ラベル CISSP の投稿を表示しています。 すべての投稿を表示
ラベル CISSP の投稿を表示しています。 すべての投稿を表示

2019年11月4日月曜日

認証と認可

2019年11月4日作成
認証と認可・・・、いつも混乱するので整理しておこうと思います。

  • 認証(Authentication)は、本人であることを確認すること
  • 認可(Authorization)は、アクセスや操作等を許可すること

パスワードやトークンは本人確認のために使用するので、認証に分類されます。
ちなみに、ユーザー名は本人を表すものだから認証かと思いがちですが、これは識別(Identification)です。

ACL(アクセスコントロールリスト)は、アクセスを制御するために使用するので、認可に分類されます。

2019年11月2日土曜日

RAID

2019年11月2日作成
RAID(Redundant Arrays of Indexpensive Disks)は、ハードディスクを複数使用してデータを分散配置することにより、低コスト、大容量化、アクセスの高速化、高信頼性などのメリットを持つ方式です。

データと冗長ビットの記憶方法と記録配置の組み合わせによって、複数のタイプがあります。

むかーしむかし情報処理試験の勉強した時は、RAID1から5までのタイプを覚えたものですが(と言うか、覚えることができずによく間違っていたのですが)、RAID2〜4はほとんど使用されていないようですし、RAID0とかRAID6とかもあるんですね。。。

RAID5

分散したハードディスクにブロック単位でデータを書き込み、さらにパリティビットを複数のハードディスクに分散して書き込む方式。

RAID5を実現するのに必要なハードディスクの最少台数は3台です!

2019年10月26日土曜日

物理的セキュリティ

2019年10月26日作成
セキュリティと聞くと、少なくとも僕は「情報セキュリティ」や「サイバーセキュリティ」をイメージしてしまうのですが、CISSPでは「物理的セキュリティ」に関する知識も必要となります。。。

スプリンクラー

スプリンクラーの主な種類として、湿式(Wet Pipe)乾式(Dry Pipe)予作動式(Preaction)放水型(Deluge?)があります。

Wet PipeやDry Pipeは、その名前のとおり、配管内に予め水または空気で充たされているタイプです。

火災検知時に即座に放水するWet PipeやDry Pipeと異なり、Preactionは2段階で動作します。

Preactionは、通常は配管内は空気で充たされていますが、1段階目として火災感知器の作動をトリガーとして配管内に水を充填します。2段階目としてスプリンクラーヘッドが熱を感知すると放水を開始します。

2段階とすることにより、スプリンクラーヘッドの誤作動による水損を防ぐことができます。
そのため、Preaction方式は、データセンター向けのシステムと言えますね。

ハッシュ

2019年10月26日作成
ハッシュと言えば・・・。
大学時代、研究室に「BANANA FISH」というコミックが置いてあって、研究せずに読みふけっていたことを思い出します。。
うーん、ハッシュとフィッシュ・・・全然違いますね(汗)

ハッシュアルゴリズム

代表的なハッシュアルゴリズムとして、MD5、SHAがあります。

MD5は意図的にコリジョンを発生させられる可能性があることから、米国はMD5ではなくSHAを採用しており、日本も政府推奨暗号リストからMD5を除外しています。

一方、SHAについては、いくつかのバリエーションがあり、SHA1(ハッシュ値の長さ:160ビット)は2017年にコリンジョン攻撃が成功したと報告されたこともあり、SHA2(例えば、ハッシュ値の長さが256ビットのSHA-256など)以上の使用が推奨されています。

ソルト

ソルト(salt)とは、「パスワードをハッシュ化する前にパスワードに追加されるランダムな値」のことで、ソルトを用いることで、レインボーテーブル等の事前に計算されたハッシュ値を使用する攻撃への耐性を高めることができます。

なお、ソルトはハッシュ化されたパスワードとともにパスワードファイルに保存されます。

CISSP的規格まとめ

2019年10月26日作成
この記事では、規格関係をまとめていきたいと思います。
昔から法律・規格関係は苦手と言うか・・・覚えることができないんですよね。。。

FIPS 186-4

FIPS(Federal Information Processing Standards:連邦情報処理標準)の概要はコチラを参照。

FIPS 186-3は、電子署名に関する規格(Digital Signature Standard: DSS)です。
DSSでは、電子署名で用いる暗号化アルゴリズムとして、以下の3つを規定しています。
  • DSA
  • RSA
  • ECDSA


2019年10月23日水曜日

1300問マラソンに挑戦中!

