資格取得のモチベーション

情報セキュリティプロフェッショナル(自称)のブログのオーナーの長谷川さんにトラックバックしたいと思います。トラックバックする記事は、資格取得のモチベーションです。

現在所持している資格
　①公認情報システム監査人(CISA)
　②公認情報セキュリティマネージャー(CISM)
　③ISMS審査員補
　④公認情報セキュリティ監査人補(CAIS)

一番古いのは①です。②は2社目の会社で、③と④は昨年、現在の勤務先に転職して会社からの指示で取得しました。自発的意思で取得したのは①と②になります。

CISAは、当時勤めていたソフトウェアベンダーの元上司に薦めらました。当時会社では、メインフレーム中心の業態からオープンシステム中心へと急速に転換していました。私はメインフレームの運用管理やアクセスコントロール製品を主に担当していたので、そうした潮流の中で将来に対する備えとしての受験でありました。報奨金の制度がありましたが、

　受験コスト　＞　報奨金

だったので、報奨金目当てではなかったです。その後の資格維持のコストも掛かりますから、情報技術者試験のように資格維持制度が無ければ別ですが、一回だけの報奨金ではモチベーションになり得るかは疑問です。(情報技術者試験が資格試験かという疑問もありますが)

CISMは、転職後の取得です。CISMの制度が出来たばかりで、過去の経歴審査で取得できる特例制度グランドファザリングを利用しました。チャンスは逃すべからずと考えた訳です。この時の勤務先は、外資系のストレージメーカーで、この手の資格に対する報奨金制度はありませんでした。

ISMS審査員補とCAISは、現在の勤務先に転職後に会社の指示での取得です。講習の費用、申請料など全て会社負担でした。ちなみにCISA、CISMの資格維持に掛かる費用も会社負担です。

私の資格取得のモチベーションは、将来への投資ということですね。実際、現在の勤務先への転職は、CISAとCISMを保持していたことが大きく影響していますから、投資効果があったということになりますね。

資格維持のコスト負担を考えた場合、一回だけの報奨金より受験費用や維持コストの会社負担の方が有難いのではないのでしょうか。最初の会社の場合、報奨金だけで資格維持費用は個人負担でしたから、在籍した間にCISAを取得したのは3人だけでした。現在の勤務先は、受験料や維持に関する費用負担をしてくれるので、続々とCISA、CISM、CISSP、CAISの有資格者が増えています。ソフトウェアベンダーと情報セキュリティコンサルティング企業との違いもありますね。有資格者が増えるということは、企業としてのメリットが小さくないです。

報奨金の額にもよりますが、資格取得のモチベーションは、一時金だけではなく、取得した資格によってメリットがあるか、維持するコストには見合うものか等など様々な要素がありますね。

次回は、その資格維持制度について私見を述べたいと思います。なんせ、これで私も仲間も苦労していますから。

http://blogs.yahoo.co.jp/hase_sec/trackback/89885/1731276

現在、国内外の資格の取得が盛んになっています。そこで、資格について
考えてみたいと思います

システム監査関係
　公認システム監査人(CSA)　　　　　日本本システム監査人協会(SAAJ)
　公認情報システム監査人(CISA)　 　Information System Audit and Cntrol Association

情報セキュリティ監査関係
　公認情報セキュリティ監査人(CAIS) 日本情報セキュリティ監査協会(JASA)
　情報セキュリティ専門監査人　　　 日本システム監査学会

情報セキュリティ専門家
　公認情報セキュリティマネージャ(CISM)
　　　　　　　　　　　　　　　　　 Information System Audit and Cntrol Association
　公認情報システムセキュリティ専門家(CISSP)　(ISC)2

その他
　ISMS審査員　　　　　　　　　　　 日本情報処理開発協会
　

その他にもプライバシーマーク関係とかもあるのですが、私見としては、上記資格とは色合いが違うと思います。同じ理由で、システム監査技術者も同様です。

いずれにしてもリスクを扱うことには相違はないのですが、では何が違うのか

システム監査関係　(CISA、CSA)
　対象は情報システム/IT、並びに関係するプロセスに対する監査
　下記、情報セキュリティ監査とは、情報システム/ITに関して相互補完
　関係にある。(情報セキュリティ監査の結果を利用することもある）

