コモディディ化を唱えるコンサルがコモディディ化する矛盾

コンサルの大量発生

コンサルの大量採用が止まらない。世の中のエージェントの八割以上はコンサルの仲介業者なのでは？と思うぐらいである。

エージェントは笑いが止まらないはずだ。コンサルの給料がチキンレースかのように上昇し、支払われる手数料は割合も額も鰻登り。とりあえず転職を考えている人にコンサルを紹介。練習という立て付けで受けさせて内定を得る。採用難易度が駄々下がりしているので、数打ちゃあたる。提示される給料が良いので、勘違いさせて入社させる。求職者の将来なんて１ミリも考えていない。入社させるためにあの手この手で騙くらかす。

親身になって転職活動を支援している人もいるとは思うが、ごく少数派では？仮想通貨バブルと同じで、流れに乗り遅れまいと必死に営業営業。

こんなことになってしまっているのは、全て”DX(デジタルトランスフォーメーション)”って言葉に踊らされている人、企業がたくさんいるからだ。

DXバブルが弾けるきっかけ

今の株価は実態に伴わないバブルだという人がいるが、”DX”関連のことの方がよっぽどバブルである。何を言いたいかというと、

• 実態が全くない、成果が全く出ていない高単価の仕事

が世の中に溢れているってことである。一個あたりの利益が1円にも満たない何銭の世界で戦っている大企業が、平気で月単価数百万円のコンサルを使う。では、そのコンサルは費用に見合った仕事をしているのであろうか。

仮に、月単価200万のコンサル3人を６ヶ月使った場合、合計で3,600万円のお金が必要。利益率を10％と仮定すると、売り上げとしては3億6,000万円必要となる。

そんな成果を出している人、ほとんど見たことがない。その３人にひたすら投資用マンションを売らせた方がよっぽど費用対効果が良さそうな気がする。しかも、月単価200万は、大手コンサルだとジュニアレベル。対してもスキルもないジュニアがググって調べて作った資料に3,600万円払っているようなものである。

そろそろ経営者の人たちも

• あれ？コンサル高くね？何も成果出てなくね？

って気が付く人が増えてくると思われる。その時が、DXバブル崩壊の時である。継続の契約を勝ち取ることができず、契約期間満了に伴い、コンサルはお払い箱になる。

DXバブル崩壊後の世界

想像するのは非常に簡単。需要と供給が逆転して、コンサル余りになるだけである。よくコンサルはベンチャーや事業会社で引っ張りだこというが、それは昔の話。

パワポのお絵かきしかできず、専門性もなければスキルも低いコンサルをわざわざ雇う理由がない。本質的な仕事をしてきた人は一瞬でその判別がつく。書類選考は比較的に通りやすいかもしれないが、面接となったらすぐに何もできないことが露呈してしまう。

歳をとれば取るほど悲惨である。採用面接で、”即戦力としてあなたは何ができますか？”と質問されても、

• ググったことを綺麗にパワポにまとめることができます
• コミュニケーションハブになれます
• 会議のファシリテートができます
• 見栄えが良い数字を作ることができます　等々

中身のないことしかアピールできない。３０歳近くになれば、やる気元気は求められない。やる気元気は大前提でプラスアルファの専門性が求められる。しかも、コンサルの給料が良いからそれに似合った職となると、さらに専門性が求められる。

それなりの規模の事業会社では、専門性はなくとも、フットワークが軽く、コミュニケーション能力が高い人は一定数いる。なので、わざわざその層を中途採用で補填する必要がないのである。

求められるのは、難しい課題、未知の領域への挑戦の際にピンポイントで成果が出せる専門性と高いスキル。そもそも、そんなもの持ってたら、いくらDXバブルが崩壊したとしてもコンサルとして食っていける。結局のところ、余りものとなってしまったコンサルだけの問題になる。無限ループ。

コンサルを目指している人へのアドバイス

日常生活ではあまり偉そうなことは言えないのだが、ブログということで思ったことをストレートに書いてみる。

新卒でコンサルを目指している人向け

一般的なビジネススキルを素早く身につけられるのは確か。ただし、昨今の働き方改革の恩恵？もあり、死ぬほど働ける環境ではない。特に大手や有名どころでは顕著である。なので、思ったほどすぐに成長できる環境ではない。本当にがむしゃらに働きたいんだったらベンチャーに行くべき。資金繰りに困ったりしたら、休んでいるわけにはいかないので、必然的に仕事せざるを得ない環境に追い込むことができるからだ。