CISSPの勉強についてです。

僕の昔からの勉強方針は「習うより慣れろ」。
参考書をさらっと斜め読みするか、または全く読まずに問題に取り組み、間違った箇所を重点的に復習・強化するやり方です。

このやり方の場合、言うまでもないですが良質な問題を数多く解くことが重要です。


CISSPの勉強も同様。

しかし、「CISSP公式ガイドブック」に掲載されている章末のレビュー問題は、問題数も少なく日本語訳もイマイチで、これだけで合格できる力が身に付くとはとても思えません。。

そこで、切り札(?)として以下の書籍に取り組むことにしました。

CISSP Official (ISC)2 Practice Tests
Mike Chapple David Seidl
Sybex
売り上げランキング: 13,960

日本語版も販売されているようですが(電子版のみ?)、微妙な日本語訳で苦しみたくないので、(ドメスティック人材ではありますが)オリジナルの英語版で頑張ります。

収録問題数はなんと約1,300問!!
このボリュームの問題を完璧に理解したら、合格は間違いないでしょう。

さらに特筆すべきことに、書籍に記載の手順に従って登録すれば、オンラインで同じ問題に取り組むことができます!
各問題の正誤も記録に残すことができるので、復習もバッチリです。

むしろ、このオンライン版だけで十分な気がする・・・。


実は9月頭より、通勤中の時間を利用して問題に取り組んでいます。

最近はいろいろとしんどくてペースが落ちていますが、10/20時点で約500問を解き終えました。
正答率は50〜60%くらいかなぁ。

まぁ、問題を解いただけで、復習する時間を十分に確保できていないんですけどね・・・。

目標の12月受験&合格に向けて、もう少しペースを上げて取り組みたいところです。。

CISSP Official (ISC)2 Practice Tests
Mike Chapple David Seidl
Sybex
売り上げランキング: 13,960

2019年9月15日日曜日

BCP

2019年11月4日更新(2019年9月15日作成)
新規に購入した万歩計を、ズボン(今時はパンツと言うんですよね。。)のポケットに入れたまま洗濯してしまい、かなりヘコんでいるtotoyaです。。

さて、ここでは、BCP(Business Contiunity Plan: 事業継続計画)について、雑多に整理していこうと思います。


BCPチームの構成メンバ

Senior Manager(上級管理職)

Senior Managerに期待される主な役割としては、以下が含まれます。
・ 優先事項の設定
・ リソースの確保
・ メンバ間のいざこざの仲裁

Senior Managerの理解や支援があってこそ、BCPが成功する・・・ということかな。

まぁ、BCPに限った話ではなく、どんなプロジェクトも、成功させるには偉い人のバックアップが必要ですよね。


BCPの各フェーズ

Scope and Planning

BCPプロジェクトのスコープおよび計画の策定フェーズにおいて、以下の事項に取り組みます。
・組織構造の分析
・BCPチームの構築
・利用できるリソースの確認
・法規制の分析

BCPの維持管理

BCPは策定してハイ終わり、ではなく、適切なタイミングで更新していく必要があります。
その(理想的な)タイミングは、ビジネス環境に何らかの変化があった時です。


BIA(Business Impact Analysis: ビジネス影響度分析)


