hackmdから移行

Author: wild0ni0n

README.md

@@ -0,0 +1,34 @@
+# 脆弱性診断士のキャリアデザインガイド
+
+構築済みのドキュメントはこちら：https://webapppentestguidelines.github.io/CareerDesignGuide/
+
+## 本ドキュメントの目的
+本ドキュメントは「脆弱性診断士」と呼ばれる職業についてお伝えするものです。
+
+これから就職や転職をしてセキュリティエンジニアを目指す方や、他職種から脆弱性診断士への転身に興味がある方などに向けた内容となっています。
+
+## 執筆者一覧
+### 執筆者
+TODO
+
+※順不同
+
+### レビュー・製作協力
+TODO
+
+※順不同
+
+
+## 本プロジェクトに関わる組織について
+### NPO日本ネットワークセキュリティ協会（JNSA）について
+NPO日本ネットワークセキュリティ協会は、ネットワーク・セキュリティ製品を提供しているベンダー、システムインテグレータ、インターネットプロバイダ等ネットワークセキュリティシステムに携わるベンダーが結集し、ネットワーク社会の情報セキュリティレベルの維持・向上および日本における情報セキュリティ意識の啓発に努めるとともに、最新の情報セキュリティ技術および情報セキュリティへの脅威に関する情報提供等を行うことで、情報化社会へ貢献することを目的としています。
+
+http://www.jnsa.org/
+
+### 日本セキュリティオペレーション事業者協議会（ISOG-J）について
+日本セキュリティオペレーション事業者協議会（Information Security Operation providers Group Japan 略称: ISOG-J）は、セキュリティオペレーション技術向上、オペレータ人材育成および関係する組織・団体間の連携を推進することによって、セキュリティオペレーションサービスの普及とサービスレベルの向上を促し、安全で安心して利用できるIT環境実現に寄与することを目的として設立されました。
+
+http://isog-j.org/
+
+### 本プロジェクトに関するお問い合わせ先
+本プロジェクトに関して質問や要望、改善すべき点や感想等ございましたら、本GitHubのIssueにてご連絡いただけますと幸いです。

archetypes/default.md

@@ -2,6 +2,7 @@
 title: "脆弱性診断士のキャリアデザインガイド"
 description: "脆弱性診断士のキャリアデザインガイド"
 weight: 1
+bookToc: false
 # bookFlatSection: false
 # bookToc: true
 # bookHidden: false

content/_index.md

@@ -0,0 +1,34 @@
+---
+title: "脆弱性診断士のキャリアデザインガイド"
+description: "脆弱性診断士のキャリアデザインガイド"
+weight: 1
+bookToc: false
+# bookFlatSection: false
+# bookToc: true
+# bookHidden: false
+# bookCollapseSection: false
+# bookComments: false
+# bookSearchExclude: false
+---
+# 脆弱性診断士のキャリアデザインガイド
+
+本ドキュメントは「脆弱性診断士」と呼ばれる職業についてお伝えするものです。
+
+これから就職や転職をしてセキュリティエンジニアを目指す方や、他職種から脆弱性診断士への転身に興味がある方などに向けた内容となっています。
+
+## 脆弱性診断・脆弱性診断士とは
+私たちが普段使用しているWebサイトや、スマートフォンのアプリケーションなどには「脆弱性」と呼ばれるセキュリティ上の弱点が存在する可能性があります。
+その原因となるのは、設計や実装上のミスや、使用しているライブラリに起因する問題、設定の不備などさまざまです。
+
+このような脆弱性を、攻撃者が発見する前に見つけ出して修正するためのテストを「脆弱性診断」と呼びます。
+また、適切な手法で脆弱性診断を行えるための技術や知識を保有している人材を「脆弱性診断士」と呼んでいます。
+
+脆弱性診断は目的や対象によって診断の手法が異なるため、プラットフォーム診断、Webアプリケーション診断、スマホアプリ診断といった診断の種類が存在します。
+
+現在では、システムをリリースする前には必ず脆弱性診断を実施し、セキュリティの問題点を洗い出して修正した上で公開することが求められています。
+
+## アンケート取得について
+本ドキュメントを作成するにあたって、過去に脆弱性診断士を経験、もしくは現在も脆弱性診断士である方向けに、2023年12月6日〜2024年1月10日の期間でアンケートを採りました。
+
+本ドキュメントの一部の内容はアンケート結果に基づいて執筆しています。
+アンケート回答者の属性については6章を参照して下さい。