情報セキュリティ監査関係
　対象は情報セキュリティ並びに関係するプロセスに対する監査
　上記、システム監査とは、情報システム/ITに関して相互補完関係にある。
　(システム監査の結果を利用することもある)

情報セキュリティ専門家
　監査ではなく、企業/組織内での情報セキュリティの管理者、専門家。

各々の分野の相違は割りと明確だと思います。では、分野内の各資格の相違は
というと・・・・CISAとCSA、CAISと情報セキュリティ専門監査人には、正直
よく判りません。私自身は、CISAとCAISを取得しているのですが、CSAと情報
セキュリティ専門監査人は制度を良く知らないので、比較できません。
言えるのは、CISAとCAISは、保有者同士、認定団体同士の交流もあり、資格も相互補完的なので、双方を取得するメリットは感じます。逆に言えば、CISAとCSAを同時に維持するメリットは感じないということです。

CISMとCISSPの場合は、前者がどちらかというと情報セキュリティの維持管理やプロセスの運用に重きがあり、後者が技術的な実装面を重視しているという
印象があります。いずれにしても情報セキュリティの管理者には、必要な素養
であることには相違はないです。

では、どの資格を目指すべきか。以下は私見ですし、現在の状況を基にしています。将来は、変わることのあるこを前置きしておきます。

まず、既にCISAを持っている人は、CSAを同時に維持するメリットは少ないように思います。また、逆もまた然りです。双方とも資格維持制度があり、ほぼ同じ条件です。同じ分野の資格を維持するのにかかる労力やコスト負担を考えれば、どちらか一つを取得しておけば充分であろうと思います。

CAISと情報セキュリティ専門監査人ですが、上記と同じ理由で双方を同時に維持するメリットはありません。CISAやCSAであるならば相互補完的であるので、労力やコストを負担するメリットはあろうかと思います。

CISMとCISSPですが、同時に保持することについては上記と同じです。他の資格との相互補完を考慮すべきでしょう。

では、メリットのある組合せはなんでしょうか。

資格維持/労力面
　認定団体が同じですから、CISAとCISMが最もメリットがでます。例えば、ISACA東京支部の月例会に出席すれば、双方の資格維持のポイントにできます。

相互補完
　CISA/CSAのどちらかとCAIS/情報セキュリティ専門監査人どちらか
　CISA/CSAのどちらかとCISM/CISSPのどちらか
　CISM/CISSPのどちらかとCAIS/情報セキュリティ専門監査人のどちらか
　お互いにかぶらない組合せがいいのではないでしょうか。

コスト
　CISAとCSIMは、最もコストメリットがないかも。

私自信は、CISA/CSIM/CAISとISMS審査員補です。JASAとISACAは、双方の役員の兼務者も少なくなく、交流もあるのでメリットを感じています。ISMS審査員補は、まあ会社の費用負担なので、まあいいかなぁというところです。

どの資格が良く、どの組合せが一番ということは言えません。自分に必要な資格をメリットある組合せで取得しましょう、ということでないでしょうか。
曖昧で締りの無い結論ですね。　ｍ(＿ ＿;)ｍ 　あしからず

新しいBlogをリンクしました

リンクを追加しました。情報セキュリティプロフェッショナルさんのBlogです。このBlogのオーナーさんは、私の情報セキュリティ監査協会(JASA)の活動でお世話になっている方です。特に情報セキュリティ関係の資格制度、教育に関して深い見識をお持ちの方で、お会いするたびに勉強になっています。皆様も氏のBlogで見識を深めて下さい。