専門性は全く身につけることができない。個人の努力次第ではどうにかなるが、仕事でしか身につかないことも多いので、どうしても薄くなってしまう。

長くいればいるほど、給料が上がって出づらくなる。２、３年働いて、サクッと本当にやりたいことを見つけて、転職するのが吉。特に、第二新卒カードを使える期間が勝負。それを過ぎると、転職したくてもできなくなる可能性が高い。

転職でコンサルを目指している人向け

＜そもそも一芸がある人＞

コンサルに入った方が良い。コンサルも事業会社もなんだかんだ求めているのは専門性。

絶対にやってはいけないのは、

一芸を無視して心機一転新しいことに挑戦する

である。専門性はとことん追求すべき。もちろん、芸の肥やしになると思われる新しいことはどんどんやるべき。ただし、あくまで軸は自分の持っている一芸。

給料も上げることができるし、自信にもつながる。いいこと尽くめ。

＜一芸がない人＞

オススメしない。無駄に時間を過ごすだけの可能性あり。現状維持は停滞なので、心機一転コンサルになるのは悪いことではないが、その前にもっとよく自己分析をすべき。

• お金と仕事どっちが大切なのか
• 本当にやりたいことはなんなのか
• そもそもやりたいことはなんなのか
• 今の仕事の不満な点はなんなのか
• その不満は今の仕事の中で解消できないのか　等々

就活生の自己分析は大して重要ではないが、転職する場合の自己分析は非常に重要と考えている。”時間”と”若さ”は取り戻せないからだ。就活生の場合は、嫌だったらさっさと辞めれば良い。やり直しはいくらでもきく。最強の武器である”若さ”があるのでどうにかなる。

その若さも残念ながら歳を追うごとに劣化していく。中途半端に歳をとった状態での選択ミスは致命的というか、精神的ダメージが大きい。ポジティブ思考だったら、思い立ったら吉日で即行動も良いが、、、

給料もあげたい、一生ものの専門性を身につけたいってのは、実現しないので、冷静になってどっちを優先したいか真剣に考えるべき。二兎を追うものは一頭も得ず。

最後に、、、

いつも通り、なんかまとまらない文章になってしまったので、一旦これでおしまい。

何が言いたかったかっていうと、バブルは弾けると危ないよ！ってだけ。

それをどう思うかも、人それぞれ、個人次第。

コンサルを超える　問題解決と価値創造の全技法

CISA勉強メモ〜復習と備忘〜

 復習と備忘を兼ねてCISAの勉強メモを殴り書きする。

・継続的かつ測定可能な品質向上

・承認されていない→IT部門が共通の目標に向かって業務を進められていない

・IT戦略が企業戦略に合わせるDescription

・ポリシーの遵守の促進→遵守を可能とするITメカニズムの存在

・IT運営委員会→IT計画、予算の承認と状況のモニタリング

・責任を取るのは事業部門責任者

・ITガバナンスの責任者→取締役会

・Job Description→職責と説明責任

・BSC：バランススコアカード

1. 財務：株主に対してどのような行動を取るか
2. 顧客：顧客に対してどのような行動を取るか
3. 社内プロセス：どのような業務プロセスが必要になるか
4. 学習と成長：どのように組織、従業員を成長させるか

