに迫ります。

河合将隆（かわいまさたか）
2021年に野村総合研究所へ入社後、NRIセキュアテクノロジーズへ出向。セキュリティ診断業務を経て、現在はペネトレーションテスト関連業務に従事。レッドチーム及びクラウドセキュリティを中心に技術研鑽を続けており、OffSec認定資格（OSEE、OSCE³、OSCP等）をはじめ、Zero-Point Security認定資格（CRTL等）、Altered Security認定資格（CRTE、CARTE等）、HackTricks認定資格（CRTE等）を保有。Japan All AWS Certifications Engineer。
岡山あん（おかやまあん）
2023年に野村総合研究所へ入社後、NRIセキュアテクノロジーズへ出向。セキュリティ診断業務、ペネトレーションテストをはじめ、CSIRT体制支援関連業務、脆弱性情報分析等の業務に従事。レッドチーム、ブルーチーム、OSINT関連技術の研鑽を続けており、OffSec認定資格（OSEP、OSCP、OSIR等）、AWS・Azure関連資格、SANSなどの各種認定資格を保有。

第1章　2人のプロフェッショナル ―― 出会いと、いまの仕事

fig-5622 シニアセキュリティコンサルタント河合将隆

Q：まずは、お二人の自己紹介をお願いします。

河合：私がセキュリティの面白さを知ったのは、大学生のときに「セキュリティ・キャンプ全国大会」などに参加したことがきっかけでした。情報工学、特にセキュリティ分野は、学んだことを直接生かしやすく、自分にとって理解しやすいことが魅力でした。大学院でも研究を続け、その延長線上に今の仕事があります。

岡山：私がセキュリティに関心を抱いたのは高校生のときです。最初は人の目に見えない「ウイルス」にロマンを感じ、コンピュータウイルスだけでなく、病原体としてのウイルスにも心を惹かれました。中でもコンピュータウイルスは人の手で作られたものであり、必ずロジックが存在する。だからこそ人間にも読み解けるはずだと感じ、この分野に足を踏み入れました。大学ではコンピュータウイルスの研究に取り組む傍ら、レッドチーム関連の大会にも出場して知見を深め、その流れでセキュリティ業界を志し、2023年に新卒で入社しました。

Q：普段は、どのような業務に携わっているのでしょうか？

河合：私はペネトレーションテスト（ペンテスト）関連の業務を担当しています。一般的なOA環境だけでなく、クラウド環境や基幹システムなどを対象としたペンテスト、さらに“守る側”であるブルーチームの評価まで含めたTLPT/レッドチームオペレーションに至るまで、幅広いサービスに関わっています。テストの実務に加えて、ペンテストサービスの品質を担保し、新たな環境にも対応できるよう、サービス整備・改善にも力を入れています。

岡山：私もペンテストを中心に、脆弱性診断を実施したり、お客様のCSIRT運営の支援を実施したりしています。お客様と直接接する機会が多いため、「最近、こんなことで困っている」「こんな脆弱性が出たが、どう対応すればいいか、専門家としての見解を聞かせて欲しい」といった生の声を伺いながら、NRIセキュアにてできる支援を考え、お客様に相対しています。その際は理想論だけでなくお客様の背景事情を踏まえた提案をするよう心がけています。

第2章　ペネトレーションテストの最前線で、いま起きていること

fig-5672 シニアセキュリティコンサルタント　岡山あん

システムのクラウド化が加速するなかで、ペンテストの“見るべき観点”も大きく変わりつつあります。現場に立つ2人は、その変化をどう捉えているのでしょうか。

Q：ペンテストやお客様との対話を通じて、最近はどのような課題が浮上していると感じますか？

河合：一つは、お客様のシステム構成の変化です。かつてオンプレミス環境ではActive Directoryが中心にありましたが、Microsoft Entra IDとの連携や移行が進み、中にはActive Directoryが存在しない環境も出てきました。これに伴い、検証すべき観点もまた変化しています。クラウド環境で特に留意しなければならないのが、ユーザに割り当てられた「権限」です。この権限によって、クラウド上で何ができるかが決まります。そのためお客様からも、「一般従業員がクラウドを悪用できないか調べてほしい」といったご依頼をよくいただきます。

