採用向けサイバーセキュリティ評価テスト

サイバーセキュリティテストの対象分野

この6つの評価テストは、幅広いスキルをひとつのスコアで測るのではなく、それぞれ異なる分野に焦点を当てています。上級レベルのサイバーセキュリティテストでは、エンドポイント、ネットワーク、ウェブのセキュリティに関する脅威分析と実践的な対策を評価します。中級レベルの暗号技術テストでは、共通鍵暗号、公開鍵暗号と鍵交換、署名、ハッシュ関数、MACに関する応用知識を評価します。データセキュリティとコンプライアンスでは、データガバナンス、リスク、データ保護、アクセス制御、日々のセキュリティ運用を扱います。ペネトレーションテストでは、セキュリティの基礎、証拠に基づく脆弱性の検証、許可を得たテストの専門的な実施能力を評価します。特定のツールを使う業務向けのSplunkテストでは、検索、管理、データの取り込みとインデックス作成、Pivotを使ったデータモデルを扱います。Wiresharkテストでは、ネットワークトラフィックの取得、フィルタリング、解釈を評価します。各テストの所要時間は10分で、設問は選択式です。

職種とレベルで選ぶ

上級の「サイバーセキュリティ」テストは、セキュリティアナリスト、ネットワーク防御エンジニア、エンドポイント専門家、ペネトレーションテスター、セキュリティ運用スタッフ、クラウドまたはアプリケーションセキュリティの専門家に適しています。複数のセキュリティ分野にわたる脅威分析と対策に焦点を当てています。暗号システムに関わる業務には、中級の「暗号技術」テストが適しています。対象となるのは、機密データを保護するシステムを構築または検証するセキュリティエンジニア、暗号技術エンジニア、セキュリティアナリスト、ペネトレーションテスター、ITセキュリティ責任者、ソフトウェア開発者です。

中級の「データセキュリティとコンプライアンス」テストは、データベース管理者、データアーキテクト、データガバナンスまたはセキュリティの専門家、コンプライアンス・プライバシー担当者、機密データを扱うエンジニアやアナリストに適しています。許可を得たセキュリティテストを担う場合は、中級の「ペネトレーションテスト」テストを検討してください。対象となるのは、ペネトレーションテスター、レッドチームの実務担当者、セキュリティコンサルタント、セキュリティエンジニア、技術セキュリティ監査担当者です。中級のSplunkテストは、開発者、管理者、アナリスト、アーキテクト、セキュリティ・運用・オブザーバビリティエンジニアなど、Splunkを扱う方に適しています。中級のWiresharkテストは、ネットワーク管理者やエンジニア、セキュリティアナリスト、ペネトレーションテスター、ネットワーク監査担当者、接続の問題を調査するサポートエンジニアなど、業務でパケットキャプチャを読む方に適しています。

業務内容に合わせてテストを組み合わせる

サイバーセキュリティのあらゆる分野を一律に追加するのではなく、その職務における異なる責任範囲をカバーするテストを選びましょう。機密データを保護するシステムの検証が中心となる職務では、暗号化方式とデータ管理の両方が重要であれば、「暗号技術」と「データセキュリティとコンプライアンス」を組み合わせます。実践的なネットワーク防御を担う職務では、パケットキャプチャの読み取りも業務に含まれる場合、「上級サイバーセキュリティ」テストにWiresharkを組み合わせられます。許可を得たセキュリティテストを行う職務では、テストの実務と幅広い脅威への対策の両方が関係する場合、「ペネトレーションテスト」を「上級サイバーセキュリティ」テストと併用できます。

セキュリティ運用が中心の職務では、検索、管理、データ取り込み、インデックス作成、またはPivotを使ったデータモデルが業務に含まれる場合、Splunkを検討してください。別のテストを追加するのは、そのテストの対象分野が職務内の別の責任範囲と合致する場合に限ります。それぞれの結果は、ほかの関連情報とあわせて、候補者のスキルを示す証拠として確認してください。スコアだけで採用を決めるものではなく、これらのテストが合格基準や順位を定めるものでもありません。

設問設計と公平性

各テストの公平性に関する説明では、候補者に提示される背景情報について説明しています。「暗号技術」では、特定ベンダーの製品ではなく、一般的な考え方と広く公開されているアルゴリズムを扱います。コードがある場合も、実行せずに読める短いPythonコードです。小さな数値の計算は、メモ用紙で行えます。「サイバーセキュリティ」のシナリオでは、架空のホスト、ドキュメント専用のアドレス、.exampleドメインを使用します。関連する製品の動作を明記しており、実際に動作する攻撃コードは必要ありません。

「データセキュリティとコンプライアンス」では、特定の国の法律や特定ベンダーの製品ではなく、主要なデータ保護・セキュリティフレームワークに共通する原則を扱います。設問は平易な表現で、90語以内です。「ペネトレーションテスト」では、特定の法域に関する法律知識、ツールブランドに関する雑学、文化的な知識ではなく、架空のシステムと明示された実施条件を使用します。Splunkの設問では、評価対象となる検索、設定、またはイベントを示します。Wiresharkの設問では必要なパケット情報を提示し、特定のOSに依存する動作は扱いません。配慮事項については、公平性と配慮をご覧ください。