・発券抽出法→サンプリングのこと？

・実証性テスト：監査目標の満足度を突合、確認、立ち合い等で直接的に検証し、被監査対象の作業結果や成果物の妥当性を点検、評価。

・準拠性テスト：予備調査で把握したコントロールが有効に機能しているか整備状況、遵守状況を検証

・インベントリ：資産目録のこと

・十分かつ適切な監査の証拠を集める

・情報システム監査規定：情報システム監査の役割

・CAAT：Computer Assisted Audit Technique コンピュータ利用監査技法

・リスク管理：保護すべき資産の識別

・CSA：Control Self Assessment →より早くリスクを検知

・システム監査：法的要件が最優先

・Stop and Go サンプリング：逐次抜取サンプリング→予想、逸脱率が予測できない時に利用

・監査規定の変更：監査委員会で決める。独立性が重要

・十分なコントロールの欠如：脆弱性

・信頼率を下げること標本数を減らす

・発見的コントロール：予防が難しいことを早い段階で検知（火災検知器）

・予防的コントロール：そのまま（免震床、防災扉）

・訂正的コントロール：消化器

・補完的コントロール：一億円以上の決済は営業部長の承認を得る

・退職：チェックリストを用意しなさい

・ITガバナンス：利害関係者の要件及び、その関与を判断

・ザックマンフレームワーク：複雑な組織を体系的に分析、把握、６行６列のマトリクス

・Enterprise Architecture：組織が最も適切な技術に投資できる

・エスクロー契約：カスタムメイドのソフトウェア会社が倒産→ソースコードを第三者で管理

・チェックデジット：転置、転記エラー

・SDLC：Software Development Life Cycle

・RAD：Rapid Application Development

・ソーシャビリティテスト：既存システムへの影響確認

・回帰テスト：既存シナリオへの影響確認

・従業員の結託：識別が難しい→リスク

・ハッシュトータル：ファイルに埋め込まれていない

・チェックデジット：ファイル末尾に埋め込まれている

・時間的な制約がある→クリティカルパスを確認

・タイムボックス管理：コスト高、納入遅延を防止

・ビジネスケース：システムのライフサイクルが終わるまで保存

・コードレビューが実施されていない：バッファオーバーフローの危険あり

・インターフェースエラー：トップダウンテストで見つける

・ビジネスケースを更新し、潜在的な是正措置を特定する

・トランザクションの監査証跡→責任、及び、説明責任を特定

・ERPの導入：IPCが責任

・導入計画、リリース計画は設計時にやる。

・CMM：能力成熟度モデル

1. 作業が場当たり的
2. 基本的なプロジェクト管理が実施可
3. 組織にプロセス管理を行なっている
4. プロセス、プロダクトの定量管理
5. プロセス改善に全員が参加

