CISSPでない方が、CISSPになった場合のメリットとデメリットについて書きます。

CISSPとは

(ISC)²の日本語版サイトによると以下の通りです。
https://japan.isc2.org/cissp_about.htmlに説明があります。

CISSP(Certified Information Systems Security Professional)とは、(ISC)² （International Information Systems Security Certification Consortium）が認定を行っている国際的に認められた情報セキュリティ・プロフェッショナル認定資格です。

なお、 (ISC)² は、安全で安心なサイバー世界の実現に向けて活動する国際的な非営利会員団体です。 https://japan.isc2.org/に記載があります。

試験に合格するだけでは会員として認められず、以下が追加が必要ですが、詳しくは上記サイト等を確認してください。

• 会員からの推薦
• 5年以上のセキュリティ分野の実務経験
• 年会費

なお、実務経験のみが不足する場合、アソシエイトとして登録することができ、実務経験を積んで正会員になることができます。

メリット

CISSPは国際的な資格ですので、世界中で知名度があり、信頼も得られます。
発言の説得力が増したり、相手の信頼を得やすくなる可能性があります。
日本にはまだ数千人しかいませんので国内での希少価値もあると思います。（2022年1月1日現在で3339人）

資格維持のためには3年間のうちに120時間相当（120CPE）の学習が必要ですので、継続的な学習が半強制的に行われます。
1CPEが1時間の学習に相当します。ウェビナーの受講で自動的にカウントされるものがありますが、読書等でも自己申告でCPEを獲得できます。
申告内容は監査対象となるので追加の証拠を求められることもありますが、幅広い活動がCPEの対象になります。

会員向けのPDIコース（オンライン学習コンテンツ）が無償で提供されていたり、セキュリティ系のイベントの割引を受けられたりと学習の機会やその案内を受けられます。

日本チャプターという支部があり、日本向けの情報提供や国内での有志による活動等も行われています。

情報セキュリティ監査人補の資格取得の特例を受けて、簡単に資格取得することができます。 受講期間が通常5日間のところ、1日だけで済みます。

情報セキュリティの専門家として自信がつきます。国際的な資格で権威ある資格と言って良いと思います。 また、発言に責任を持つような意識が芽生えるので、成長にもつながると思います。

CISSPが担当することを求める案件に対応することができます。 入札条件等として制限がある場合があるかもしれません。

デメリット

資格の登録、維持に費用と時間が掛かります。
資格維持のためには120CPEの獲得が必要で、3年で120時間相当です。 年会費は125 USDです。今後変わるかもしれません。

情報処理安全確保支援士でない方が、情報処理安全確保支援士になった場合のメリットとデメリットについて書きます。

情報処理安全確保支援士とは

IPA（情報処理推進機構）が実施する「情報処理安全確保支援士試験」に合格した後で、情報処理安全確保支援士として登録を受けるための申請をして受理された方を指す名称（国家資格）です。 IPAの情報処理技術者試験と位置づけが異なるため、別の名前で試験を実施していますが受検方法等は同じです。国家資格としての取得のためには登録手続きが追加で必要です。

以下に説明があります。
国家資格「情報処理安全確保支援士（登録セキスペ）」とは

法律は以下で読めます。
情報処理の促進に関する法律

メリット

情報処理安全確保支援士は国家資格ですので、日本国内においてはある程度の知名度があり、信頼も得られます。
発言の説得力が増したり、相手の信頼を得やすくなる可能性があります。

3年間のうちに1回受講する必要のある研修（実践講習または特定講習）において、情報処理安全確保支援士同士の交流の機会があります。
集合型の研修（オンライン含む）であり、他の受講者と交流できる場合があります。

情報セキュリティ監査人補の資格取得の特例を受けて、簡単に資格取得することができます。
受講期間が通常5日間のところ、1日だけで済みます。

情報セキュリティの専門家として自信がつきます。国家資格でもあり、日本国内では認知度がある程度高いと思います。
また、発言に責任を持つような意識が芽生えるので、成長にもつながると思います。

情報処理安全確保支援士が担当することを求める案件に対応することができます。
入札条件等として制限がある場合があります。

情報処理安全確保支援士会に入会することができます。

デメリット

資格の登録、維持に費用と時間が掛かります。
資格維持のためには毎年受講が必要な共通研修と、3年に1回の受講が必要な実践講習または特定講習があり、どちらも有償です。
IPAが実施する研修を受講する場合、共通研修が20000円/1回、実践講習が80000円/1回のため（2021年時点）、3年で140000円必要です。 また、初回登録時にも費用が掛かります。これらの費用を所属組織が負担してくれる場合もあるかもしれません。

研修については以下に説明があります。
情報処理安全確保支援士（登録セキスペ）の受講する講習について

費用負担が結構大きいので、個人で負担する場合には資格取得を躊躇する理由になるかもしれません。

国際的な知名度が低いです。
国際的な知名度が必要な場合はCISSP等、他の資格取得を目指した方が良いと思います。

資格を持っていても何にも使わなければ、あまり意味がありません。
できることなら、取得した資格を何かに活かせると良いですよね。
もちろん、資格取得のために勉強したことはその後の人生の役にも立つと思いますが、ここで言いたいのは資格を役立たせるということです。

