目指すは「スリーシェイクといえば、セキュリティ」。postings目指すは「スリーシェイクといえば、セキュリティ」。2021-05-22こんにちは。実は、個別に行っていた診断が好評だったため、晴れて事業化に至ったサービスなんです。数か月間の業務委託を経て正社員になったなめかわに、セキュリティ事業の魅力と今後の目標などについて話を聞きました。Securityの立上げメンバーとして、スリーシェイクへ――スリーシェイクへの入社前は、どのような仕事をしていたんですか?スリーシェイクに入社するまでに、大手IT企業など3つの会社を経験しました。担当していた業務は、いずれの会社でもセキュリティ関係でした。ネットワークの構築、インフラのセキュリティ運用、インシデントレスポンス、社内の開発者に対するセキュリティ教育など、セキュリティ全般ですね。――どのような経緯でスリーシェイクに転職したんですか?転職する前から、スリーシェイクとお付き合いがあったんです。最初は、副業としてスリーシェイクの業務を請け負っていて。当時はまだ事業化されていなかったセキュリティ診断を、個別のクライアントに提供していました。その後、セキュリティ診断が正式に事業化されることになって、「一緒に新サービスを立ち上げよう」と誘われたのを機に入社しました。――入社以前からスリーシェイクとつながりがあったんですね。正式に入社しようと決断した理由は何ですか?一つは、前職の環境に少し物足りなさを感じていたことです。前職の業界では、様々な規制があり、新しいサービスを簡単には展開できなくて...。新しいサービスが生まれないので、必然的にセキュリティ診断の案件も増えない状態でした。一つの理由は、個人では受注が難しい規模のプロダクトを診断できることです。業務委託で診断を請け負っていた時に、かなり大きいサービスの診断を任せてもらえたんですけど、それがすごく魅力的で。――大規模なサービスの診断ができることに、やりがいを感じたんですね。当時のスリーシェイクと同規模のスタートアップでは、なかなか獲得できないだろう案件だったので、すごいなと。スリーシェイクは成功しそうだなと、なんとなく思えました。社長の吉田さんは、一緒に仕事をして退屈しなさそうですし(笑)。あと、診断だけでなく、新しいサービスの開発を経験できることにも魅力を感じ、入社を決めました。クライアントの期待に、最大限応えたい――現在の業務内容をお聞かせください。Security」を担当しています。Webサイトとスマートフォンアプリの脆弱性診断ですね。診断の案件がある時は、診断をメインに行っています。Securityチームに入った人がいたので、勉強のサポートをしていました。その人は、今はもう一人立ちしています。――診断スキルを高めるために、取り組んでいることはありますか?毎日欠かさず、色々と情報収集しています。診断の合間に、勉強を兼ねて。海外のセキュリティエンジニアの方が、「こういう脆弱性を見つけた」とWriteupで公開したりしているので、それを読んだり。海外のサイトを見て情報収集することが多いですね。技術力はもちろん、英語力も向上しそうですね!診断業務の中で工夫していることを教えてください。「脆弱性があるので修正してください」というのではなく、より具体的な対応を提示するよう心掛けています。同じ脆弱性でも、Webサイトの仕様によって、攻撃者ができることが異なるんです。「この脆弱性があると、このサービスではこういった悪用ができてしまうので、ここをすぐに直す必要があります」といった感じで、できるだけ詳しくクライアントに報告しています。――あらゆる可能性を考えて診断するのは、大変そうですね。そもそも、セキュリティ診断は、一回で全ての脆弱性を見つけられるものではないんです。1か月かけて診断をすれば完全に見つけられるかと言えば、そうではない。オープンソースで開発されているプロダクトでも、毎年必ず脆弱性は見つかっています。...クライアントは、セキュリティに問題意識を持って診断を依頼してくださっている。私に可能な限り脆弱性を見つけてあげたいし、見つけないといけないと思っています。診断後に、「スリーシェイクのファンになりました!」とクライアントから感謝の言葉をいただけることがあるんです。それを聞くと心から嬉しいですし、頑張りがいがあります。――素朴な疑問ですが、なぜセキュリティ診断の道を選んだんですか?私の場合は、「そういう診断ができるような人になりたいな」というところからスタートしました。診断って、細かい挙動やサービスの本質を理解する必要があって。深い知識がないと、そもそも何が問題なのかがわからないんです。その深いところまで理解している、職人的な人になりたかったんですよね。セキュリティの対応ができる人=細かいところを理解している人なので、理想を実現する近道になるんじゃないかなと思ったのが始まりです。――たしかに、脆弱性の診断にはシステムに関する深い理解が必要ですよね。診断では、ある脆弱性について、他の脆弱性や他の仕様と組み合わせて、「もっとインパクトの大きいことができるんじゃないか」と考えていきます。これが、パズルを解いているようで楽しいんですよ。あらゆることを想定しないといけないので、技術的にも勉強になります。――セキュリティ診断に向いているのは、深く突き詰めていきたいタイプの人ですか?そうですね...深く調べることが好きな人には、かなり向いているだろうと思います。セキュリティと言っても、様々なジャンルがあるので。セキュリティだけでも幅広いので、向き不向きは一概には言えないかな。今このインタビュー記事を読んでいる人で、セキュリティに興味がある人がいたら、まずは一度話をしてみたいですね。「スリーシェイクといえば」に「セキュリティ」を加えていく――ご自身の今後の目標を教えてください。現時点では、「スリーシェイクといえばSRE」という状況ですが、そこにセキュリティという言葉を加えたいと思っています。いま提供している診断サービスに加えて、今後何か新しいプロダクトも開発していきたい。多くの人に使ってもらえて、自分達でも使いたくなるような。本当に良いものを作れるよう、考えているところです。――最後に、スリーシェイクの未来について、展望をお聞かせください。いわゆるGAFAのような、なくなったら困る人がたくさん出てくるような会社にしていきたいです。GoogleとかFacebookとか、急になくなったら困るユーザーが結構いるじゃないですか。いう会社にしていけたらいいなと・・・・実はこれ、社長の吉田さんが言っていることなんですが(笑)。すごくいいなと共感しています。他社と一線を画す、スリーシェイクならではの存在価値を高めていきたいと思っています。SuccessHR戦略コンサルタントリクルーティングアドバイザーセキュリティプロダクトのCSキャリアアドバイザーキャリアアドバイザー(技術者)目指すは「スリーシェイクといえば、セキュリティ」。代表取締役社長FollowYusukeOtherFollow株式会社スリーシェイクスリーシェイクは「企業経営のインフラ(エンジニアリング)を支えるプラットフォーム」として、4つの事業を展開しています。Engineering)の導入・実践に向けた伴走型コンサルティングサービス。AI、メディアなど、技術力が求められる領域で、Google社の提唱するSREの考え方に基づき、クラウドネイティブな技術導入、開発/運用プロセスの支援をしています。MLOpsなどの最新技術の知見を集約。文化も含めた「インフラ」を整備し、企業のSRE内製化をゴールとして活動します。クラウド型データ加工・連携プラットフォームです。デジタル化に伴うデータ活用、業務自動化ニーズに向けて、データ活用/業務最適化の課題を非エンジニアでも使いこなせるノーコード基盤で解決します。複雑化するサイバー攻撃に対して事業者が抱えるセキュリティリスクを無くすために、簡単操作で高性能なセキュリティチェックが実現できるプラットフォームです。「いいエンジニア」をあなたのチームに、をテーマとしたITフリーランスエンジニアの人材紹介エージェントです。エンジニア目線で案件や人材を分析することでミスマッチを防ぎ、双方にとって最適なマッチングとなるよう支援しています。