BIAはその名のとおり、不測の事態が発生した場合に、ビジネスに与える影響を分析します。
BCPの前段階として実施します。

超大まかな実施手順としては、まず資産のリストを作成し、次に各資産に対する脅威およびその影響を特定していきます。

2019年9月7日土曜日

CISSP的米国法まとめ

2019年11月2日更新(2019年9月7日作成)
情報セキュリティに関する法律や規格、標準、ガイドライン等、様々なものがありますが、CISSPでは米国の法律に関する知識が必要となります。
米国生まれ(?)の資格なので、必然ですかね。。

以下、GLBA, FISMA, EEAについて概要を整理します。

Gramm-Leach-Bliley Act (GLBA)

GLBA(グラム・リーチ・ブライリー法)は、1999年に制定された米国の連邦法で、この法律により金融機関の統合(銀行、証券、保険業務の兼業)が許可されています。

・・・・・。

上記のような超ざっくり概要だけでは、CISSPとの関連性がさっぱりわからないですよね。。

実はGLBAには、金融機関の顧客が保有する財務情報のプライバシーに関する規制も規定されているそうです。

「金融機関+個人情報と来たらGLBA!」

とりあえずそう覚えておこうと思います。。。


Federal Information Security Management Act (FISMA)

FISMA(連邦情報セキュリティマネジメント法)は、連邦政府機関、および連邦政府機関の民間委託先に適用される法律で、情報や情報システムのセキュリティ強化が義務付けられています。

2002年のFISMA成立に伴い、その前身と位置付けられるGISRA(Government Information Security Reform Act)が失効しているとのことで、FISMAとGISRAを混同しないようにしないといけないです。

「連邦政府(の委託先)と来たらFISMA!」

です。


EEA(Economic Espionage Act)

EEA(連邦経済スパイ法)は、営業秘密を保持している者に対し、知的財産の保護を求める法律です。

米国企業から営業秘密を不正に外部に漏えい等させた場合、本法に基づき罰金や懲役刑が課されます。


Federal Sentencing Guideline

Federal Sentencing Guideline(連邦量刑ガイドライン)は、連邦法上の犯罪に対する量刑裁量の基準を明確化・公平化するために作成されたガイドラインです。

1991年、情報セキュリティ関連の問題に対する”prudent man rule”が本ガイドラインに適用されました。
prudent man rule(善管注意義務)とは、経営者が常識的に払うべきデューケアのことです。


デューケアって何だっけ・・・?
一度勉強したのに脳みそに定着しない・・・(涙)
デューケアは、一言で言うと「やるべきことをやること」でしたね。。

上記内容を噛み砕くと

「1991年、経営者が情報セキュリティに関してやるべきことをやらなかった場合の量刑の基準(?)が連邦量刑ガイドラインに反映された」

ってことかな。。。うーん。


Digital Millennium Copyright Act (DMCA)

デジタルミレニアム著作権法です。

ISPにおいて、著作権者から著作権違反に関するクレームがあった場合:

即座に対応すべきクレーム
・ISPが提供するストレージに格納された顧客の情報
・ISPによってキャッシュされた情報
・ISPが提供する検索エンジンでキャッシュされた情報

対応が免除されるクレーム
・ISPが提供するネットワーク上で送信される情報
※DMCAでは、ISPは顧客の一時的な活動に責任を負う必要はないと規定。

2019年9月1日日曜日

セキュリティモデル

2019年10月26日更新(2019年9月1日作成)
セキュリティモデルは、CIAのうち、機密性(C)や完全性(I)を実現するための、数学的に証明されたシステムの動作規則を定義したものです。

可用性(A)が含まれないことに注意が必要です。

あくまでも理論的なモデルであり、完全に実装されることはほとんどなく、オペレーティングシステム等ではセキュリティモデルの一部の要素が取り込まれています。

代表的なセキュリティモデルの概要を整理しようと思ったのですが・・・、どれも難しくて自分の言葉で説明できるレベルに達することができていません(汗)。

とりあえず、各モデルがどの属性(機密性、完全性)に対応したものかをまとめておきます。。

セキュリティモデル
CIA
備考
Bell-Lapadula: BLP機密性べるらぱどぅら
Biba完全性
Brewer-Nash機密性Chinese Wall Modelとも呼ばれる
Clark-Wilson完全性
Graham-Denning機密性、完全性
Harrison, Ruzzo, Ullman: HRU完全性Graham-Denningに似ている