CISA/CISM合格者説明会

昨日の3月24日に日本教育会館でISACA東京支部主催のCISA/CISM合格者説明会が開催されました。私は出席しませんでしたが、多くの合格者の皆様が出席されたそうです。
この説明会で、CISA/CISM認定の申請や継続教育プログラム(CPE)、ISACA東京支部の活動などが説明されたはずです。その中で、今後の活動に関わり、重要なのがCPEです。CPEは、3年間で120ポイント、年最低20ポイントが必要です。
ISACA東京支部では、CPE獲得の機会を提供するために6月を除き月例会を開催しています。1回の月例会で2CPEに相当します。月例会と6月の月例会に全て出席すれば、20～24CPEを獲得できます。また、年に数回開催する英語セミナーもあり、概ね26～30CPEの獲得機会を提供しています。
月例会と英語セミナーは、支部会員は無償で参加できます。ビジターは\3,000なので、支部の年会費分は十分に元が取れます。
この機会にISACA東京支部への入会される事をお勧めいたします。

以前にもこのBlogに記載しましたが、私が参加したCISA合格者説明は、当時のCISA担当理事の勤務先に会議室の10人程の合格者集まり、ささやかなものでした。受験者も100人程度、合格者が10数人のでしたら出席率はよかったのですね。それが、合格者だけで100人近くになったのですから、合格者説明も様変わりをしたものです。

余談ですが、3月16日の月例会は多数の出席者が予想されたので、急遽会場を変更し、日本教育会館3階のホールで行いました。
申込者も当日の出席者も過去最高でした。
支部の活動に参加したのは、教育委員が最初でした。教育委員2年、教育担当理事2年、教育担当常務理事2年、再び教育委員を一年、そして2度目の教育担当理事となり、8年目に突入しています。私が参加し始めた頃の月例会は、理事や委員の勤務先の会議室であったり、公共の施設の会議室であったりと月毎に会場が変わっていました。また、参加者の20人程度で、有志による勉強会という趣でした。その後、会場は中央大学駿河台記念館を継続的に使用する期間が数年続きました。同記念館の改装の都合で、別の会場を一年程度使用し、現在日本教育会館に至りました。同会館は以前からISACA東京支部の総会を開催してました。
CISA/CISM合格者の増大と支部会員の大幅な増加、それに伴い月例会参加者も増え、参加申込を定員で締切ることはしたくないのですが、2月の月例会のように3日で定員に達してしまうこともあり、月例会会場選びは悩ましい問題です。私が常務理事の時に、会員サービス向上のために、それまで1,000であった参加費を無償にしたあたりから参加者が増え始め、その後の支部会員の増加が重なって現在の盛況に結びついたのでしょうね。かつての月例会を思うと隔世の感です。

Winnyとは・・・

　連日、Winnyによる情報流失のニュースが報道されています。相変わらず、重要情報秘密情報を自宅PCの保存して、ウイルスによってWinnyを通じて流失するパターンです。もうWinnyのニュースは、Blog話題にもなりませんね。

　他のファイル交換ソフトでは問題はないのでしょうか。報道されないだけなのでしょうか。このことは詳しい識者の教えを請いたいと思います。ご存知の方、コメントを寄せて頂くと幸いです。

　まあ、Winnyに問題があることは明々白々ですね。Winnyの作者は、著作権法違反の幇助で逮捕起訴され、現在公判中です。以下は、読売新聞のWebからの引用です。

危険性ない“新ウィニー”　元東大助手のＸＸ告開発
　ファイル交換ソフト「Ｗｉｎｎｙ（ウィニー）」を開発してインターネット上に公開、著作権法違反ほう助罪に問われた元東京大大学院助手金子勇被告（３５）の第２１回公判が２０日、京都地裁（Ａ裁判長）で開かれた。

　弁護側は、ウィニーで問題視された著作権侵害の危険性を解決した新しいファイル交換ソフト「オズテック」を金子被告が開発したことを明らかにした。

　弁護側は「ウィニーはあくまでも技術的な視点で開発した。新ソフトはその応用にあたる」と述べた。

　弁護側によると、ＸＸ被告は一昨年６月の保釈後、国内のＩＴ関連企業と共同で新ソフトの開発に着手。管理システムを強化し、利用者を制限することで著作権侵害を防ぐことができるといい、今年５月末には商品として発表するという。