資格の分類

資格にも色々なものがあります。まずは分類について見てみます。

日本では国家資格と民間資格に大きく分けられます。
国家資格は、文部科学省の資料では以下の4つに分類されています。

1. 業務独占資格
2. 名称独占資格
3. 設置義務資格
4. 技能検定

国家資格の場合は法律で規制が設けられているために、上記のように分類ができます。
資格がないと特定の業務ができないとか、名称が利用できないというような制約があります。

民間資格は国家資格に該当しない資格です。民間企業が認定する資格等です。

資格の用途1

資格の分類として挙げた最初の3つは、資格を法律で定義された特定の業務遂行のために使用します。これが1つ目の用途です。

資格の用途2

2つ目の用途は、1つ目と似ていますが法律以外の何らかの規則（入札規則等）で特定の資格保持を求めている場合の業務遂行のための使用です。 法律以外の規則というところが、資格の用途1と異なっているだけです。

資格の用途3

ここからは法律や規則による制限がない場合の用途について考えていきます。 つまり技能検定に分類されるような特定の技能を持つことまたはある水準を超えていることを示す資格について考えます。

資格の用途3-1

資格名称を伝えて、アピールする。 資格名称を伝えるるだけで、自分の能力を簡単に対外的に示すことができます。

入社のための履歴書だけでなく、上司や業務上の関係者に対してアピールすることができ、チャンスが広がります。 初めての取引先に対して、自分の技能を示すことで信頼度を上げることにも利用できます。

単に資格名称を相手に伝えるだけで、その資格のカバーする技能の範囲や深さについての概要を間接的に伝えることができるのはとても効率的です。
たとえ相手がその資格のことを知らなくても後で調べることができたり、資格名称から推測することもできます。

資格を取得していないのに、その資格相当の技能があると言ってもなかなか信じてもらいにくいですし、その範囲をいちいち説明して、これができる、あれもできると言うのも面倒です。
資格名称の一言だけで伝わるのは簡単で、余計な装飾も必要ありません。
名刺やメール署名等に記載して伝えることができるという意味でも便利です。

資格の用途3-2

資格を使って様々な情報を入手する。

これには複数のパターンがあります。

単に同じ資格保持者のコミュニティに参加して、情報交換を可能とします。
資格保持者であることが条件になっているコミュニティでの議論ができたり、資格保持者向けの情報発信を受け取ることができます。 中にはISC²のようにPDIコース（オンライン学習コンテンツ）を提供しているケースもあります。

資格維持のために必要な研修の受講やセミナーの参加により情報を入手します。
情報処理安全確保支援士やCISSP、PMP等、資格維持のために研修受講等を必須としている資格があります。 これは資格維持のための作業で、資格の活用とは違いますが、この強制力を活かすという捉え方もできるのでここに挙げています。

資格の用途3-3

資格を使って割引を受ける。

別の資格の受検費の割引やセミナーの受講費割引を受けられるものがあります。 たとえば、情報処理安全確保支援士やCISSPの方は、情報セキュリティ監査人補の資格取得に特例制度があります。高度情報セキュリティ資格特例制度

資格を使ったアピール方法

実際にアピールしようと思う場合にどう使えるかについて考えます。

1. 名刺に記載する
2. メールの署名に記載する
3. 履歴書等の応募書類に記載する
4. バッジ（物理）を身に着ける
5. バッジ（デジタル）をSNSに紐づける
6. バッジ（デジタル）をWebに掲載する
7. 口頭で伝える
8. 認定証（紙）を相手の目に入るところに飾る（置く）
9. 認定組織のWebに氏名等の情報を掲載する

今後、特定の資格について取得したくなるかもしれない情報について書きたいと思います。

SNSでインターネットに接続しないのが一番のセキュリティというような記述を目にしていろいろ思ったので、思ったことを書きます。

インターネットに接続しないのが一番のセキュリティ とは

この言葉で言いたいのは、インターネットに接続すると攻撃されるリスクが高まるため、接続しないのが一番リスクが低いということだと思います。
確かにインターネットに接続することによるリスクはたくさんあって、接続するのとしないのとを比べると接続しない方がリスクは低く、その点はメリットと言えます。

しかし、そもそもインターネットに接続しないという選択肢が取れない場合もあるので採用できない場合もあります。また、一番のセキュリティという割に、インターネット接続の観点しか触れていないので考慮不足と思います。

一番のセキュリティとは

一番のセキュリティという言い方が曖昧なので、最善のセキュリティ対策状態について考えてみます。
セキュリティの基本的な要素は機密性と完全性と可用性と言われています。
機密性というのは、許可された人だけがアクセスできるようにすることです。これができていない場合は情報漏洩が発生したりします。
完全性というのは、情報が改ざんされていない状態とすることです。正しい情報であるということです。
可用性というのは、必要な時に利用できることです。使いたいのに使えないというのでは役に立ちません。