岡山：一方で、ゼロトラストの観点からクラウドへ急速に移行されたお客様もいらっしゃいます。ただ、クラウドはオンプレミスに比べるとまだ歴史が浅く、ナレッジやノウハウが十分に蓄積されていません。ルールの整備が追いつかず、そこがセキュリティ上の弱点につながってしまう場合もあるように感じます。

河合：そうですね。クラウド活用の拡大に伴い、今後は検証すべきリスクがさらに増える可能性があります。

岡山：もう一つ、よくご相談をいただくのがフロンティアAIに関する話題です。「この先、脆弱性が大量に公表された場合、どう備えるべきか」といったご相談を伺うことが増えています。

河合：私自身は、まだ防御側が有利な立場にあると考えています。AIによって、より多くの脆弱性を発見できるようにはなるでしょう。ただ、それがコストに見合っているかというと、現時点では必ずしもそうとは言えませんし、適切な監視・検知体制を整備することで、攻撃を防ぐことができる可能性は高まります。

先日も、ペンテストの一環でWindowsのゼロデイ脆弱性を用いた権限昇格攻撃を実施しました。このケースではEDRによって攻撃を検知できました。このように、AIによって攻撃手法が高度化した場合でも、適切な予防・検知・対応策を組み合わせることで、リスクの低減は可能だと考えています。

一方、適切な予防・検知・対応策が行われていないシステムでは、リスクが高まりますが、攻撃者が現実に取り得る手口を再現することで、防御側の対策だけでは気づきにくいリスクを可視化できるのが、実践的なペンテストの価値だと考えています。

第3章　資格取得の裏側 ―― “学び続ける”を支えるもの

fig-5695

Q：お二人は、セキュリティに関連する様々な資格を取得されてきたそうですね。

河合：私はAWSの資格をコンプリートしているほか、GCPやAzureも含め、クラウドペンテストに関する複数領域にわたる資格を取得してきました。同じAzure関連のペンテスト資格でも、一方はAzure Resource、もう一方はEntra IDに特化しているなど、それぞれ切り口が異なるため、新たな観点を得られます。もちろん、OSCPをはじめとするオフェンシブセキュリティ関連の資格や、防御側・ブルーチームの知識が問われるスレットハンティング・SOCに関する資格も保有しています。現在は、AIレッドチーミングやWindows/Linuxカーネルに関する資格を勉強中です。

岡山：私も、河合さんに比べると数は少ないのですが、OSCPをはじめオフェンシブセキュリティの資格を複数取得しています。また異なる目線からオフェンシブセキュリティへの理解を深めるためにも、ブルーチーム側の資格やAzureやAWS等のクラウドに関連する資格も複数取得しています。

Q：なぜ、これほど多くの資格に挑戦しているのでしょうか？

河合：先ほどお話ししたように、今はお客様の環境が多様化・複雑化しています。レガシーもあればクラウドもある――そうしたさまざまな構成を対象にペンテストを行い、適切に評価するには、付随する知識が不可欠です。「クラウド環境をテストするなら、各パブリッククラウドの関連資格で体系的に知識を身に付けないと」「レッドチームオペレーションをするなら、ブルーチームのことも知らないと」。そうやって学び続けた結果が、この数に繋がっています。研修や受験料に対する会社の支援もあり、挑戦しやすい環境だと感じています。基本的には、自分が興味を持てるものや業務に関連するものに挑戦しています。また、外部の勉強会で名刺交換をし、自分の知らない資格を持つ方に出会えば、「それはどんな資格ですか？」と尋ね、挑戦することもあります。

岡山：私も河合さんと同じで、まず知的好奇心をくすぐられること、そしてお客様の期待に応えるために資格を取得してきました。お客様側でもセキュリティに詳しい方が少しずつ増えるなか、NRIセキュアに相談したいと思ってもらえる人材であるために、学習は不可欠だと考えています。