・トランザクションの網羅性：番号の自動配列

・導入事後評価：期待事項を満たしているか

・BPRのGAP分析

・並列テスト：新旧システムを比較する

・ソフトウェア取得プロセスにおいて契約レビューして承認するのは最も重要なプロセス

・プロジェクト運営委員会：プロジェクト成果物、コスト、スケジュール

・重要なコアコンピタンスは、外部委託するか慎重に検討すべし

・アルファテスト：組織内のユーザーのみ

・ベータテスト：外部ユーザーを巻き込んだ評価

・負荷テスト：通常ピーク時のソフトウェアパフォーマンスを評価

・ストレステスト：同時接続数の異常な数を評価

・実現性検証の結果により、組織的な影響（コスト、メリット、リスク）を判断

・データの正確性、網羅性、一貫性は編集などの品質コントロールによって確保

・データベースの完全性：テーブルリンク、参照チェック

・ネットワーク管理の重要なコンポーネント：構成、及び、変更管理

・OSSのライセンス条項に従う必要あり

・行われた変更を識別し、承認を検証する→組織の変更管理手順へのコンプライアンスの判断

・本番ライブラリの不正行動→システムログファイルレビューで見つける

・キャパシティ管理：SLAを満たしているかの確認

・DRPは必ずしもCEOの承認がいるとは限らない

・T1回線→企業向けデジタル専用線、ヨーロッパではE1回線

・DRPの復旧手順に依存：目標復旧時間

・人命の確保が最優先

・変更管理手続の有効性：独立した第三者による監査報告書

・コールセンターのSLA：一次解決率

・BCPはDRPにはない機能を想定している

・RTOが長ければ長いほど、耐災害性が高い

・DRPのテストが行われていない：壊滅的なサービス中断

・災害復旧→継続的→主要担当者の連絡先

・問題管理→例外事項分析

・準備テスト→比較的低コストで環境全体をシミュレートする

・是正的コントロール：復旧手順を進める

・サービス提供目標（SDO）：最低限許容できる操業能力

・互恵契約：提携先が距離的に離れている

・代替することができないデータの輸送：必ずバックアップを取得

・変更管理プロセスのレビュー：修正されたプログラムのサンプルが変更チケットに基づいているかを追跡する

・Disk to DIsk To tape Backup

・業務継続計画に関する従業員の研修

・パッチリリース：情報資産オーナーからの承認

・ホットサイト：稼働状態で待機

・ウォームサイト：非稼働状態で待機

・コールドサイト：機器の搬入等から

・緊急変更管理手順→説明責任→必要に応じて個人IDに本番アクセス権限を付与

・セキュリティアップデートの監査：自分ツールで確認

・災害復旧テスト→机上テスト→シナリオの機能テスト

・実際のリリースを使った災害復旧テスト→準備テスト

・災害復旧計画は業務継続計画の技術的要素

・BCPの最初のステップ：業務に障害をもたらした事象から回復する際のリスクを管理

・ハッシュトータル：データ処理におけるエラー検知、バッチレベルでトランザクションレベルを検証しない

・EUCツール：アプリ、テスト、及び、IT全般統制の対象外になりがち

・１対１チェック：個別文章とシステムの突合確認、時間かかる

・チェックデジット：データの転置エラーの防止

・特定の機密情報の保護：列または行レベルでの権限設定

・データベースユーザーの説明責任：ログ管理プロセスの導入

・削除が６ヶ月後：データの機密性が心配

・hidden：パラメータの改ざんが心配

・データマイニング：大量のデータから”知識”を見出す

・サーバOSの完全性：サーバ構成を強化する

・GSM：第二世代の携帯通信方式

・証拠の完全性の維持

・有効な予防コントロール：適切な職務の分離→SOD(Segregation of Duties)