��2006年3月21日2時43分 読売新聞）

　「著作権侵害の危険性を解決した」ということは、Winnyの問題点を認識しているということでしょうか。この被告と弁護団、一連のWinnyの騒動に対して、「Winnyに問題はない」とか「この事件を無罪にすれば問題解決に協力する」とかのコメントを出していました。

　確かに、Winnyの技術的瑕疵だけが原因ではなく、流失元の諸組織の情報セキュリティ対策、情報管理策、コンプライアンスなどにも問題がありますし、自宅に情報を持ち帰った人達の油断、不注意なども原因です。
自宅に仕事を持ち帰るとうことの是非、論じられるべきですね。企業の情報セキュリティの枠外にある自宅PC。そのリスクを考えるとき、情報の持ち出しになる自宅への仕事持ち帰りも当然にリスクを伴うのだという認識が必要です。

　自衛隊や警察、自治体、官庁からの流失の一因として、PCなどの機器の整備が充分ないことありますね。そこで、個人PCの持込と業務での使用を許しているようです。しかし、個人PCというのは組織の情報セキュリティ政策の完全な統制下におけません。例えば、個人の財産であるPCを中古として売却せず、記憶装置は破砕処理することなどは強制できません。個人PCの使用者から誓約書をとるだけでなく、やはり必要な機器を整備し、組織の統制下におくことも必要です。

　しかし、Winnyが技術的に不完全であるのは、疑いはありません。
「ウィニーはあくまでも技術的な視点で開発した。新ソフトはその応用にあたる」ということですが技術的に問題のあるWinnyの応用で本当にいいのでしょうか。大いに疑問があるところです。

　著作権法違反事件については、支援団体も組織され、無罪主張を支持する声も多いようです。有罪無罪をこのBlogで論じるつもりはありません。しかし、元エンジニアとしては、技術的に瑕疵のあるWimmyを広げてしまったことには道義的に問題はあろうと思います。皆様は、どう思いますか？

ウィニー対策

警察の捜査情報、自衛隊の防衛機密、地方自治体や官庁の行政関係情報などなど、個人用PCからウィニーを介在しての重要情報の漏洩が相次いでいます。殆ど全てと言っても差支えない程に同じパターンです。
　職場のコンピュータ
　　↓ 　
  個人のPC
  　↓
  ウィニーへのウイルス感染
　　↓ 　
  ウィニーからの情報漏洩


　何故、これほどまで同じような漏洩事故が続くのでしょうか。　①職場で個人のPC使用せざる得ない状況　②自分は大丈夫たという油断 ①の状況解決のために防衛庁が、下記に引用した記事の対策を発表しました。以下は読売新聞Webからの引用です。 　

情報流出防止、防衛庁が官費でパソコン７万台支給へ 額賀防衛長官は８日の参院予算委員会で、海上自衛隊の秘密情報流出の再発防止策として、自衛隊員が職場に持ち込んでいる私有パソコンを一掃するため、パソコン約７万台を官費で購入し、隊員に配布する方針を明らかにした。 　２００５年度予算の通信機器購入費などを工面して約４０億円を支出し、３月中に契約する予定だ。 　額賀長官は「陸上自衛隊で６万台、海上自衛隊、航空自衛隊で計１万台近くは全部、防衛庁の方で供給する」と述べた。 　海自の情報流出は、秘密情報を取り込み、ファイル交換ソフト「Ｗｉｎｎｙ（ウィニー）」を介して、隊員の私有パソコンから外部に流出したとされる。 　自衛隊の部隊では官品のパソコンが不足しており、私有パソコンを持ち込むケースが多い。防衛庁によると、昨年１１月現在、許可を受けて職場に持ち込まれたパソコンは、陸自で約６万台、海自で約２０００台、空自で約５０００台に上る。 （2006年3月8日20時31分 読売新聞）

