高等教育に欠けているセキュリティ講座

コンピューターサイエンス課程のカリキュラムを見たことはありますか？多くの大学では、学生が履修する科目に共通点があります。一般的に、最初の学期にはコンピューターサイエンスの世界を紹介する入門科目があります。その後の学期では、プログラミング（オブジェクト指向プログラミングの入門を含む）、データベース、データ構造などについて学びます。つまり、コンピューターサイエンスの卒業生は、専門家ではないとしても、さまざまな分野にわたる幅広い知識を身につけて卒業します。しかし、カナダと米国の多くの課程には、明らかに欠けているものが一つあります。コンピューターセキュリティです。

コンピューターサイエンスのカリキュラムからこの基本概念が抜け落ちていることで、さまざまなレベルで複数の問題が生じています。まずは、コンピューターサイエンスとコンピューターセキュリティの分野を、より広い視点から見てみましょう。今では、サイバーセキュリティ人材の不足が知られています。データやプライバシーを守る重要な職務を担える有資格者が不足しており、そうした職務に必要な資格を持つ卒業生も少なすぎます。その理由の一つとして、コンピューターサイエンスの中退率が非常に高いことが挙げられます。サイバーセキュリティの問題に精通した卒業生を増やす必要があるなら、コンピューターサイエンス課程により多くの人を呼び込むのも一つの方法です。しかし、それ自体が課題です。

若い学生のコンピューターサイエンスへの関心を高める

高校生が大学への出願を準備するとき、興味があり、なじみのある課程を選ぶ傾向があります。高校では、地理、歴史、さまざまな理科科目、その他の人文系科目を学びます。では、コンピューターサイエンスはどうでしょうか？37州で、基礎的なコンピューターサイエンスの科目を履修している高校生は、わずか4.7%です。

コンピューターサイエンスの授業が不足していたことは、長年にわたる人気の低下につながったと考えられます。しかし近年、履修者数は再び増加しているようです。業界にとっては喜ばしいことですが、短期的な人材不足の問題がすぐに解消するわけではありません。ただし、数年後にコンピューターサイエンス課程の学生が卒業するころには役立つでしょう。とはいえ、より多くの学生を課程に呼び込むだけでは、問題を完全には解決できません。すでに述べたように、こうした課程にはデータセキュリティとプライバシーに関する授業が依然として不足しています。

世界各地でサイバー攻撃が増加していることは周知の事実です。サイバーセキュリティは非常に重要な課題となり、政府の指導者たちも議論するようになりました。こうした攻撃の勢いが衰える気配もありません。企業や政府は、有資格者を採用して攻撃に対抗する必要があります。

サイバーセキュリティの専門家、あるいは少なくともその分野に詳しい人を採用するなら、コンピューターサイエンスの卒業生を探すでしょう。卒業生が社会に出る準備を十分に整えられるよう、コンピューターセキュリティの問題への対処法を教えるべきなのは明らかです。残念ながら、現状はそうなっていません（少なくともカナダと米国では）。

大学の課程に欠けているもの

米国のコンピューターサイエンス課程上位50校のうち、卒業要件としてサイバーセキュリティの科目を必修としているのは3校です［出典］。カナダで人気の高い大学15校を調査したところ、良い知らせもありました。53%が学生向けのセキュリティ科目を設けています。悪い知らせは、その種の科目を必修としている大学はわずか13%だということです。つまり、国内の大半の課程では、コンピューターセキュリティに特化した科目を一度も履修せずに学位課程を修了できてしまう可能性が非常に高いのです。

カレッジはどうでしょうか？カナダでは、高等教育機関はカレッジと大学に分かれています。大学は通常、理論を重視する一方、カレッジは実践的な学びを重視します。カレッジは選択科目が比較的少なく、学生が履修する科目はあらかじめ決まっていることが一般的です。私の調査によると、一般的なコンピューター学課程のカリキュラムにコンピューターセキュリティの必修科目を設けているカレッジは、約27%でした。大学より割合は高いものの、まだ十分とは言えません。

これは具体的に何を意味するのでしょうか？大学やカレッジのコンピューターサイエンス課程では、コンピューターセキュリティをまったく教えていないのでしょうか？おそらく、そうではありません。

ここで対象としているのは、一般的なコンピューターサイエンスの学位課程とディプロマ課程です。多くの学校では、コンピューターセキュリティに特化した大学院修了証プログラムや継続教育の講座も提供しています。また、教室で実際に何が教えられているかも、この調査には反映されていません。たとえば、ネットワークの授業ではネットワークセキュリティの一部を扱うでしょうし、データベースの授業ではプリペアドステートメントについて説明するでしょう。しかし、授業内容は教授の裁量に委ねられています。コンピューターセキュリティに詳しい教授なら、その分野の内容を授業に取り入れるでしょうが、そうでない教授は取り入れないでしょう。

コンピューターサイエンスの卒業生はコンピューターセキュリティの仕事に就く資格がない、と主張しているわけではありません。ただ、セキュリティに特化した科目が提供されていないために、資格を満たさない場合があると言いたいのです。コンピューターセキュリティがニュースの最前線にある今、高等教育でセキュリティの授業が欠けているのはなぜなのか、疑問に思わずにはいられません。

Snykとともに開発者の学びを継続する

この問題の解決を支援するため、Snyk Learnでは、インジェクション、プロトタイプ汚染、Spring4Shellなどの脆弱性を取り上げた開発者向けレッスンを提供しています。レッスンでは脆弱性が実際にどのように現れるかを確認できるため、悪用の仕組みを具体的に理解できます。また、脆弱性の内部を掘り下げ、なぜ機能するのかを明らかにします。最後に、軽減策も紹介します。これらのレッスンですべての問題が解決するわけではありませんが、開発者がコンピューターセキュリティについてさらに学ぶための出発点となります。