政府が、情報セキュリティ人材の新資格制度「情報処理安全確保支援士」を設置する方針であることがわかった。早ければ2017年度に設置し、2020年までに3万人の資格取得者を目指す。現行の情報処理技術者試験にはない資格の更新制を取り入れるのがポイントで、最新のセキュリティインシデントに対応できる人材を確保したい考えだ。
「情報処理安全確保支援士」は、「最新のセキュリティに関する知識・技能を備えた、高度かつ実践的な人材に関する国家資格」として創設される。専門人材を見える化し、活用できる環境を整備することが必要としており、「情報処理安全支援士」の名称を有資格者に独占的に使用させ、広く人材を活用できるよう登録簿を整備する予定だという。
政府では情報セキュリティ人材確保のため、2016年度春から企業内で情報セキュリティ対策の実務をリードできる人材確保のための新試験「情報セキュリティマネジメント試験」を情報処理技術者試験に設置することを決めている。政府はこれを「情報セキュリティを利用者側の現場で管理する者」と定めており、専門人材とは一線を画している。
一方、情報セキュリティの専門人材向け試験としては、情報処理技術者試験に「情報セキュリティスペシャリスト試験」がある。ただし、現行の試験制度では一度資格を取得すると更新の必要がなく、有資格者が日進月歩のセキュリティ対策に対応できる人材であるかどうかを推し量る手立てがなかった。
そこで、情報セキュリティスペシャリスト試験を廃止し、更新制度の無い情報処理技術者試験とは別の試験制度として情報処理安全確保支援士を新たに設けることにした。これまで決まっているところでは、試験内容は、情報セキュリティスペシャリスト試験を踏襲するものと見られるが、有資格者に対して定期的な講習の受講を義務化する方針だ。これは、有資格者が継続的な知識・技能の向上を図るためで、義務に違反したものは登録を取り消されるという。
試験および有資格者への講習の運用、実施は、情報処理技術者試験と同様、情報処理推進機構（IPA）が行うことになっている。
新制度のポイントは「更新」にあるのは明らかで、実際に高度セキュリティ人材を多く確保することにつながるかは、更新制度の「さじ加減」にかかっている。2～3年間で3万人の人材確保という高い目標を掲げているため、更新のハードルが高すぎると目標に達しないのではないかと不安視する向きもあるというが、ハードルを下げて中途半端な人材を増やしてしまったのでは本末転倒である。
単に講習を受講させて、知識を詰め込むだけでは、机上に強い非実践的な人材となってしまう恐れもある。本来目指すべきは、知識と経験の両方に長けた人材の確保であり、更新のハードルはできるだけ譲歩しないことが望ましい。何より、すでに高いレベルにある人材が「取得しよう」と思える制度でなければ、政府のいう「専門人材の見える化」にはつながらない。
加えて、2015年11月に世界中のステイクホルダーを集めて「情報セキュリティのダボス会議」として開催された「Cyber3 Conference Okinawa」で「グローバルでの情報共有」が何よりも重要と説いていたことからもわかるように、世界的な風潮として情報セキュリティ人材には、情報収集能力、情報収取のための人脈を持つ人材が求められている。
そのためには、情報セキュリティの国際的な会議・イベントへの参加・発表や技術者コミュニティへの参加、国際的な人脈・ネットワークの構築など、情報収集能力向上につながるハードルを設けることが必要となる。それを実践して初めて、現実の情報セキュリティインシデントに対応することのできる高度セキュリティ人材の確保につながるはずだ。そのことを念頭に、更新制度の中身を検討していく必要がある。
