セキュリティエンジニア in スタートアップが大事にすべき３つのポイント
FOLIOアドベントカレンダー ラストの個人投稿３回目です。過去２回は当社で利用しているプロダクトについてお話しましたが、今回は本ブログでも初のポエムになります。
セキュリティエンジニア（以降、エンジニア）がユーザー企業のスタートアップに転職したケースを目にする頻度が増え、時代の節目のようなものを感じます。
もちろん、昔からそういったスタートアップに参加するエンジニアはいたと思いますが、パブリックな情報として流れることは少なく、ましてや、経験した本人による体験談・ポエムは目にした記憶は全くありません。
そこで、今回はキャリアの選択肢の１つであろうスタートアップへの就職についての理解を深めるため、私の 超個人的経験と見解 をもとに、スタートアップで働く際に大事にすべきポイントをお話します。
どういうポジションから語るか
主観的な意見を述べるということは一定のポジションを取ることになりますので、最低限のバックグラウンドを共有させていただきます。
来歴
- 2011年: 某Nなセキュア。MSS/CSIRT/SOCに従事
- 2014年: 某MでFなFintech企業。創業２年目に参加して上場まで、社員数 50 -> 300を経験。モバイルアプリ開発とセキュリティ（なんでも）に従事
- 2018年: FOLIO。創業2年目。セキュリティ（なんでも）に従事 <- 今ここ★
スキルセット
- Blue成分多め。Red成分はGPENとWeb診断をツール回してできるくらい。
- 今後攻めていきたい分野
定義
- スタートアップ: 創業数年で、新たなビジネスモデルを開発して市場を開拓する段階の企業（コピペ）。セキュリティ専任はいない。
このような人間が超主観的に語るので、１㍉も賛同できない方はきっといると思います。そういった方は是非、別の経験と真実を共有いただければと思います。では、本題に入ります。
本題: スタートアップに入る際に大事にすべき３つのポイント
順番に紹介していきます。
VisionとCultureへ共感する
Visionはスタートアップが目指したい世界観であり、Cultureはその構築・運営時における価値観です。 そういった参加先のVision/Cultureにある程度、共感・納得しておくことが大事だと思います。 これは、リスクの多いスタートアップはは、ある程度の覚悟とその先にある世界観へ希望を持ってことにあたる必要があるためです。
どのようなリスクがあるのでしょう？まず事業リスクです。 よく言われることですが、創業から３年後のスタートアップは約50%が失敗します。そもそも市場の開拓 = 不確実性の高い領域で勝負するのですから、勝負に負けた場合、転職１年目で会社が潰れてしまうことだってありえます*1。
事業リスクのような外部だけでなく、社内部にもリスクはあります。 大きなリリースに向けた長時間勤務のような話がまずあげられます。ですが、これはスタートアップでなくともある話です。成長過程のスタートアップしかないリスクだと、いわゆる成長痛による社内の雰囲気の悪化などがあります。例えば、人事評価や組織の階層化の構築・運用開始時におけるメンバー間のスタンスの違いや、あるいは現在進行系の案件とVisionへのギャップを感じたコアメンバーの離脱などが挙げられます。
セキュリティエンジニアにとっては（プレイヤーとしての）成長の機会損失リスクです。確かにスタートアップは身軽ですが、身軽さ故に良くも悪くもおざなりになってる施策があります。そのボール拾いが最初の１年間のお仕事になる覚悟は必要です。例えば...