これら3つがバランスよく対策されていて、対策に掛かるコストも許容範囲内でおさまっているのが最善の対策状態と言えます。 バランスが悪く、どれかの観点だけに重点的に対策していても、対策できていない部分で問題が発生する可能性が高いため、バランスよく対策することが重要です。
セキュリティの侵害は相対的に脆弱な部分が原因となることが多く、対策する際も脆弱な部分から対策する方が効果的と考えられます。 例えば、非常に脆弱なソフトウェアのバグが発見された場合はそのバグを利用した攻撃が多くみられ、これに該当する場合には簡単に侵害されることになります。
その場合、他の部分の対策がどんなにしっかり行われていても、侵害を防ぐのには役に立たないこともあります。

唐突にコストについても触れましたが、コストも重要です。
セキュリティ侵害により被る被害額よりも対策に掛かるコストの方が高い場合はビジネス観点で無駄にコストを掛けていることになります。 したがって、対象のコンピュータシステムにより対策に掛けられるコストも変わります。当然、対策内容も異なります。

最善のセキュリティ対策状態というのは、対象のコンピュータシステムに合わせて十分に検討された対策が施された状態です。 したがって、具体的なコンピュータシステムを限定せずにこの対策をすれば良いというようなものは定義できません。 多くのコンピュータシステムに当てはまる対策であっても、それが適切でないケースもあり得ると思います。

インターネットに接続すべきかどうかについて

インターネットに接続すべきかどうかについて、セキュリティ対策の観点から決めるものではないと思います。 対象のコンピュータシステムがインターネットに接続することが必要なのであれば接続すべきですし、不要であれば接続すべきではありません。
最小限という観点はセキュリティの観点でもありますが、セキュリティの観点で検討すべきはむしろインターネットに接続すべき場合です。
インターネットに接続すべき場合に、どのようにセキュリティを担保すべきかについて、可用性（利便性）を損なわずに如何に対策するかがポイントです。
如何にインターネットを活用しビジネスに生かしつつ、セキュリティを担保できるようにするかというのが重要です。

インターネットに接続しない場合のリスクについて

インターネットに接続しない場合、インターネットという利便性がなくなるため、これによるビジネス効率の低下が懸念されますが、セキュリティの観点でも懸念はあります。
セキュリティ上のリスクはインターネットだけではありません。内部犯行もありますし、内部ネットワークやUSBなどのモバイルデバイスも攻撃経路の一つです。
あるPCがインターネットに接続していないとしても、別のPCがインターネットに接続できるのであれば、そこから侵害されることもあります。 インターネットに接続していないからと言って、セキュリティ対策が不要になるわけではありません。

まとめ

攻撃を受ける経路はインターネットだけではありません。インターネットに接続していない場合でも必要な対策を行いましょう。
適切なセキュリティ対策は状況により異なります。リスクや資産を評価し、必要な対策を検討しましょう。
セキュリティの目標は、使わないことではなく、安全に使用することです。インターネットを含め必要なものをできる限り安全に利用できるように対策を施しましょう。

最近、セキュリティの勉強をしているのですが、世の中にはセキュリティガイドライン（セキュリティ基準、参照すべきセキュリティ文書）がたくさんあって簡単には覚えられないので、自分で列挙しながら調べることにしました。 ただし、ガイドラインそのものは基本的に読めていません。 なお、本記事は随時更新します。

ISO/IEC 27000シリーズ

ISMSとしても知られるマネジメントについての規格。

ISO/IEC 27001

組織の ISMS を認証するための要求事項

ISO/IEC 27002

情報セキュリティ管理策の実践のための規範 ISO/IEC 27001に対して具体的な内容となっていて、27001は要求事項であり、27002は実践の要領などが記載されている。

ISO/IEC 27017

ISO/IEC 27002 に基づくクラウドサービスのための情報セキュリティ管理策の実践の規範 クラウドサービスの提供者側、利用者側に対するセキュリティ基準。

NIST SP 800シリーズ

NIST（米国国立標準技術研究所）が公開している情報セキュリティの文書群。

NIST SP 800-18

連邦情報システムのためのセキュリティ計画作成ガイド

NIST SP 800-30

リスクアセスメントの実施の手引き 数少ないらしい？リスクアセスメントに関する文書。

NIST SP 800-34

ITシステムのための緊急時対応計画ガイド

NIST SP 800-37

連邦政府情報システムに対するリスクマネジメントフレームワーク適用ガイド： セキュリティライフサイクルによるアプローチ 同様の文書として、COSOの「Enterprise Risk management - Integrated Framework」というものがある。

NIST SP 800-53

連邦政府情報システムおよび連邦組織のためのセキュリティ管理策とプライバシー管理策

NIST SP 800-57

鍵管理における推奨事項

NIST SP 800-61

コンピュータインシデント対応ガイド

NIST SP 800-63

電子的認証に関するガイドライン 上位ポリシーとして、OMB M-04-04がある。

NIST SP 800-64

システム開発ライフサイクルにおけるセキュリティの考慮事項