セキュリティエンジニアの参画初月にやること｜現場で信頼される進め方

セキュリティエンジニアの参画初月は、作業の許可と範囲を書面でそろえ、守る対象と連絡の経路をつかみ、月末に「現状の見立て」と「何から手を付けるかの案」を出して合意を取るのが基本です。この職種では、許可の範囲を外れた作業や、事故のときに誰へ伝えるか分からない状態が、そのまま大きな問題につながります。最初の1か月は成果を急ぐより、安全に動ける土台をつくることを優先してください。

この記事では、初月のゴール、週ごとの進め方、案件の型による重心の違い、避けたい動き、月末の振り返りを整理します。開始日までの準備と最初の1週間の一般的な動き方は参画が決まってから開始日までにやることと参画初日から最初の1週間でやることで扱っているので、ここではセキュリティエンジニアならではの点に絞ります。

初月のゴールを3つに分ける

1か月で目指すことを、次の3つに分けておくと動きやすくなります。

この3つは順番に積み上がります。土台がないまま作業を始めると、構成の把握も計画づくりも、後で手戻りが出やすくなります。

1週目：許可と範囲をそろえ、現状を集める

作業の許可と範囲を確かめる

最初に確かめるのは、自分が触れてよい範囲です。診断の対象、ログや設定を見られる範囲、使ってよいツール、作業できる時間帯、接続元の端末と回線を、窓口と確かめます。契約の前に決めていた内容と現場の認識がずれていないかも、この時点で照らし合わせてください。

アカウントや権限を受け取ったら、付与された権限が作業に必要な範囲に収まっているかも見ておきます。必要以上の権限を持っていると、万一のときに自分の作業が疑われる理由になります。多すぎる場合は、そのことを窓口に伝えておくと安心です。

最初に読む資料

セキュリティエンジニアとして最初に読みたいのは、次のような資料です。

• システムの構成図と、外部に公開している部分の一覧
• セキュリティに関する社内の規程と、事故時の対応手順
• 過去の診断の報告書や、事故の記録（見られる範囲で）
• 使っている対策製品や監視の仕組みの一覧と、通知の流れ

資料が古い、または存在しないことも珍しくありません。その場合は、資料の不足そのものを月末の見立てに入れる材料として記録しておきます。

関係者と短く話す

窓口の担当者に加えて、システムを運用している人、開発の責任者、事故のときに判断する立場の人と短く話しておきます。聞くことは、困っていること、過去に起きたこと、セキュリティの担当に期待することの3点で十分です。

2週目：連絡の経路と報告の型を決める

重大な発見のときの連絡経路を決める

この職種で初月に決めておきたいのが、重大な問題を見つけたときや、システムに異常が出たときの連絡経路です。誰に、どの手段で、どこまでの内容を伝えるかを、窓口と決めておきます。夜間や休日の扱いもあわせて確かめてください。

報告の形を相手と合わせる

報告書や定例の報告の形は、相手の部門が動きやすいものに合わせます。過去の報告書の形、重大度の付け方、指摘の管理の方法（表計算、チケット管理の仕組みなど）がすでにあれば、まずはそれに沿います。見直したほうがよい点があれば、月末の提案に回します。

作業の記録の残し方を決める

作業の開始と終了をどう知らせるか、実行した操作と時刻、接続元をどこに残すかを決めます。記録があれば、システムに異常が出たときに自分の作業との関係を示せます。

3〜4週目：見立てを出し、優先順位に合意を取る

現状の見立てをまとめる

集めた資料と話、初月の作業の結果をもとに、現状の見立てをまとめます。守る対象の構成、既存の対策でできていること、手薄なところ、資料や運用の不足を、短く整理します。

優先順位は選択肢で出す

見立てをもとに、何から手を付けるかの案を出します。一つの案だけを示すより、「影響の大きいものから進める案」「すぐに直せるものから進める案」のように、選択肢と理由を並べて相手に選んでもらうほうが合意を取りやすくなります。予算や人の事情は発注側が一番よく知っているためです。