このPCの購入で、個人PCを使用せざるえない状況を一掃するのが目的です。(PCの調達は当然に入札でしょうが、談合などないようにして頂きたいものです)。個人所有の機器へのリスク対策が必要になってきということなのでしょうね。 同じく読売新聞Webからの引用です。

ウィニー対策で全職員に誓約書提出求める…愛媛県警　ファイル交換ソフト「Ｗｉｎｎｙ（ウィニー）」の暴露ウイルスが原因で愛媛県警の捜査資料がネット上に流出した問題で、県警は１０日、全２７００人の職員を対象にウィニーなどファイル交換ソフトを使わないことや、公務で使う私物パソコンを無許可で庁外に持ち出さないことなど３項目を盛り込んだ誓約書を直ちに提出するよう求めたと発表した。 　また、県警は同日、幹部級職員を集めた会合で、私物パソコンでウィニーを使っていないかどうか確かめるため、幹部が職員の自宅を直接訪れてチェックするなどの対策案を明らかにした。 （2006年3月11日0時48分 読売新聞）

愛媛県警本部は、自分は大丈夫だという思い込みに対して、ウィニーを直接排除することを目的としているようです。 民間企業も職場内で個人PCの使用やネットワークへの接続禁止、USBメモリー/CD-RW/DVD-RWなどの可搬記憶媒体の規制など、職場内での個人機器に対して、何らかの対応をしているようです。情報セキュリティ上の新たな課題なのですが、だったらi-Podを使ったらいけないのか、PDAをどうするとか、頭の痛い問題ですね。今後暫くは試行錯誤なのでしょうね。

はやぶさ 通信復旧

日本の小惑星探査衛星「はやぶさ」ですが、地球への帰還が絶望視されていましたが、なんとか通信が復旧したとのこと。予想以上の重症だったようですが、地球への帰還への望みが無きにしも非ずのようです。 地球へ送信された観測データだけでも、画期的な成果なのですが、なんとか地球に帰還して欲しいものです。 以下は、朝日新聞のWebからの引用です。

「はやぶさ」の通信が復旧　燃料漏れは予想以上 2006年03月07日21時46分 宇宙を飛行する「はやぶさ」の想像図＝宇宙機構提供 　小惑星イトカワへ着陸後の昨年１２月から、地球との交信が途絶えていた探査機「はやぶさ」について、宇宙航空研究開発機構は７日、「通信が回復し、現在位置や機体の状態などを把握できた」と発表した。ようやく息を吹き返したはやぶさだが、発生した燃料漏れが予想以上の規模だったこともわかった。宇宙機構は今後、地球への帰還を目指した運用を進める。 　はやぶさは現在、地球から約３億３０００万キロ離れて飛行中だ。約３カ月ぶりに正確な位置が把握された。イトカワからは約１万３０００キロ離れている。 　はやぶさから微弱な電波が届いたのは１月末。昨年末に起こった姿勢の乱れが収まってきたためらしい。その後、姿勢制御に使う化学エンジンが故障しているため、航行用のイオンエンジンの推進剤であるキセノンガスを噴射し、アンテナを地球に向けて通信を安定させることに成功した。 　２月末から入手できるようになった機体のデータを分析した結果、電源バッテリーが故障し、化学エンジンの燃料は全部なくなったことが明らかになった。姿勢制御にも使えるキセノンガスは約４２～４４キロ残っていた。 　プロジェクトマネジャーの川口淳一郎教授は「通信の回復は地球帰還の最低条件だった。地球に帰れるだけのキセノンガスはある。予定通り１０年６月の帰還を目指したい」と話した。

イオンエンジン、遠隔制御システム、自律航行/制御システム、軌道計算のノウハウ、惑星にの引力を利用するスイングバイ等々、有人宇宙探査とは異なる宇宙開発上の成果をもたらした衛星です。諦めず、あと4年3ヶ月、待ちましょう。それまで、このBlogは続いているのでしょうか(笑)