資格は取得すること自体が目的ではなく、あくまで結果です。　― 岡山

Q：なぜ、これほど多くの資格に挑戦しているのでしょうか？

河合：いいえ、最初からこのペースで取得できていたわけではありません。OSCPも初めはかなり苦労し、“三度目の正直”で取得するなど、うまくいかない時期もありました。少しずつ積み重ね、ベースとなる知識を増やしてきた結果、効率よく取得できるようになった、というのが正確なところです。最近は、生成AIを活用してナレッジの整理を行うことで、さらに効率が上がっています。

岡山：私は、テキストをさらっと読めば受かるタイプではないので、ある程度は時間をかけて勉強します。その際に意識しているのは、テキストで学んだ内容を、できるだけ「自分ごと」に引き寄せることです。「これはお客様の環境でも使っていたな」「ここが使いやすいから、私はこのツールが好きだな」――そんな感想ベースでもいいので自分ごとにして、理解度を深めるようにしています。自分の中で解釈し直すことで、業務に生かせる知識になっていると思います。

Q：とはいえ、業務と両立させながら学習時間を捻出するのは、大変ではないでしょうか？

河合：実は、勉強を大変だと思うことはあまりありません。セキュリティが好きで、どんどん情報を仕入れること自体が楽しいですし、お客様に価値あるサービスを提供し続けるためにも必要なことだと考えています。お客様にサービスとして提供する以上、深く理解しておかなければならないという責任感もあります。

岡山：私はそれほど体力がある方ではないので、「無理せず頑張る」をモットーにしています。そもそも、資格は取得すること自体が目的ではなく、あくまで結果です。無理に詰め込んでも、すぐに忘れてしまう。今後もお客様にサービスを提供する立場として長く学び続けられるように、楽しみながら技術を学び、結果として資格が取れたらいい――そんな姿勢で向き合っています。

Q：資格試験に失敗することもある、というお話がありました。そんなときは、どうしているのですか？

岡山：NRIセキュアの社内には、さまざまな分野のプロがいます。そのため理解を深める過程で気になる点が出た際は、他部署の先輩方とも会話することで自分の解釈を持ち、理解度を深めています。実際社内では多様なテーマで勉強会も開かれており、刺激を受けてきました。また技術的な知識だけでなく、そこで生まれるディスカッションを通じて、「実はこのツールには、こんな隠れたオプションがあって、こういう場面で有効に使える」といった“生きた知識”を得られる。これはとても価値が高いと感じています。

河合：私はどちらかというと、外部のコミュニティに積極的に参加するタイプです。Hardening Projectなど、気になる勉強会やイベントがあれば足を運び、知識を仕入れたり、モチベーションを保ったりしています。スキルアップの機会としてはCTFもありますが、体系的・網羅的に知識を身に付けるには、やはり資格取得が効果的で、私の学習スタイルにもあっていると感じています。

第4章　知識が“顧客価値”に変わる瞬間

Q：これだけ多くの、そして深い知識が求められる資格を取得したことで、実際に業務で役立ったと実感した場面はありますか？

河合：レッドチームオペレーションでは、攻撃者の視点でブルーチーム側の対応体制を評価します。ブルーチーム系の資格を通じて理解を深めておくことで、「ブルーチームとして、どこまで対応できているべきか」という基準が見え、より的確に評価できるようになります。逆に、ブルーチーム側を知ることで、レッドチームとして仕掛けるべき攻撃テクニックを変えることもあります。

また、私はペンテストの実務に加えてサービス整備も担っています。これまで資格取得を通して得た知識と、実際の業務の中でのブラッシュアップを重ねながら、100種類を超える手順を整理し、社内への共有を通してペンテストサービスの整備/改善を行っています。例えば、AWS、Google Cloud（Google Workspace含む）、Azure（Entra ID, M365含む）に加え、基幹システムに対するペンテストを高い品質で行うために、IBM z/OSやIBM AIXを対象とした手順も整備しています。実際のペンテスト案件では、毎回新たな気付きや知見が得られます。それらを手順やサービスに反映し続けることで、常に品質向上につなげています。印象的だった案件の一つに、脅威インテリジェンスを活用した先進的な防御の仕組みを評価してほしいというご依頼がありました。この時も、普段から幅広く蓄積してきた知識を生かしてご要望にお応えすることができました。