次の1〜2か月の計画を引く

合意した優先順位をもとに、次の1〜2か月の作業の計画を引きます。計画が契約の範囲を超える場合は、その扱いを窓口と確かめます。考え方は作業範囲が広がったときの記事をご覧ください。

案件の型によって初月の重心は変わる

脆弱性診断の案件

診断の案件では、初月のうちに最初の診断を終え、報告まで進むことがあります。重心は、対象と手法の確認、診断元の回線の届け出、作業の時間帯の取り決めに置きます。最初の報告書の出来が、その後の評価を大きく左右します。重大度の高い指摘は、再現の手順を自分で確かめてから報告してください。

監視の運用の案件

監視の案件では、通知の流れ、判断の基準、エスカレーションの経路を覚えることが重心になります。最初の数週間は、既存の担当者と一緒に通知を確かめ、誤検知の傾向や普段のシステムの動きを知ることを優先します。判断の基準があいまいな点は記録しておき、月末に整理して提案します。

設計・構築の案件

設計・構築の案件では、既存の構成と社内の決まりを知ることが重心になります。新しい仕組みを提案する前に、なぜ今の構成になっているのかを確かめてください。運用する側の負担を考えずに対策を増やすと、使われない仕組みになりがちです。

社内のセキュリティ担当の支援の案件

社内の担当者の支援として入る案件では、相談が多方面から集まりやすくなります。初月のうちに、自分が担う範囲と、社員の担当者が担う範囲を言葉で分けておくことが重心になります。

初月に避けたい動き

• 許可を確かめる前に作業を始める：「前任者もやっていたから」は理由になりません
• 見つけた問題をすべて一度に並べる：相手が動けなくなります。重大度の高いものから伝えます
• 前の現場の基準を持ち込む：まずは今の現場の基準に沿い、見直しは提案として出します
• 重大な発見を報告書の締め切りまで抱える：決めておいた経路で、すぐに伝えます
• 受け取った情報を私物の端末や外部のサービスで扱う：決められた端末と保管場所の範囲で扱います。自宅で作業する場合の考え方は自宅で働くときの情報セキュリティ対策をご覧ください

1か月の終わりに振り返ること

月末には、次の点を自分で振り返ります。

1. 作業の許可と範囲は、書面や記録で示せる状態になっているか
2. 重大な発見のときの連絡経路は、実際に使える形で決まっているか
3. 守る対象の構成と対策の現状を、一枚で説明できるか
4. 次の1〜2か月の優先順位に、窓口と合意できたか
5. 契約の範囲と、実際に頼まれている作業がずれていないか

ずれが見つかった場合は、早めに窓口やエージェントに伝えます。初月によくあるつまずきと対策はセキュリティエンジニアのつまずきやすい点の記事で整理しています。

よくある質問

前任者からの引き継ぎがほとんどありません。何から始めればよいですか？

まず作業の許可と範囲を窓口と確かめ、次にシステムの構成図や過去の報告書など、見られる資料を集めます。資料が足りないこと自体を記録し、月末の見立てに入れてください。引き継ぎの一般的な進め方は契約終了時の引き継ぎの記事でも扱っています。

参画初月から重大な問題を見つけたら、どうすればよいですか？

決めておいた連絡経路で、事実、影響の見立て、すぐにできる応急の対策を短く伝えます。まだ連絡経路が決まっていない場合は、窓口の担当者にすぐ伝え、誰が判断するかを確かめてください。報告書の完成を待つ必要はありません。

1か月たっても全体像がつかめません。どうすればよいですか？

全体像を一度につかもうとせず、外部に公開している部分や重要な情報の置き場所など、守る優先度が高いところから把握していきます。分からない部分は一覧にして窓口と共有し、次の1〜2か月で何を確かめるかを計画に入れると、相手とも認識をそろえられます。