content/docs/chapter1/_index.md

@@ -0,0 +1,12 @@
+---
+title: "第1章 脆弱性診断士という仕事"
+description: "脆弱性診断士のキャリアデザインガイド"
+weight: 10
+type: chapter
+# bookFlatSection: false
+# bookToc: true
+# bookHidden: false
+# bookCollapseSection: false
+# bookComments: false
+# bookSearchExclude: false
+---

content/docs/chapter1/section1.md

@@ -0,0 +1,59 @@
+---
+title: "1.1 脆弱性診断士の業務における役割と責任"
+description: "脆弱性診断士のキャリアデザインガイド"
+weight: 11
+bookToc: false
+type: docs
+# bookFlatSection: false
+# bookToc: true
+# bookHidden: false
+# bookCollapseSection: false
+# bookComments: false
+# bookSearchExclude: false
+---
+
+# 1.1 脆弱性診断士の業務における役割と責任
+
+脆弱性診断士はその業務において、主に以下のような役割があります。
+
+1. 脆弱性診断業務
+
+* システムやアプリケーションの脆弱性を特定
+* セキュリティ上の欠陥や設定ミスを発見
+* リスクの重要度評価と優先順位付け（トリアージ）
+* 新しい脅威や攻撃手法の研究と対策の検討
+
+2. 報告・提案業務
+
+* 発見した脆弱性についての詳細な報告書作成
+* 具体的な対策方法の提案
+* 経営層向けの説明資料の作成
+* コストや現状を考慮した現実的な解決策の提示
+
+また、主に以下のような責任を担います。
+
+1. 技術的責任
+
+* 正確な診断結果の提供
+* 最新の診断技術の習得と適用
+* 診断によるシステムへの影響の最小化
+* 適切なツールと手法の選択
+
+2. 倫理的責任
+
+* 機密情報の適切な取り扱い
+* 診断で知り得た情報の守秘義務遵守
+* 診断結果の改ざんや隠蔽の禁止
+* 公正かつ中立な立場での診断実施
+
+3. 法的責任
+
+* 関連法規制やガイドラインの遵守
+* 診断に必要な許可・承認の取得
+* 契約内容の厳守
+* コンプライアンスへの対応
+
+脆弱性診断士は技術的な専門性だけではなく、高い倫理観と責任感を持って業務を遂行することが求められます。
+
+脆弱性診断士スキルマッププロジェクトでは、脆弱性診断士の行動規範を示す「[脆弱性診断士倫理綱領](https://github.com/OWASP/www-chapter-japan/blob/master/skillmap_project/code_of_ethics.md)」を公開しています。
+

content/docs/chapter1/section2.md

@@ -0,0 +1,19 @@
+---
+title: "1.2 脆弱性診断士の業務内容と必要なスキル"
+description: "脆弱性診断士のキャリアデザインガイド"
+weight: 12
+bookToc: false
+type: docs
+# bookFlatSection: false
+# bookToc: true
+# bookHidden: false
+# bookCollapseSection: false
+# bookComments: false
+# bookSearchExclude: false
+---
+
+# 1.2 脆弱性診断士の業務内容と必要なスキル
+
+脆弱性診断では、さまざまな対象の脆弱性を発見する必要があるため、各種システムやプロトコル、IT技術、攻撃技術や防御技術などに関する幅広い知識が求められます。
+
+[脆弱性診断士スキルマッププロジェクト](https://github.com/OWASP/www-chapter-japan/tree/master/skillmap_project)では、「[脆弱性診断士スキルマップ＆シラバス](https://github.com/OWASP/www-chapter-japan/tree/master/skillmap_project#%E8%84%86%E5%BC%B1%E6%80%A7%E8%A8%BA%E6%96%AD%E5%A3%AB%E3%82%B9%E3%82%AD%E3%83%AB%E3%83%9E%E3%83%83%E3%83%97%E3%82%B7%E3%83%A9%E3%83%90%E3%82%B9)」として、脆弱性診断業務に必要な技術的な能力を対象としたスキルマップを公開しています。現在はWebアプリケーションとプラットフォームの2つが存在し、それぞれSilverとGoldレベルの技能レベルが設定されています。