Brewer-Nash

Brewer-Nashは機密性に対応したセキュリティモデルで、ユーザーのアクションに応じて動的にアクセス制御を変更するところに特徴があります。

具体的には・・・、競合関係にある2つの情報が存在する場合を考えます。
初期状態において、ユーザーは両方の情報にアクセスできますが、一度どちらかの情報にアクセスすると、それ以降もう一方の情報にはアクセスできなくなる…という考え方です。

例えば、あるコンサルティング会社の法人顧客に金融機関Aと金融機関Bがいる場合、コンサルタントCが業務のため金融機関Aの情報にアクセスすると、Cは金融機関Aの競合他社である金融機関Bの情報にアクセスできなくなります。

これは、金融機関Aの情報と金融機関Bの情報との間に壁があると捉えることができるので、Chinese Wall Model とも呼ばれています。

2019年8月30日金曜日

べりゅらぱどぅら

作成:2019年8月30日
突然ですが、小学生の頃、塾か何かで先取りで英語を勉強したと思われる児童が

「ディス イズ ア ペン!」

とか連呼していませんでしたか?

僕の周りはそうでした(笑)。
まぁ、当時の僕は英語が全くわからなかったので、何を言っているのかさっぱり理解できなかったのを覚えています。。


それから数十年の月日が流れ・・・。
僕はようやく当時の児童のレベルに達することができたような気がします。


「べるらぱどぅら、べりゅりゃぱじゅら・・・」


CISSPトレーニング終了直後の僕は、この呪文のような言葉を連呼してました。

はい。セキュリティモデルの1つ「Bell-LaPadula」ですね。

独特な響きが、僕の心の奥底に眠っていた何かを突き動かしたんだと思います。。。


今となっては連呼していたことをかろうじて覚えているのみ
Bell-LaPadulaが何だったのか、完全に忘れてしまいました。。

セキュリティモデル、きちんと復習しないといけないです(苦笑)。

2019年8月27日火曜日

リスクについて

更新:2019年9月8日(作成:2019年8月20日)

リスクの3要素

リスクを構成する要素は、

「情報資産」「脅威」「脆弱性」

の3つです。
・・・と思っていたのですが、CISSP公式ガイドブックには、

「資産」「脅威」「低減要因(mitigating factor)

と記載されています。

低減要因(mitigating factor)って何だ?
脆弱性じゃないの??

ガイドブックにはサラッと書かれていて、それ以上の言及はないし、少し調べたのですが、そのように定義する流派?も無さそうだし。。

それとも脆弱性と低減要因はほぼ同義・・・?
いや、全く逆の意味なような気もする。。

これ以上深堀しても仕方ないので、CISSP的リスク3要素は、「資産」「脅威」「低減要因」と割り切って覚えておくことにします。


リスクアセスメントの評価事項

リスクアセスメントで評価する事項、つまり目的は以下のとおりです。

・資産への脅威
・環境に存在する脆弱性
・脆弱性の悪用により脅威が顕在化する可能性
・脅威の顕在化が組織に及ぼす影響
・脅威が顕在化する可能性を低減するための対策、顕在化時に組織に及ぼす影響を低減するための対策
・残存リスク

CISSP公式ガイドブックでは、「脆弱性の暴露(exposure)を利用して、脅威が実現される可能性」といった表現が使われていますが、なんだかしっくり来ないので「脆弱性の悪用により脅威が顕在化する可能性」としています。

