Offensive Security Engineer

一言でいうと

攻撃者と同じ視点でシステムへの侵入を試み、実際に破れる経路とその影響を示すことで、守り側の設計を検証する職種です。

この職種の出自と登場時期

侵入テストの実務は1990年代からありますが、体系化が進んだのは2010年代です。転機は2013年に MITRE が ATT&CK の公開を始めたことでした。実際の攻撃者が使う戦術と技術を分類したナレッジベースが共有されたことで、攻撃の再現が個人の技能から共通言語のある作業へ移りました。

資格の面では OffSec の OSCP が、実技で侵入を成功させることを合格条件にした点で影響を持ちました。知識を問う試験ではなく、制限時間内に実環境を攻略する形式が、この職種の評価軸を示しています。

国内では2018年前後から、セキュリティ専業ベンダーに加えて事業会社でも内製のレッドチームを置く例が現れました。JPCERT コーディネーションセンターが脆弱性情報の窓口を運用しており、発見した脆弱性の届け出の流れも整っています。求人票では「ペネトレーションテスター」「脆弱性診断エンジニア」の名称で募集される場合が大半です。

ミッション

この職種が背負うのは、守り側の想定が現実の攻撃に耐えるかを実証することです。脆弱性の一覧を出すことではなく、それを組み合わせてどこまで到達できるかを示すところに価値があります。

そのため、報告の質が成果を決めます。破れた事実だけでなく、再現手順と影響範囲、そして修正の優先順位まで示さなければ、守り側が動けません。

主な業務範囲

• 脆弱性診断。Webアプリケーション・スマホアプリ・ネットワーク・クラウド構成を対象に検査する
• ペネトレーションテスト。発見した弱点を組み合わせ、目標への到達可否を実証する
• レッドチーム演習。検知されずに侵入できるかを試し、守り側の検知能力を評価する
• 報告と改善提案。再現手順・影響・優先度をまとめ、開発と運用に渡す
• 検証環境の整備と手法の更新。新しい攻撃手法を追い、検査項目に反映する

求められる能力

扱う範囲は、Webアプリケーションの攻撃手法、OSとネットワークの内部構造、認証認可の仕組みに及びます。スクリプトを書いて検証を自動化する力も求められます。ツールの出力を読むだけでは、組み合わせて到達する仕事が成立しません。

もう一つ求められるのが、報告を相手に合わせて書く力です。開発者には再現手順を、経営には事業への影響を伝える必要があり、書く力がそのまま成果の伝わり方を決めます。加えて、契約範囲を逸脱しない自制が前提条件になります。

この職種に就く人のキャリア経路

入口はセキュリティ専業ベンダーが多くを占めます。診断業務から始めて、ペネトレーションテストやレッドチームへ進む流れが一般的です。開発エンジニアやインフラエンジニアが、CTF や脆弱性報奨金制度での実績を足がかりに移る例もあります。

そこから先は、Product Security Engineer として守り側へ移る道、セキュリティコンサルタント、専門ベンダーの技術責任者へ広がります。

隣接職種との違い

採用担当の見極めポイント

• 求人票では、診断の範囲と実施頻度を書いてください。継続的に自社を検査するのか、案件ごとに外部を診断するのかで、応募する層が変わります
• 職務経歴書では、ツールの実行と、手動での深掘りを分けて確認してください。自動診断の運用経験と、脆弱性を連鎖させて到達した経験では水準が異なります
• 実施の合意と契約の範囲を、募集前に社内で整理してください。検証の権限が曖昧なまま採ると、担当者が動けない状態になります

求人・市場の傾向

国内の母集団はきわめて薄く、採用競合はセキュリティ専業ベンダーです。診断業務がベンダー側に集まる領域のため、媒体の件数と事業会社で採れる人数は一致しません。事業会社が採る場合、報酬に加えて自社環境を深く検証できる裁量が訴求の中心になります。

探すときは「セキュリティエンジニア」の職種カテゴリから入り、フリーワードに「ペネトレーション」「脆弱性診断」「レッドチーム」「OSCP」を重ねます。CTF の成績や脆弱性報奨金制度での実績が、経歴より判断材料になる場合があります。

関連キーワード

ペネトレーションテスト / 脆弱性診断 / MITRE ATT&CK / OSCP / レッドチーム / CTF / 脆弱性報奨金 / エクスプロイト