「情報処理安全確保支援士って登録しても意味ない？」についての考察

こんにちは、ぎんたです。

僕自身は情報セキュリティスペシャリストという資格を持っていますが、情報処理安全確保支援士を受験しなおして、さらに登録した方がいいのかなと考えてしまうことがあります。

または、以下のように考えている方もいるかもしれません。

上記について調査したことと、そこから導かれた僕なりの考察は以下のとおりです。

セキュリティの勉強にはなるため、合格すること自体は意義がある
情報処理安全確保支援士相当の資格を有している場合は、あらためて受験するメリットは現時点ではない
合格している方で転職を目指している方は、あせって登録する必要はない。

この考察に至った理由などをこれから述べていきます。

情報処理安全確保支援士とは

IPA（情報処理推進機構）によると、以下のように紹介されています。

1．対象者像

サイバーセキュリティに関する専門的な知識・技能を活用して企業や組織における安全な情報システムの企画・設計・開発・運用を支援し、また、サイバーセキュリティ対策の調査・分析・評価を行い、その結果に基づき必要な指導・助言を行う者

2．業務と役割

情報セキュリティマネジメントに関する業務、情報システムの企画・設計・開発・運用におけるセキュリティ確保に関する業務、情報及び情報システムの利用におけるセキュリティ対策の適用に関する業務、情報セキュリティインシデント管理に関する業務に従事し、次の役割を主導的に果たすとともに、下位者を指導する。

1. 情報セキュリティ方針及び情報セキュリティ諸規程（事業継続計画に関する規程を含む組織内諸規程）の策定、情報セキュリティリスクアセスメント及びリスク対応などを推進又は支援する。
2. システム調達（製品・サービスのセキュアな導入を含む）、システム開発（セキュリティ機能の実装を含む）を、セキュリティの観点から推進又は支援する。
3. 暗号利用、マルウェア対策、脆弱性への対応など、情報及び情報システムの利用におけるセキュリティ対策の適用を推進又は支援する。
4. 情報セキュリティインシデントの管理体制の構築、情報セキュリティインシデントへの対応などを推進又は支援する。

出典：情報処理安全確保支援士試験のサイト

要約すると、サイバーセキュリティに関する専門知識を有している人で、組織のシステムのセキュリティを確保するための指導・助言をする立場の人となります。

個別・具体的にインシデントの調査を行う人というよりは、上流工程においてセキュリティ運用の設計や構築を行う人とか、コンサル的な業務を行うという意味合いが強いように感じられます。

情報処理安全確保支援士を登録することのメリットとデメリット

僕が考えるメリットは以下のものです。

名刺などにロゴマークを掲載することで、セキュリティの専門家であることをアピールすることができます。

サンプルはこのようなものです。

名刺などにロゴマークを使用できるので、いちいち名乗る必要もなく初対面の人にもセキュリティの専門家であることを伝えることができますね。

また、官公庁の入札案件では、情報処理安全確保支援士を所持している者を含むことを条件としているものがあります。

プロジェクトに参加するメンバーにこの資格の保持を条件とするものがあるので、官公庁案件を行いたい企業にとって必要になってくる場面がありそうです。

次に僕が考えるデメリットについて記載します。

資格維持に必要な費用は以下のとおりです。

3年周期で費用を計算すると、最初の3年間はおよそ16万円、次回以降の3年間は14万円とかかってしまいます。

また、業務独占資格ではない点も残念な気がします。

資格が無くても、情報処理安全確保支援士が行っているようなセキュリティ業務を行えてしまうからです。

これですと、別に取らなくてもいいんじゃないかなと思ってしまいます。

情報処理安全確保支援士の登録についての僕の考察

以上、調査したうえで僕の考えは以下のとおりです。

順番に説明します。

合格すること自体は意義がある。

セキュリティについての知識・技能を身につける手段として、試験を受験し合格すること自体は大変意義があると思います。

合格するためには、情報セキュリティについての深い知識や技能が必要となり、最低でも数百時間に相当する勉強が必要になるからです。

長い時間をかけた勉強を通してセキュリティについて多く学ぶことができるので、知識・技能を身につける手段としては良いと考えています。

登録は控えておき、転職の際に合格している旨を口頭で伝える

僕は何回か転職をしていますが、資格維持費を払ってくれない組織も存在しました。

その場合上記で説明した通り、3年間におよそ14 ～16万円の維持費を負担し続けなければならないので非常につらいです。

ただし、転職では登録はせずとも合格している旨を伝えたら有利に働くと思います。

セキュリティについての知識・技能があること、勉強をする姿勢をアピールすることができるからです。

登録を希望する場合には企業の面接では人事担当も出席していることが多いので、資格維持費を払ってもらえるか必ず聞いておくといいでしょう。

Ｑ2-2．情報処理安全確保支援士試験に合格した後、登録する期限はありますか？また、登録しない場合、試験合格は無効になりますか？

Ａ．登録の期限はありません。また、登録しないことにより試験合格が無効になることはありません。ただし、登録をしないと、「情報処理安全確保支援士」の名称を使用することはできませんのでご注意ください。（情報処理安全確保支援士でない方が資格名称を使用した場合、30万円以下の罰金となります。）

国家資格「情報処理安全確保支援士」

情報処理安全確保支援士相当の資格を取得していれば、登録は必要ない場合が多い

主に情報処理安全確保支援士の登録が必要な場面は、官公庁の入札案件となります。

ただし、情報処理安全確保支援士でなければならないというものでもなく、「同等の資格を有するものを含むこと」という文言が含まれている場合が多いので、必須というわけではないです。

僕の経験上ですが、CISSPがそれに相当すると判断されることが多かったので、この文言が含まれている案件において入札に参加できなかったことはなかったです。

結論として、情報処理安全確保支援士に相当する資格を持っている方は、あらためて試験を受ける必要は現時点ではないといえます。

個人的な意見ですが、他の専門職（医者や弁護士）のように、「その資格がないと○○というセキュリティ職には就くことが難しい」くらいになってくれたら登録したいとは思います。

「3年間でおよそ15万も払うのであれば、それくらいのメリットが欲しいな～」と思ってしまいます。

まとめ

今回は、「情報処理安全確保支援士って登録しても意味がない？」という議題についての自分なりの考察をしました。

合格しても登録はあまり焦る必要はなく、自組織から必要だからと言われたら登録するくらいの感じでいいのではと思います。

また、CISSPを取得されている方はあえてこの資格を取らなければならないということも、現時点ではないのかなとも感じています。

この記事が参考になれば幸いです。

以上、ぎんたでした。