content/docs/chapter1/section3.md

@@ -0,0 +1,34 @@
+---
+title: "1.3 脆弱性診断の種類"
+description: "脆弱性診断士のキャリアデザインガイド"
+weight: 13
+bookToc: false
+type: docs
+# bookFlatSection: false
+# bookToc: true
+# bookHidden: false
+# bookCollapseSection: false
+# bookComments: false
+# bookSearchExclude: false
+---
+
+# 1.3 脆弱性診断の種類
+
+脆弱性診断は診断対象とする領域により、サービス名称や実施内容が分かれています。
+Webアプリケーション診断、プラットフォーム診断、スマートフォンやタブレット上で動作するアプリケーションを対象とした診断や、IoT機器や制御システムを対象とした診断など、対象に応じてさまざまな脆弱性診断が存在します。
+
+これから脆弱性診断士を志す方は、スキルマップや資格が存在している、Webアプリーケーション診断、プラットフォーム診断の2種類から取り組まれることが多いと考えられます。
+
+アンケート結果を見ると、ほぼすべての方がWebアプリケーション診断を経験し、半数以上はプラットフォーム診断も経験しています。
+
+下表にて例を紹介します。
+それぞれの診断についての考え方について、より詳細に知りたい方は<脆弱性診断の種類に関する参考文献>をご参照ください。
+
+| 名称                                   | 対象                                            |
+| -------------------------------------- | ----------------------------------------------- |
+| Webアプリケーション診断                | Webアプリケーション、WebAPI、アプリミドルウェア |
+| プラットフォーム診断、ネットワーク診断 | サーバ、ネットワーク機器（ネットワーク経由）     
+
+<脆弱性診断の種類に関する参考文献>
+
+・デジタル庁　[政府情報システムにおける脆弱性診断導入ガイドライン](https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/e2a06143-ed29-4f1d-9c31-0f06fca67afc/3bc45d3c/20220630_resources_standard_guidelines_guidelines_08.pdf)

content/docs/chapter1/section4.md

@@ -0,0 +1,95 @@
+---
+title: "1.4 脆弱性診断士の需要と市場動向"
+description: "脆弱性診断士のキャリアデザインガイド"
+weight: 14
+bookToc: false
+type: docs
+# bookFlatSection: false
+# bookToc: true
+# bookHidden: false
+# bookCollapseSection: false
+# bookComments: false
+# bookSearchExclude: false
+---
+
+# 1.4 脆弱性診断士の需要と市場動向
+
+## 市場動向
+
+総務省の政策白書令和6年版のデータ集によると世界のサイバーセキュリティ市場規模は右肩上がりの状況です。
+
+* [](https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/r06/html/datashu.html#f00293)
+* 2019年：485億ドル
+* 2020年：535億ドル
+* 2021年：614億ドル
+* 2022年：711億ドル
+* 2023年：790億ドル
+
+<center>
+{{<mermaid>}}
+---
+config:
+    xyChart:
+        width: 900
+        height: 600
+---
+xychart-beta
+    title "世界のサイバーセキュリティ市場規模"
+    x-axis ["2019年","2020年","2021年","2022年","2023年"]
+    y-axis "金額（単位：億ドル）" 0 --> 1000
+    bar [485, 535, 614, 711, 790]
+{{</mermaid>}}
+</center>
+
+JNSAの国内情報セキュリティ市場2023年度調査報告においても、診断サービスは右肩上がりの状況です。
+- https://www.jnsa.org/result/surv_mrk/2024/2023_securitymarket.pdf
+
+* 2021年：51,804百万円
+* 2022年：53,970百万円、4.2％増
+* 2023年：57,747百万円、7%増
+* 2024年：61,790百万円(見込み)、7%増
+
+<center>
+{{<mermaid>}}
+---
+config:
+    xyChart:
+        width: 900
+        height: 600
+---
+xychart-beta
+    title "脆弱性診断の市場規模"
+    x-axis ["2021年","2022年","2023年","2024年"]
+    y-axis "金額（単位：百万円）" 40000 --> 70000
+    bar [51804, 53970, 57747, 61790]
+{{</mermaid>}}
+</center>
+
+2024年度は、前年度までの流れから変わらずに堅調な推移となったとあります。今後も本カテゴリは拡大傾向にありますが、景気動向の影響が大きいカテゴリであり、情報セキュリティの重要性の認識は従来よりも高まっていることから、引き続き堅調な成長が見込まれるとあります。
+
+さらに株式会社アイ・ティ・アールの市場調査レポートによると、2023年度Webアプリケーション（以降、Webアプリ）脆弱性管理市場は35.4億円で前年度比28.3%増の見込みとのことです。
+- [](https://www.itr.co.jp/topics/pr-20240523-1)
+
+Webアプリの利用増加とともに、Webアプリの脆弱性を突いた攻撃が増加しています。機密情報や個人情報の漏洩、企業活動の停止など膨大な損害を被ることから、出荷前診断などの脆弱性診断を行い、強固なWebアプリを構築する動きが加速しているとあります。
+
+また、2023年1月、経済産業省が2024年度末を目途にECサイトの脆弱性診断の実施を義務化する方針を発表し、市場拡大の追い風となっています。このような状況から、2027年度には55.6億円に達すると予測しているようです。
+
+## 脆弱性診断士の需要
+
+脆弱性診断士の需要も市場の増加に伴い、増えていくと考えられます。
+
+脆弱性診断は、市販ツール主体で実施するベンダーもあれば、市販ツールでは見つけにくい脆弱性を手動やそのベンダー独自のツール・ノウハウを生かし、市販ツールではかゆいところに手が届かない部分まで診断を実施をしているところもあります。
+
+ベンダーや担当によって、市販ツールを使いこなす人、手動でなければ見つけられない脆弱性を見つける人、それをツールやノウハウとして組み込む人などが求められてくることが想定されます。
+
+昨今では、ツールが高度化しており、知識が不足していても、実施できる部分が多くなっています。このような背景もあり、診断の内製化が進むことも考えられます。そうなると、市販ツールの使い方をレクチャーする事案や客先に常駐して診断を実施することも増えてきます。その場合、これらに対応できる人が求められるでしょう。
+
+また、Webアプリ診断の需要が増えると予測されているため、Webアプリ診断の脆弱性診断士の需要が増える可能性があります。特にWebアプリの診断はまだまだ人が手動で実施しなければ、脆弱性を洗い出すことが難しいアプリも多いため、需要が見込まれます。
+
+一方、プラットフォーム診断も無くなるわけではありません。しかし、市販ツールの活用による内製化が加速したり、クラウド利用により従来のプラットフォーム診断ではなく、そのクラウドの設定診断を実施するなど変化しています。
+
+また、スマートフォンアプリケーションなどのサーバ機器ではないアプリケーションに対する診断もあります。さらに、昨今ではIoT機器が多く発売されていますが、これらに対する診断も需要があります。
+
+以上のことから、脆弱性診断士全体としての需要は増えていきますが、必要とされる組織や診断を実施する対象は変化していくと考えられます。
+
+なお、脆弱性診断は一般的に閑散期と繁忙期があり、閑散期は年度初め、繁忙期は年度末が多いため、需要は時期による影響も受けるでしょう。