脆弱性の暴露って・・・あんまり言わないよなぁ。。

リスクを受容したら

組織として「リスクの受容」を判断した場合、受容に至ったプロセスを詳細に文書化しておく必要があります。

将来、監査等からの「なんでそんな判断をしたんだ?」というツッコミに対応できるようにしておく、という意味です。
まぁ、リスク云々に関わらず、記録に残すことはビジネスの基本ですよね。

セキュリティリスクという文脈では、セキュリティコントロールの実装時、災害復旧計画(Disaster Recovery Plan)の策定時、ビジネス影響度分析(BIA: Business Impact Analysis)の実施時・・・等々で、リスク受容が発生し得ます。

その後は、ちゃんとドキュメントに残しておきましょう。

2019年8月19日月曜日

章末レビュー問題の完了とその結果

お盆の週も普通に働いていましたが、休んでいる人が多かった関係で、比較的穏やかな1週間を過ごすことができました。

この機会を活かし、「CISSP CBK公式ガイドブック」のレビュー問題を全て終わらせてやったわい!

以下、恥ずかしながら、ドメインごとの正答率を晒してみます。。

1. セキュリティとリスクアセスメント

 37問中 23問正解(正答率 62.2%)


2. 資産のセキュリティ

 16問中 12問正解(正答率 75.0%)


3. セキュリティ設計とエンジニアリング

 40問中 17問正解(正答率 42.5%)


4. 通信とネットワークのセキュリティ

 22問中 14問正解(正答率 63.6%)


5. アイデンティティとアクセスの管理
 18問中 9問正解(正答率 50.0%)


6. セキュリティの評価とテスト
 17問中 14問正解(正答率 82.4%)


7. セキュリティの運用

 35問中 22問正解(正答率 62.9%)


8. ソフトウェア開発セキュリティ
 22問中 13問正解(正答率 59.4%)


うーーーん。。。
レビュー問題に取り組む前は、7割程度は解けるかなぁと思っていたんですけど。。。
なかなかのヘッポコぶりにションボリです。

まぁ、勉強(反省)のしがいがあるということで。。。
へこたれずに頑張ろうと思います。

2019年8月16日金曜日

ガイドブックの日本語にひと苦労

CISSPの一発合格に向け、「新版 CISSP CBK公式ガイドブック」を活用しています。



全部で約1,500ページもあります。。。

一応、CISSPトレーニングを受講済みの身なので、ガイドブックを精読するのではなく、ガイドブックに収録されている各ドメインのレビュー問題に取り組み、間違った箇所を中心に復習・補強する戦術で進めることにしました。

比較的余裕のあるお盆の期間を利用して、8つのドメインのうち3ドメインのレビュー問題を終えましたが・・・、結構間違えてます(汗)。

トレーニングで得た知識の多くが失われていることを実感。。。

まぁ、トレーニングと言っても、5日間講師の話をひたすら聴く形式でしたし、その後ろくに復習もしていなかったので、忘れても仕方がないですよねぇ(と言い訳をしてみる)。

レビュー問題を通じて少しずつリハビリし、トレーニング終了直後+αの状態に持っていくことを当面の目標にして、頑張りたいと思います。


さて、公式ガイドブックですが、翻訳本特有のわかりづらさに大変苦労しています。。
本文を読んでも、全く頭に入ってこないんですよね(単に僕の理解力が乏しいだけかもしれないけれど)。

例えば、「狭いリスクアセスメント」。

「狭い」って何??
「狭義の」という意味なのか、それとも「アセスメント対象が狭い」ということなのか・・・さっぱりわかりません。

こういう表現に出くわすたびにヤル気が削がれてしまいます。。。


ただ、レビュー問題については英語版も併録されており、日本語がよくわからない時は英語の問題を確認するようにしています。

ちなみに上記「狭いリスクアセスメント」ですが、英語版では「a narrow risk assessment」となっていました。。

うーん・・・・。
おそらく「限られた範囲を対象としたリスクアセスメント」という意味なんだろうな、と思います。。

ドメスティック人材にはツライっす(汗)。

2019年8月15日木曜日

情報セキュリティ戦略

作成:2019年8月15日
情報セキュリティ戦略には「戦略的計画(Strategic Planning)」や「戦術的計画(Tactical Planning)」が含まれ、これらを実現するための運用/プロジェクト計画を立案し、遂行していくことが必要です。

うーん、「戦略(strategy)」と「戦術(tactics)」の違いって何だろう・・・?