・プライバシー要件の確認に最初にやること→法律、規制要件の確認

・ゲスト用無線LANは社内LANと分離しなさい

・二重ブラインドテスト：テスターがいきなり攻撃

・VoIP：Voice over Internet Protocol

・スプーフィング：ハッカーがユーザーになりすます

・DDoS攻撃：分散型サービス拒否攻撃

・クラウドベースの会計サービス：確実な情報の返還or破棄

・トランザクションログはWrite once Read many diskに書き込む

・LAN SwitchはUPS（無停電源装置）に接続しなさい

・リモートアクセスではパスワードは必ず暗号化

・医療情報(PHI)は、メールは自動で暗号化しなさい

・DAC：任意アクセスコントロール

・電磁放射：テンペスト攻撃

・スニファー：ネットワークトラフィックを監視

・監査中にウィルスを検知したらすぐに担当者に連絡する

・アクセスコントロール時に最初にやること：ISリソースの棚卸し

・ピギーバッキング：不正人物が物理的に侵入。共づれ禁止

・ダンプスターダイビング：ゴミ漁って重要情報を盗む

・ショルダーサーフィン：盗み見

・ステガノグラフィ→電子すかし→デジタル権利の管理

・ハッシング：不可逆がポイント

・送信者のアイデンティティは電子証明書で確認

・アクセスコントロールのレビューで最初にやること→ネットワークの接続ポイントの識別

・VoIPは一般的には暗号化しない

・VoIPの盗聴→ARPポイズニング

・インターネットの世界→Webサーバ→FW→IDS→社内LAN

・PaaSを使うときは、データの種類と機密度の分類分けが必要

・サイバー攻撃からの復旧→インシデント対応チームを発動

・無線LANのテスト：ウォードライビング

・電圧レギュレータ：電圧サージから保護

・ITセキュリティベースラインがある組織は充足性を最初に見る

・マントラップ→ピギーバッキング

・侵入テストをするときはデータ所有者からの許可を得ること

・明確に定義されたデータ分類ポリシーの利点→コントロールコストの削減

・不正オンライン決済要求：トランザクションの監視

・VPNのセキュリティリスク：悪意のあるコードがネットワークを駆け巡る

・セキュリティが正しく設計されていない→プロジェクト計画にセキュリティ要件があるかを確認する

・ファイヤーウォールの次がIDS

・ファーミング攻撃：DNSポイズニング→DNSの脆弱性

・チャンレンジレスポンス認証：セッションハイジャック攻撃に弱い

・証明書執行リストが更新されていないのはリスク

・メッセージダイジェスト：ハッシュ値を利用。送信者と受信者の双方で算出

・トランザクションの暗号化：高度暗号化標準　AES

・ホテルのロビーの端末：セッションタイムアウトを必ず設定

・EER：等価エラー率→他人受け入れ率（FAR）と本人拒否率（FRR）が一致するように調整した後のエラー率で小さければ小さいほど良い

・EER：equal error rate

・FAR：False Acceptance Rate　他人受入率

・FRR：False Recognition Rate　本人拒否率

・セクターレベルの上書き：完全にデータを削除できる

・フォーマットはデータが残るのでNG

・ネットワーク上の違法パッケージのローディング→定期的なハードウェアドライのチェック

・メールの機密性、完全性、否認防止→電子証明書

・サーキットゲートウェイ：トランスポート層で動作するファイヤーウォール

・ニューラルネットワークが不正行為の検知に有効→膨大な入力変数の考慮がいる場合

・ダンプスターダイビングのリスク軽減→セキュリティ向上トレーニングの実施

・Java applet、ActiveX→ファイルの発行元が信頼できること

・パリティチェック：誤り検出法の一つ。特定のブロックごとに奇数か偶数のチェックをつける

・エコーチェック：受信側でデータを送信側に返送し、送信側でチェックする。

・巡回冗長検査：データの転送などに伴う偶発的な誤りの検出

・セキュアな伝送媒体：光ファイバケーブル

・ロックイン：別の同種のサービスへの乗り換えが困難な状態

・認証局運用規定：CPS Certificate Practice Statement

・中間者攻撃：無線LANの傍受、通信内容の盗聴、オンラインバンキングへの不正送金→他要素認証が有効

・DLP（Data Loss Prevention）：社内からの持ち出し検知、漏洩防止

・シングルサインオンの不正利用防止：強力なパスワードポリシーの要求

・セキュリティ向上プログラムの妥当評価：職務記述書に情報セキュリティの説明責任を明示

・セッションボーダーコントローラー：IP電話関連、別のネットワークとの境界におく

・ネットワークへの受動攻撃：トラフィック分析

・IDSはDNZに設置すべき

・意思決定システムの導入リスク：目的、用例が指定不可

・ピングオブデス：DDos攻撃

・リープフロッグ攻撃：Telnetで侵入

・否定応答攻撃：非同期の割り込み、無防備→OSの脆弱性

・電子署名にはメッセージダイジェストが含まれる→送信者、受信者が互いに計算して確かめる→完全性の確保

・誤認アラームの可能性が高い：統計ベース

・署名ベース：新しい攻撃に弱い

・電源ラインコンディショナ：短期的な電力の消失

・公開鍵インフラストラクチャの登録機関：証明書を要求している人物によって提供される情報を検証

・真正性：間違ってないよ

・認証局の第一の目的は証明書の発行。証明書を保有しているエンティティの身元を確認し、自らの発行した証明書の整合性を確認すること

・公開鍵インフラストラクチャのディレクトリサーバは、他のユーザー証明書をアプリケーションで利用可能にさせる

・機密性、完全性、否認防止：電子証明書

・被監査人が結果に不満：IT監査マネジャーと話し合う

・年次内部情報システム鑑査のリスク格付け前：監査領域の定義

・固有リスク：影響を受けるユーザー、ビジネス分野の数で高まる

・固有リスク、統制上のリスクの両方が高い→実証性テスト

・情報システム監査計画の主な目的：リソースの割り当て

・組織図のレビュー：従業員の責任、及び、権限に関する情報

・意思決定支援システム：データ分析、及び、インタラクティブモデルに基づく意思決定

・情報システムコントロール目標：特定のコントロール手順の導入における望まれる結果

・リスクマネジメントプロセス：セキュリティーポリシーの意思決定

・ITガバナンスの導入成功：組織戦略の識別

・ITバランススコアカード：ITと業務戦略の架け橋。顧客満足度、内部処理、革新能力

・システム開発ライフサイクルプロジェクトの段階、及び、成果物はどこで決める？→プロジェクトの初期計画ステージ

・SLAの稼働率への準拠性：可用性レポート

・予防的コンピュータメンテナンスの妥当性：システムダウタイムログ

・ライブラリアンコントロールソフトウェアの使用：プログラムの変更が承認されること

・SLAに準拠できなかった：サポートモデルが適切に開発導入されていない

・業務継続計画が最新であることの保証：グループが計画の様々なシナリオを最初から最後までウォークスルー

・ハッシュトータル：データ処理のエラー検出、データの完全性エラー

・データファイル変更管理、例外事項調査、時間短縮→トランザクションログ

・RSAを使用した電子署名：認証、完全性、メッセージダイジェスト

・スニッフィング：ネットワークの中身を見てデータを抜き取る

・VPNはネット上のスニファーから情報を隠す

・メッセージ送信者の身元証明：電子証明書

・SSLは暗号化に対称暗号鍵を用いる

・トランザクションジャーナルは全てのトランザクションアクティビティを記録

・積極的なセキュリティ強化：ハニースポット

・公開鍵インフラストラクチャの登録機関の役割：証明書を要求している人物によって提供される情報を検証

・ビジネスインパクト分析→業務継続戦略→業務継続計画の順番

・許容できるダウンタイムの決定→BIA

・業務継続計画の有効性：テスト結果的の監査

・業務継続計画の明瞭性、簡潔さ→インタビュー

・ブラックボックス侵入テスト計画：クライアント組織の経営陣の知識

・データの機密性、信頼性、完全性、インターネットビジネス→SSL

・ストップアンドゴーサンプリング：発生確率が低いとき

・技術における変化率：正しいプロセスの導入

 改めて用語を振り返ってみると、楽しくはなかったなと。。。

公認内部監査人資格認定試験対応 内部監査基本テキスト〈第4版〉

AWS認定セキュリティ専門知識(SCS-C01)の勉強方法〜本質的な知識の取得〜

最近仕事で、AWS、Azure、GCPの三つのクラウドに同時に関わった。各々特徴はあるが、基本的な考え方は似たり寄ったり。一つ知っていれば他はなんとなくわかる。Javaをある程度理解していれば、Javascriptもある程度理解できるのと一緒な感じ。

