コンテストがセキュリティを学び続けるきっかけに
チーム名：「K-shiroのリベンジ」
ECCコンピュータ専門学校

ECCコンピューター専門学校のWebサイトより引用
IT開発エキスパートコース（4年制）
柿白　秀太さん
木下　雄一朗さん
飯田　夢基さん
岡崎　流依さん

コンテストに参加した理由は、昨年のリベンジ

―MBSD Cybersecurity Challengesを知ったきっかけは？

柿白さん：コンテストは、先生からの紹介で知りました。去年は2位だったので、今年こそ1位を獲ろうという気持ちからチーム名も「K-shiroのリベンジ」にしました。

木下さん：学内に貼ってあったMBSD Cybersecurity Challenges 2022のポスターで知りました。友人に誘ってもらったのが参加のきっかけです。

―セキュリティコンテストに参加した感想を聞かせてください。

柿白さん：最終審査では予選を突破した10チームが、12分の持ち時間で脆弱性診断結果についてプレゼンを行いました。僕たちのチームは見つけた脆弱性の中から、いくつかをピックアップして発表しました。発見したすべての脆弱性をきっちり発表しているところもあり、チームによる視点やプレゼン手法の違いを感じました。

木下さん：WEB系の技術は、どちらかといえば専門外の領域でした。先輩のサポートを受けて短期間に集中して勉強できたことで、例えば「GETリクエストですべて内容を送ってしまうのは、セキュリティホールではない」といった、具体的で新しい知識を身に付けられました。今後もセキュリティについて学び続けるきっかけとなり、いい勉強の機会になったと思います。

セキュリティ業界の“中の人”を見て、堅い業界というイメージに変化が

―今回のコンテストで、セキュリティ業界へのイメージは変わりましたか？

柿白さん：業界的には堅い雰囲気なのかなと思っていました。でも、MBSD Cybersecurity Challenges2022の審査員の皆さんが和気あいあいとしているのを見て、少し印象が変わりました。

木下さん：大会の進行がとてもスムーズだったのが印象的でした。多くのチームを相手に過密な時間なのに、10分程度のブレストで審査が完了するのがすごいなと。普段のお仕事でも緻密なやりとりとか、計算とか設計がうまいのかなと思いました。

―学校のカリキュラムでもセキュリティを学ばれていると思いますが、セキュリティキャンプのような授業以外の勉強会やセミナーには参加されていますか。

柿白さん：セキュリティの勉強会へも参加しますし、学生向けインフラコンテストに運営スタッフとして仲間と一緒に携わっています。

木下さん：勉強会にはなかなか参加できていないのですが、モバイル関連のカンファレンスや大きなイベントには参加するようにしています。ドキュメントを見ているだけの勉強では見落としが発生してしまうので、幅広く体系的な知識を得る機会だと考えています。

「脆弱性を見つける楽しさ」がセキュリティへの興味の第一歩に

―より多くの学生にセキュリティへ関心を持ってもらうには、どのようなアプローチがいいと考えますか？

木下さん：学生によっては、セキュリティ自体が好きという人もいますが、僕はどちらかといえば、「作りたい」という思いのほうが先でした。ただ、作る以上は責任が発生するので、その責任を果たすうえでセキュリティに関心を持つようになりました。今回のコンテストのようなWEB脆弱性診断は、学習しながら、調べながら進めていくこともできるので、セキュリティへの興味を深めやすい方法だと思います。

柿白さん：そうですね。セキュリティへの入り口という視点や、とっつきやすさでいえば、やはりWEBの診断になると思います。僕としては、全然知識のない状態から始めて、何をやっていいんだろうと模索しながら、一定期間内にどれだけ形にできるかを追求するのが楽しいので、「ものづくり×セキュリティ」ならより興味が持てるかもしれません。実際、コンテストでも脆弱性が見つかるとうれしかったです。僕らの下の世代は、最初からセキュリティをやりたいという人が多いですね。

後輩へのアドバイスは「発表レポートが重要」

―学校のWEBサイトに掲載されていた、最終審査会の記事を拝見しました。「後輩にいろいろと伝えていきたい」というお話をされていましたが、後輩や次世代へのアドバイスとして、具体的にどのようなことを伝えたいですか？

柿白さん：後輩には、脆弱性についての具体的な話もしますが、どちらかというとスライドの作り方やレポートの書き方を伝えたいですね。自分自身にもいえるのですが、脆弱性を見つけることも大事ですが、発表時のレポートのほうが重要だと思っています。
予選通過の10チームに選ばれたら、次年度のコンテントも参加したくなると思います。僕も1年生のときに参加して、たまたまチームで予選を突破できて、それをきっかけにコンテストやセキュリティの面白さを知りました。

―脆弱性に対する知識だけでなく、いろいろな質問にその場で対応する、面接に役立つようなスキルも学べる機会になったのかなと思いましたが、いかがでしょうか。

木下さん：そう思います。興味を持っていそうな部活の後輩にも勧めたいと思います。
次回参加するなら、今回の経験を生かしつつ、メンバー集めやコンテストの課題に向き合う時間を確保するよう調整に苦労した反省を活かしたいですね。