・・・。

・・・・・。

そういえば昔、「タクティクスオウガ」ってゲームに無茶苦茶ハマったなぁ。。。

・・・・・。

あ、別のことを考えてしまった(汗)。


CISSPの勉強にあたっては、日本語で理解しようとするよりも原文の英語で意味を把握した方が良いと思うので、strategy と tactics の意味を調べてみました。

ランダムハウス英和大辞典によると、
strategy は戦時、平時を問わず、国の安全・勝利を確保するため長期的展望にたって立案する全兵力利用計画のこと。

tactics は実戦における軍隊の配備など個々の戦略についていう。
とのことです。。


上記は軍事の文脈での解説になっているけれど、一般化すると、strategy は長期的な視点での計画、tactics は計画を達成するための具体的な方策・・・という理解で良いのかしら。


最初の情報セキュリティ戦略に戻すと・・・、例えばの話になりますが、

戦略的計画は、組織全体の情報セキュリティポリシーやプロシージャの策定が該当し、
それに対して戦術的計画は、ポリシーやプロシージャを具現化するためのシステム導入

・・・と考えれば、僕的にはストンと腹落ちした気がします。

以上、ご参考まで。。

2019年8月14日水曜日

デューケアとデューデリジェンス

更新:2019年9月14日(作成:2019年8月14日)
CISSPの勉強で、ドメスティックな僕を悩ませているのが用語の定義
今回は「デューケア(Due Care)」と「デューデリジェンス(Due Diligence)」を整理したいと思います。

なお、日本語版テキストでは、デューケアは「妥当な注意」、デューデリジェンスは「適切な注意」と訳されています。

・・・・・。

さっぱりわかりませんね(汗)。


デューケア(Due Care)

デューケアは、個人は合理的な人から期待されるものと同じレベルで注意(ケア)して対応する、という原則です。

うーん、いまいちピンと来ない。。

ちなみに、CISSPトレーニングの講師は「やるべきことをやること」と説明していました。


デューデリジェンス(Due Care)

デューデリジェンスは、責任を割り当てられた個人は、その責任を正確かつ迅速に完了するためにデューケアを行使する、という原則です。

こちらもよくわからないですが、トレーニングの講師は「デューケアの根拠を示すこと(説明責任を果たすこと)」とおっしゃっていました。


とりあえず、講師の説明を信じ、

デューケア: やるべきことをやること
デューデリジェンス: デューケアの根拠を示すこと(説明責任を果たすこと)

と覚えておきます!

2019年8月13日火曜日

リスクアセスメント

2019年11月2日更新(2019年8月13日作成)
リスクアセスメントは、以下の2つに大別されます。
定量的リスクアセスメント(Quantitative Risk Assessment)
定性的リスクアセスメント(Qualitative Risk Assessment)

定量的リスクアセスメント は被害金額などを算定しやすい財務的なリスクの評価に向いていて、一方、定性的リスクアセスメントは風評被害など無形なリスクの評価に向いていると言えます。

・ 有形資産 → 定量的リスクアセスメント
・ 無形資産 → 定性的リスクアセスメント

アセスメント対象に応じて、両者をうまく使い分けたり、組み合わせたりします。


定量的リスクアセスメント

SLE = AV × EF
ALE = SLE × ARO

↑のように、公式が(アルファベットで)頭にバババっと浮かぶようになりたいですね。。

SLE は”Single Loss Expectancy”で「単一損失予測」。
AV は ”Asset Value"で「資産価値」。
EF は”Exposure Factor”で「暴露係数」。リスクが顕在化した際の、資産価値に対する損失の割合を表します。

