脱・机上セキュリティ！開発未経験CSIRTが挑むWeb技術習得記 #学習記録 – Qiita

こんにちは、@spooonn@X(旧Twitter)です！
私は現在30代半ばで、ユーザ企業のCSIRTに所属して5年目のセキュリティエンジニアです。

本記事では、Webアプリ技術習得に向けた半年間の学習計画と、それに挑む決意を記します。

私はこれまで、以下のような上流工程のセキュリティ業務に携わってきました：

• セキュリティガバナンスの制定・管理
• セキュリティ脅威・脆弱性情報の収集・発信
• 脆弱性検査状況の管理
• セキュリティ対策の企画・運用状況の管理

いわゆる「全体を管理する側」であり、実際に手を動かすことはほとんどありませんでした。

元々は施工管理系の業務に従事していて、インフラ運用経験ゼロでCSIRTへ異動し、
NW機器、開発、サーバ構築などに携わった経験はほとんどないという状況でした。

セキュリティのスペシャリストを目指していこうとIPA高度情報処理資格やCISSPの取得など、座学では頑張ってきたつもりですが…
「実際にコードを書いたりインフラを触った経験はゼロ」。
なので、現場担当者との会話で、技術の話についていけないことも多く、
**「自分には技術的なスキルが不足している」**という現実に薄々気づいていました。
しかしながら、なまじ実績も積み上げてきて、普段の業務は最低限回っていることに甘えていました。

そんなある日、上司からこう言われました。

「このままではspoooonn君はセキュリティエンジニアとしてのキャリアアップは厳しい」

その一言をきっかけに、ようやく重い腰を上げる決意ができました。

「“技術をしっかり理解できる上流セキュリティエンジニア”になりたい」

まずは関心が強く、業務でも関わりが深いWebセキュリティを選び、
以下のゴールを目指して半年間の学習計画を立てました。
この記事はその決意表明でもあります！

最終ゴールはこれです：

ただ動かすだけじゃなく、「脆弱性を見つけて、自分で直せる」まで行くこと！

設計・開発スキルについては、Qiitaのこの記事で紹介されている
“ジュニアレベル”のエンジニアを目指しています。

• ✅ HTML/CSS/サーバサイドなどWeb開発の基礎を習得する
• ✅ ポートフォリオとしてWebサイトを構築・公開する

^1^ Webアプリ開発＋運用を、実務に応用するための発展編

📌 参考にしたロードマップ：
【図解】未経験から最短でWebエンジニアになるロードマップ【完全版】 – YouTube

• 学習メモや記録を残す（Qiita・Twitter・Notion）
• セキュリティ習得が目的。アプリの完成度は最低限でOK
• 教材は極力使わず、調べ学習＋公式ドキュメントを重視
• 完璧を求めすぎず、まず「やってみる」ことを優先

• セキュリティエンジニアだけど実装経験がない人
• 上流中心で、技術的な不安を抱えている人
• 「何かしなきゃ」と思っているけど、一歩踏み出せない人

• 【構築編】自宅サーバでWebアプリを立ち上げた記録
• 【診断編】OWASP ZAPで自作アプリを診断してみた
• 【修正編】脆弱性をどう直したか
• 【失敗編】構築・設定でつまずいたポイントと解決策

📡 学習の進捗は@spoooonnでもゆるく発信していくので、ぜひ覗いてみてください！

私はまだまだ技術的には未熟なセキュリティエンジニアです。
でも「わからないからやらない」ではなく、「わからないからやってみる」フェーズに入りました。

この挑戦が、同じように悩んでいる誰かのきっかけになればと願っています。
そして自分自身も、“技術に強いセキュリティエンジニア”へと成長していけるよう努力していきます。