徳丸本の中の人 OWASP Japanアドバイザリーボード EGセキュアソリューションズ代表 IPA非常勤職員 脆弱性診断、WAFの販売・導入、セキュリティコンサルティングをやっています。
https://t.co/F0kveu1nJM

情報系の学部学生です。セキュリティに興味があり、セキュリティをやるなら基本的なITの基礎知識が必要だと思い、応用情報技術者試験の資格を取得しました。

続けて、セキュリティのより深い知識を習得したいと思い、次の情報処理安全確保支援士の試験を受けようかと思って勉強しているのですが、
"学生の時は数学とかプログラミングとかアルゴリズムのような基礎を学ぶべき"
といったことをおっしゃっているプロ(と思われる方)がたくさんいらっしゃる(ようにみえる)ので、基礎を極めた方がいいのかと悩んでいます。

徳丸先生としては以下のどちらを優先するべきだとお考えでしょうか。

・セキュリティの知識を習得する(セキスペを受ける)
・プログラミング等の基礎をきちんとやる

(私としてはどちらも勉強する気持ちはあるのですが、学校でもある程度後者はやっていて、正直言うと前者をやりたい気持ちです。しかし色々な人の意見を読んで気持ちが揺れてしまっています...)

2022/01/01 14:27

もし質問者さんが、大学の情報系学部での予習・復習・課題などを存分に行っていて、それでも力が有り余っているのであれば、私からのアドバイスは特になく、好きなことをやられたらよいと思います。
ただ、質問文にはちょっと気になる表現があります。「セキュリティをやるなら基本的なITの基礎知識が必要だと思い、応用情報技術者試験の資格を取得」とありますが、もしも情報系学部での学習をしっかりやられているのであれば、「ITの基礎知識を身につけるための資格取得」は不要なはずだと思うのですよね。なぜなら、「基本的なITの基礎知識」を学ぶことは情報系学部での主要なテーマであるからです。

> 徳丸先生としては以下のどちらを優先するべきだとお考えでしょうか。
>
> ・セキュリティの知識を習得する(セキスペを受ける)
> ・プログラミング等の基礎をきちんとやる

こちらへの回答ですが、「基礎的なことこそ優先して取り組みべき」と思います。何事も基礎が先、応用は後にするべきだし、基礎こそ若いうちにやっておくべきだからです。
そういう意味では、「ITリテラシー」ではなく単に「リテラシー」の能力こそ早期に身につけるべきです。文字の読み書きくらいできると思う人が多いとは思いますが、難解高度な文章を自力で読み、筆者の意図を正しく把握した上で、論旨を批判し、あるいは論旨の上に自分の考えを追加・構築していくということです。理系の方には「長文を読むのは面倒くさい、やりたくない」と言う方も多いようですが、それはリテラシーが不足しているということです。リテラシーが不足した状態では、難解高度な概念を習得し、自力で発展させることはできません。それはぜひ学生のうちに習得しておくべき技能だと私は考えます。

ギフトサポートする

徳丸 浩

コメント

継続サポートするとコメントを閲覧、投稿することができます。

その他の投稿
金融会社の社内SEに就職予定の学生です。最近セキュリティ業界に興味を持ったのですが、社内SEからセキュリティベンダーやセキュリティコンサルに転職するのは難しいのでしょうか。社内SEは調整役のような仕事で、技術が身につく訳では無いため転職し辛いというのを耳にし、疑問に思いました。
先日のバグハントの話しを拝見しました。

私はセキュリティ専門ではないので何とも言えませんが、脆弱性を調査する人が捕まる可能性があるって当事者からしたらどうなんでしょうか?

曖昧な法律の上にセキュリティが絡んでくるとなると、バグハント等を行なっている人の善意に委ねられると思いますし、逆に報われない努力になってしまう可能性があるって、やるせ無い気がしてなりません。

徳丸さんはもう少し境界線を明確にすべきだと思われますか?
徳丸本第2版で勉強中なのですが、OWASP ZAPがなぜか管理者権限でしか実行できず、さらに設定も保存されなくて、毎回1からやらなければならない状態です。どう対処すればよいでしょうか?

OWASP ZAPはバージョン2.11.1、PCはwindows10(64bit)、javaはVersion 8 Update 311を使用しています。
最近セキュリティの勉強をしているのでお聞きしたいです。
日本のバグハンター達(個人で脆弱性を見つけてる人)は、何かしらの法律違反にならないのでしょうか?

例えば調査で企業のログインページなどに、XSSやSQLインジェクションのスクリプトを挿入した場合、何も動作しなかったらセーフなのでしょうか?

スクリプトを挿入してログインなどをしてしまったら不正アクセス禁止法になるのは分かるのですが、そこら辺の線引きが気になります。
XSSとリンクの埋め込みコードは違いますか?
また、XSSとヌルバイト攻撃は単に記号の検索だけで成立されてしまうのでしょうか? 「script」や「password」などは入れていません。