単一損失予測は、資産価値と暴露係数の積で表されます。

SLE(単一損失予測) = AV(資産価値) × EF(暴露係数)

SLEは名前のとおり、1回の損失予測額です。
これに ARO(Annualized Rate of Occurrence: 年間発生頻度)を掛ければ、年間損失予測(Annualized Loss Expectancy: ALE)を算出できます。

ALE(年間損失予測) = SLE(単一損失予測) × ARO(年間発生頻度)


しかし、暴露係数ってどうやって決定するんですかね・・・。

「暴露係数」で検索すると「暴露係数ハンドブック」なるものがヒットしましたが、情報セキュリティとは関係なかったです(苦笑)。

2019年8月5日月曜日

CISSP合格に向けて背水の陣

気がつけば8月。
梅雨も明け、すっかり暑くなりましたね。

技術士第二次試験も既に終了しており。。
受験された皆様、大変お疲れさまでした。
僕は早々に受験を断念してしまいましたが、来年以降にチャレンジしたいです。

こんなグダグダな状況なので、このブログについても「技術士試験ラボ」から違う名称に変更しようかなぁと思う今日この頃。。


さて、仕事の方ですが、4月に異動して以降、落ち着くこともなく激務が続いています。。

深夜0時前後に帰宅し、母ちゃんが作り置きしてくれた夕食を食べる気力が残っていればまだマシな方で、帰宅直後に床に転がってそのまま寝てしまい、2時か3時頃に身体の痛みで目を覚まし、それから夕食を食べる・・・こんな感じの日々を送っています。。

まぁ、それでも精神的負荷は一時期よりマシになりつつあるので、自己研鑽の目標を再設定し、動き始めようと思った次第であります。


ということで、次の目標はCISSP
3月にトレーニングを受けて以降、知識レベルはほぼゼロとなってしまいましたが(汗)、再び奮起しようと思います。

頑張ると言うのは簡単で、日々の忙しさにかまけて結局はグダグダになる危険性があります。
そこで、受験日を決めて自分を追い込むことにしました。
少し先の話ではありますが、12月に受験すべく、申し込みを完了!

受験料が高過ぎ(699ドル)なので、一発合格が必達目標です!!

2019年5月10日金曜日

技術士第二次試験を断念した3つの言い訳

気がつけば、新年度を迎えて年号も平成から令和へと変わり、ゴールデンウィークも終わってしまってました(汗)。

技術士第二次試験の受験申込みが先月24日に締め切られましたが、年度末にかけて色々あり、今回は受験を断念することとしました。

以下、断念した理由(という名の言い訳)です。。

言い訳1:業務で精神的に疲弊

昨年度は企画系部署にて、社内ルールの制改定を行う業務をやっていたのですが、ルールの制定にあたり一部の抵抗勢力から猛烈な反撃を喰らい、精神的にかなり疲弊していました。

しかもその反撃が、ルールを守る側の社員からではなく、ルールを作る側、つまり同じ部署の人間からだと言う・・・。

なぜそんな細かいことに執拗に拘るんだこのクソジジイは・・・と僕も逆ギレ気味だったんだけど、今思えば、このクソジジイごときを納得させられない時点で、自分は負けだったんだろうなぁとも思ったり。

言い訳2:3月末で異動

そんなバトルの最中、3月末で異動となってしまいました(汗)。
志半ば感が若干ありますが、疲弊していたのでタイミング的に良かったかも。

4月からは久しぶりに研究開発の現場に戻り、マネージャーとして現在進行中のプロジェクトをマネジメントしつつ、次のコアとなり得る技術戦略の策定に取り組むことになりました。

後者の戦略策定に関連してMOTの研修を受けたり・・・と何かと大変です。
MOTを勉強してイノベーションを起こせるのなら、それに越したことはないんですけどね。
まぁ、思考のフレームワークとして活用できればいいかなと思っています。