- 使い回されたパスワードの撲滅
- ばらまかれた特権の整理
- 整備されていないワークフローの洗い出し
- 業務端末一覧化
- 私用端末の撲滅
これらは最高に泥臭いですが、拾わなければいけないボールです。技術的なチャレンジはないただ淡々とこなす作業です。もちろん創意工夫の余地があることは否定しませんが、そんな余裕は普通ありません。技術にチャレンジする機会がすくないため、１人のエンジニアとしての技術的な成長をあきらめる一定期間というのは確実にありあｍす*3。
このように、スタートアップには様々なリスクがあります。そのような環境で働くことに本当にそれだけの価値があるのでしょうか？ それを見出すのがVisionとCultureです。なにも100%共感すべき、ビジョナリーカンパニーのように信望しろ、と言いたいわけではありません。 きたるツラミと戦うには一抹の希望を胸に抱かなければならなく、そのためにはVisionとCultureへの共感と納得が必要なのです。
多面的・多角的なインプットをする
スタートアップに入るセキュリティエンジニアは、おそらく最初のセキュリティエンジニアです。 そんなエンジニアにとっての最大の味方は上層部です。Visionを実現したい上層部はきたるリスクに対処する専門家の味方です。他のメンバーも同じです。
ただ、ちょっと穿った見方をすると「セキュリティなら仕方ないよね」という言い訳が通りやすい環境で、もっと穿ってみると専門家に物申す批判者が少ない環境です。
最高なUsableなセキュリティを実現しても、それが業界のレギュレーションに準拠していないならば、それは業界内の独り相撲です。逆にレギュレーションにきっちり100%沿っていても、実装がスタートアップの実態にあってないこともありえます。
技術が、規制が、コンプライアンスのうち何が優先度たかいのかという話ではありません。エンジニアがボトルネックである、という話です。１人の人間として得意とする or できることが、必ずしも全体における最適な選択肢ではない可能性があります。そして、ある選択肢を選んだエンジニアに突っ込める人はスタートアップでは本当に少ないのです。そのため、エンジニアの一面的な知識・経験ではそれ自体がリスクになる可能性があります。
したがって、エンジニアは最新技術のインプットのみならず、 フレームワーク*4やら業界規制やら社内の状況やらを様々な側面から入手・分析し、知識として蓄え、然るべき時に然るべきアウトプットを出せるようにしなければなりません。研ぐ対象が爪だけではなく、牙もわざマシンも魔具を準備しておくのです。
ビジネスとセキュリティのゴールをアライメントさせる（あるいはしているか確認する）
さて、エンジニアとして頑張った甲斐あって（？）会社も軌道にのったとしましょう。確実にその成長に貢献したと思っているところに、評価者から次のようなありがたいコメントを頂戴することもあります。
「何も成果をだしてない」
これはエンジニア本人にも評価者にも非常に悲しいことです。しかし、感傷的になっても生産的ではありません。原因を考えてみましょう。 恐らく、根本的な原因は評価者とセキュリティエンジニア間のゴールの共有不足ではないでしょうか。評価者はメンバーの貢献具合を計測します。そこには数字があり、スケジュールがあり、ロードマップがあります。セキュリティサイドにそれがない場合、またあっても共有不足で認識されていなければ、いくら貢献したと思っても評価されないのです。
せっかく使い回しのパスワード撲滅や全社２要素認証導入など泥臭い、しかし大事な作業をしたところで、その成果を認められなくては悔しくて夜も眠れないでしょう。悲しい思いをしたくないのであれば、セキュリティの戦略を作った上で、ビジネス上の戦略とのアライメントをとれるよう、密なコミュニケーションで働きかけましょう。ラフでもするのとしないのでは天地の差があります。
まとめ
スタートアップという特殊な環境にいる、特殊なセキュリティエンジニアだからこそ大事にしたい３つのポイントを共有させていただきました。この情報がスタートアップに対する転職の流動性にポジティブに働くかネガティブに働くかはわかりません。しかし、これをもとによりリアルなキャリア選択ができるようになることをのぞんでいます*5。
*1:そうなった方にこの間お会いした
*2:https://www.fool.com/careers/2017/05/03/what-percentage-of-businesses-fail-in-their-first.aspx
*3:個人活動は別
*4:例: https://csrc.nist.gov/Projects/Risk-Management
*5:できれば、一緒に働きましょう
