サイバーセキュリティ人材育成調査メモ｜カナダ

グローバル規模でサイバーセキュリティ人材が不足する中、各国政府は次々と施策を打っています。

その中でも本記事では、『カナダ』に焦点を当て、政府がどのように人材育成に取り組んでいるのかをメモしています。

カナダサイバーセキュリティセンター（Canadian Centre for Cyber Security)

https://cyber.gc.ca/en/

カナダサイバーセキュリティセンターは2018年に設立されました。

同センターが設立される前は、カナダ政府のセキュリティ運用機能は国防省や公安省に分散されており、各組織の役割や責任が曖昧さが課題となっていました。

同センターは、サイバーセキュリティに関する政府の対応を主導しており、国のサイバー資産を保護および防御することに取り組んでいます。

特に、重要インフラや中小企業のサイバーセキュリティ窓口となり、支援を行うことで、国家のサイバーセキュリティを確保しています。

また、カナダ国内のサイバーセキュリティ人材の育成を行なっています。

サイバーセキュリティ人材育成に関する取り組み

キャリアの支援

カナダサイバーセキュリティセンターは、サイバーセキュリティのキャリアについての情報を公開しています。

https://cyber.gc.ca/sites/default/files/2020-09/2021-0089-student-guide-e-sept25-2.pdf

同ファイルには国内のサイバーセキュリティの状況、キャリアステップ、資格情報などが書かれています。

個人的に気になったのは下記の2点です。

• カナダでニーズのある資格一覧
• サイバーセキュリティを学べる大学一覧

カナダでニーズのある資格一覧

カナダ国内では次の資格のニーズが高く、取得が推奨されています。

Cyber Security Fundamentals
GIAC Security Essentials
CompTIA Security+
CompTIA Advanced Security Practitioner
Certified Information Systems Security Professional
Certified Information Security Manager
Certified in Risk and Information Systems Control
Systems Security Certified Practitioner
Certified Chief Information Security Officer
CyberSec First Responder
Certified Secure Computer User
Certified Secure Software Lifecycle Professional
Certified Wireless Security Professional
CertNexus CyberSAFE®
Certified Ethical Hacker
Certified Information Systems Auditor
Certified Cloud Security ProfessionalCyber Security Nexus Practitioner
Offensive Security Certified Professional
GIAC Information Security Professional
GIAC Security Leadership Certification
GIAC Information Security Fundamentals
GIAC Certified Perimeter Protection Analyst
GIAC Certified Intrusion Analyst
GIAC Certified Incident Handler
GIAC Certified UNIX Security Administrator
GIAC Certified Windows Security Administrator
GIAC Certified Enterprise Defender
GIAC Certified Web Application Penetration Tester
GIAC Assessing Wireless Networks
Global Industrial Cybersecurity Professional
GIAC Critical Controls Certification
GIAC Penetration Tester
GIAC Security Expert

CISSPをはじめ、ほとんどがグローバルで認められている資格ですね。

また、ここ数年で有名になったOSCPが含まれていることをみると、政府の柔軟さや動きの速さを感じます。

セキュリティを学べる大学一覧

また、同センターでは、サイバーセキュリティのプログラムを提供する大学を公開しています。

実は10年ほど前までは、カナダのオンタリオ州などでは、サイバーセキュリティのプログラムを提供する学校はごくわずかでした。

それが、2018年に政府がサイバーセキュリティ戦略『National Cyber Security Strategy』を発表して以降、ほとんどの教育機関がプログラムを提供するようになりました。

ちなみに、日本では、東邦大学の金岡先生が、国内のサイバーセキュリティ研究室を一覧化して公開しています。

https://github.com/akirakanaoka/seclablist

カリキュラムガイド

次に、同センターでは、サイバーセキュリティ教育を計画する事業者や教育機関向けに、カリキュラムガイドを公開しています。

このガイドでは、サイバーセキュリティの役割の定義（業務内容や一般的に要求される知識や実務経験）と、それぞれの役割に求められるトレーニング要件を定義しています。

ここでの役割のカテゴリは次の4つあります。

• Govern and Support：組織が効果的なサイバーセキュリティ対策を実施できるようにするための管理、指示、およびサポートを担当
• Protect and Defend：サイバーインシデントおよび脅威の検出、防止、対応、および回復を担当
• Operate and Maintain：効果的かつ効率的なパフォーマンスとサイバーセキュリティを確保するための管理、保守、およびサポートを担当
• Design and Develop：製品のライフサイクル全体にわたって、ハードウェア、ソフトウェア、およびシステムを開発、保護、テスト、および統合する担当

例えば、Operation and Maintainのカテゴリーには、ペネトレーションテスターが含まれているのですが、その具体的なトレーニング要件としては次の通りです。

• 暗号化と暗号化キーの概念
• 仮想プライべートネットワークデバイスと暗号化ソリューション
• ペネトレーションテストの原則、ツール、および手法
• 脆弱性評価と侵入テストの方法論とアプリケーション
• システムとアプリケーションのセキュリティの脅威と脆弱性
• ネットワークセキュリティアーキテクチャの概念と原則
• セキュリティ監査
• セキュアコーディング
• リバースエンジニアリング

他にも様々な役割についての定義があります。

カリキュラム作成は教育で最も難しいことの一つなので、こういった政府の取り組みは、国内の人材教育に大きく寄与しているものと考えられます。

参考文書