異動前後はかなりのバタバタだったけど、1ヶ月が経過して少し落ち着きつつある・・・かな。

言い訳3:CISSPの取得を優先したい

そんなドタバタの中、5日間のCISSPトレーニングに参加しましたが・・・結構ヘビーでした。

技術的なところは元々わかっているところが多々あり大丈夫だと思うんですけど、CISSP的な考え方に対する慣れが必要だなと思いました。
慣れという観点では、日本語訳された問題文にも慣れないと。。わかりにくい訳文に悩まされそうです。
試験本番は英文の問題も参照できると聞いたので、必要に応じて両方をにらめっこしながら解答しないとですね。

さて、CISSPをいつ受験するか。

トレーニングを受講してからだいぶ時間が経ってしまいました。
学んだ内容が忘却曲線に沿ってどんどん失われている状況です(苦笑)。
勉強したいけど、業務多忙につきその余力・気力がないのが正直なところ。

とは言えダラダラしていると忘却曲線がますます進行してしまうので、令和元年中に合格するよう計画を立て直そうと思っています。




・・・そんなわけで、技術士試験に対する優先度は下がり、やむなく今年度の第二次試験の受験は断念しました。

でも、技術士になるというモチベーションまでは失っていません!
必ずや合格を果たしたいと思います。
I’ll be back!

2019年2月25日月曜日

CISSPトレーニングを受講します!

このたび、CISSP取得に向けたトレーニングの受講機会をいただきました。


CISSPとは、「Certified Information Systems Security Professional」の略称です。
(ISC)² が認定を行っており、「情報セキュリティの共通言語とも言える『(ISC)² CISSP CBK』を理解している情報セキュリティ・プロフェッショナルのみに与えられる資格」です。
※(ISC)²のサイトより引用

ちなみに、CBKは「Common Base of Knowledge」の略で、CISSP取得に必要な知識がまとめられたもの、というイメージでしょうか。

CBKは以下の8ドメインから構成されており、5日間のトレーニングで全てのドメインをひと通り学習するそうです。
  1. セキュリティとリスクマネジメント
  2. 資産のセキュリティ
  3. セキュリティアーキテクチャとエンジニアリング
  4. 通信とネットワークのセキュリティ
  5. アイデンティティとアクセスの管理
  6. セキュリティの評価とテスト
  7. セキュリティの運用
  8. ソフトウェア開発セキュリティ

情報セキュリティに関しては、むかーしむかしに「テクニカルエンジニア(情報セキュリティ)」や「情報セキュリティアドミニストレータ」に合格しているけれど、本トレーニングを知識の再整理/再構築に向けた絶好のチャンスと捉え、めちゃくちゃ前向きに受講するつもり。

もちろん、トレーニングだけで終了ということではなく、CISSPの合格も目指しますよ!
(受験料が高いので、できれば一発合格で。。。)


そして、CISSPトレーニングを通じて獲得した知識を、技術士二次試験の技術論文にも応用できるといいなぁと、一石二鳥的に企んでいる今日この頃。。ムフフ。

というのも、現時点で受験を考えている技術部門・選択科目の内容に「セキュリティ」が含まれています。
  • 情報工学部門 ― 情報基盤
    ネットワーク通信技術(伝送理論、暗号化等)、ネットワークとシステム管理、情報セキュリティ、システム統合技術、基盤の構築及びアーキテクチャ、ウェブシステム及び関連技術に関する事項

  • 電気電子部門 ― 情報通信
    有線、無線、光等を用いた情報通信(放送を含む)の伝送基盤及び方式構成に関する事項
    情報通信ネットワークの構成と制御(仮想化を含む)、情報通信応用とセキュリティに関する事項
    情報通信ネットワーク全般の計画、設計、構築、運用及び管理に関する事項

まぁ、技術論文に応用するためには、キーワードを「知っている」だけではダメで、「自分の言葉で説明できる」ことが重要だと認識しています。
そういう意味でも、真剣にトレーニングに挑みたいと思います!