岡山：私の場合も、ペンテストや脆弱性診断といった日々の業務や新規ご提案の際に直接役立つのはもちろんですが、その後のお客様との対話にも生きています。報告会でディスカッションしていると、診断した領域に限らず、「最近システムの更改を検討している」「このサービスの導入を検討している」といった本音がぽろっと出てくることがあります。その際多様な分野の資格を通じて得た深い知識をもとにお答えすることで、さらに強固な信頼関係を結ぶきっかけになったこともあります。サービスの枠にとらわれないそういったお客様とのディスカッションは、お客様により良い価値を提供することにつながっていると感じます。

ブルーチーム側を知ることで、レッドチームとして仕掛けるべき攻撃テクニックを変えることもあります。　― 河合

河合：実業務以外でも、「あの人も取っているから、自分も取ろう」と刺激を受け、お互いに教え合いながらスキルを高められる環境になっていますよね。私自身も周囲から刺激を受けていますし、今後さらにペンテストや資格取得に打ち込むメンバーが増えてくれるとうれしいです。

第5章　これからのキャリアと、次世代へのメッセージ

Q：今後は、どのように自分を磨き、キャリアを築いていきたいと考えていますか？

河合：今はペンテスト関連の業務が中心ですが、そこだけにとらわれず、時代やお客様のニーズに合わせて柔軟に対応していきたいと考えています。ブルーチーム評価が求められるなら関連資格を取り、AI時代ならではの新たな要望があればそれに応える。そうやって、誠実にサービスを提供し続けたいですね。資格に限って言えば、現時点で90種類まで達しているので、まずは100資格を目指したいと思っています。

岡山：私は今お客様とお話しする時間が長い業務が中心ですが、AI時代になってもディスカッション力は重要だと思っているので、今後もその強みを伸ばしていきたいと考えています。そのうえでレッドチームやブルーチーム側以外にも新たな分野を学びながら、お客様の中に芽生えるセキュリティの“悩みの種”を拾い上げ、応えられる存在になっていきたいです。

Q：これまでの話にも出てきたAIの発展によって、ペンテストやコンサルタントの業務が変わる可能性はありますか？

河合：AIである程度自動化できる部分はあるので、実際に手を動かす作業自体は減っていくでしょう。ただ、その場合でもAIを「見張る人」は必要です。脆弱性スキャナがあっても、その結果を適切に判断する人が求められるのと同じで、AIによるペンテストが広がれば、その結果を判断し、危険なことをしていないか監督し、関与していく人が必ず求められます。そうした役割を果たすうえでも、私たちが積み重ねてきた資格や知識は役立つと考えています。

Q：最後に、セキュリティ業界を志す学生や若手エンジニアへ、エールをお願いします。

河合：今後、AIの進化や世界情勢の影響で、就職活動が厳しくなるという予測もあります。セキュリティ業界でも、先ほどお話ししたように、AIによって診断やテスト作業自体は自動化されていくでしょう。そんな中で問われるのは、AIが出した結果をきちんと判断できるだけの知識です。ぜひ継続的に学び、スキルを高め、“AIを制御できる側”の立場になっていただきたいと思います。

岡山：若い世代の方々は、学生の頃からAIが身近にあり、当たり前のように使いこなしている世代だと思います。私たち自身も、皆さんのAIとの向き合い方から学びながら、ともに成長していければうれしいです。

まとめ ―― 学びが、そのままサービスの進化になる

2人の話から浮かび上がるのは、「学び続けること」が個人の成長にとどまらず、そのままサービスの進化に直結している、という事実です。攻撃と防御、双方の知見を一人ひとりが融合させながら蓄積し、それをサービスという“組織の知”へと変えて還流させていく。この絶え間ないアップデートの循環こそが、NRIセキュアの高度なペネトレーションテストサービスを支えています。

そして、それを可能にしているのが、資格取得や学習を後押しし、若手が臆せず挑戦・相談できるカルチャーです。個人の探究心が、チームの実力に、そしてお客様への提供価値へとつながっていく――。NRIセキュアのペネトレーションテストサービスは、その好循環をこれからも回し続けます。

＜お問い合わせ・関連リンク＞

ペネトレーションテストの最前線｜攻撃と防御を融合させるペンテスター2人に聞く