content/docs/chapter2/_index.md

@@ -0,0 +1,12 @@
+---
+title: "第2章 あなたも脆弱性診断士に！"
+description: "脆弱性診断士のキャリアデザインガイド"
+weight: 20
+type: chapter
+# bookFlatSection: false
+# bookToc: true
+# bookHidden: false
+# bookCollapseSection: false
+# bookComments: false
+# bookSearchExclude: false
+---

content/docs/chapter2/section1.md

@@ -0,0 +1,31 @@
+---
+title: "2.1 セキュリティエンジニアの入口に最適な仕事"
+description: "脆弱性診断士のキャリアデザインガイド"
+weight: 21
+bookToc: false
+type: docs
+# bookFlatSection: false
+# bookToc: true
+# bookHidden: false
+# bookCollapseSection: false
+# bookComments: false
+# bookSearchExclude: false
+---
+
+# 2.1 セキュリティエンジニアの入口に最適な仕事
+
+セキュリティエンジニアと呼ばれる職種にはさまざまなものがあり、セキュリティ専門の技術職だけではなく、さまざまなものがあります。
+以下のドキュメントでは、セキュリティ分野に関わるさまざまな職種や分野が紹介されています。
+
+* [JNSA：セキュリティ知識分野（SecBoK）人材スキルマップ2021年版](https://www.jnsa.org/result/skillmap/)
+* [経済産業省：サイバーセキュリティ体制構築・人材確保の手引き](https://www.meti.go.jp/policy/netsecurity/downloadfiles/tekibihontai1.1r.pdf)
+
+セキュリティという分野は、幅広い知識が要求されます。セキュリティエンジニアとして活躍するためには、セキュリティ自体の専門分野はもちろんですが、対象とする組織やビジネス、開発やインフラ、運用などにも知見が必要です。
+
+脆弱性診断士として業務を行っていく上で得られる以下のような経験は、セキュリティエンジニアとして進んでいくための入口として最適な仕事の1つと言えるでしょう。
+* 脆弱性や攻撃手法、対策についての知識を学ぶことができる
+* ネットワークやシステム、アプリケーションに対する理解が深まる
+* 最新のセキュリティトレンドに対する知識が得られる
+* セキュリティの事象や問題に対する解像度が高まる
+* セキュリティエンジニアとして倫理的に正しい行動を取るための基盤が築かれる
+* OJTやトレーニングカリキュラムが整っている