どのサービスも非常に便利であるのだが、AzureとGCPはAWSと比較して圧倒的に情報量が少ない。日本語となると、さらに希少性が増す。なんだかんだで仕事で登場するシーンが多いくせに、体系だって学ぶ機会が乏しい。

”触って学べ”ってのは理解はしているが、電車、お風呂、就寝前etcetc 隙間時間で気軽に学びたいって人は多いはずだ！！（たぶん。。。）

Azure、GCPを使っているのだが、どうも勉強が進まないって人には、”思い切ってAWSの勉強をする”ってのを強くオススメする。

AWSの勉強をオススメする理由

1. パブリッククラウドのNo.1はAWS。共通的な思想はAWSがベースになっていることが多い。よって、AWSを勉強すればクラウドの基本が身に付く
2. AWSはITに関わっているならいつか絶対に出会う避けては通れないもの。勉強しておいて損が全くない。
3. 日本語の情報が豊富であり、英語を意識する必要がない。細かい設定例やニッチな構成例など、自分がやりたいことは大体ググれば見つかる

そして何より、一番オススメなのが、

• クラウドセキュリティの考え方、対策が身に付く

ことである。

設定一つで重大なセキュリティインシデントが起きかねないのがクラウドサービスの弱点。ITエンジニアは”知らなかった”では済まされない。会社に属している限り個人が責任を負うことはないかもしれないが、”知らなかった”は正直ダサいし、周りの人が本当に本当に本当に迷惑を被る。インシデントを処理する側からすると、”勘弁してくれよ・・・”っと無限に言いたくなる。

クラウドセキュリティに関しては、３大クラウドサービスで合わせてくれているのか、結果的に一緒になっているのかは定かではないが、共通的な思想なものが非常に多く、”AWSの知識”がそのまま流用できるケースが多々ある。（個人的には、仮想マシンやロードバランサといった王道的なサービスよりも知識の転換が楽と考えている。）

急がば回れ。AWSのセキュリティをしっかり理解できていれば、クラウドセキュリティなんて怖くない。しかも、体系的に学んで資格取得もできる。

AWS認定セキュリティ専門知識(aws security specialty)の勉強のススメ

AWSにはセキュリティに特化した資格がある。これが本当にオススメ。

＜オススメポイント＞

• 代表的なAWSのサービスのセキュリティ対策が身に付く
• 代表的なサービスは、どのクラウドも似たり寄ったりなので他クラウドサービスにも応用が効く
• AWSの知見も深めることができる
• OAuth、JWT、SAMLなど理解しているようでしていない用語の復習ができる
• いい意味でクラウドセキュリティへの恐怖感を和らげることができる

などなど、いいこと尽くめである。

＜勉強方法＞

ありがたいことに、日本語の参考書が存在している。しかも、端的にまとまっており非常に読みやすい。

練習問題が少ないので、試験にもっとガッツリ備えたいって人は、英語の参考書、Udemyの講座、examtopics.com等で補うのが良いかと思われる。ただし、いずれも英語のみなので要注意。

Udemyで結構探したが、AWSのセキュリティ資格の講座自体が少なく、当然ながら日本語の講座も見つけられなかった。また、全体的な受講者が少ないようで、講座の評価があてにならない可能性があるのでご用心。評価高いな？と思ったらそもそもの評価者が少なかったりするので要注意！！！今まで、”評価は高いが評価数が少ない講座”で結構失敗しているので、、、（３０日以内に返金すればいいだけの話なのだが対応がメンドクサイ）

AWSのトレーニング&認定ダッシュボードから練習問題を解くことができるが、解説がないので役に立った記憶はない。少なくともお金を払ってまでやる価値はない。何かしらの認定試験に合格すると無料で１回利用できたりするので、無料だったら利用してもいいかな？程度の認識。

＜難易度＞

クラウド、AWS初心者にとってはちょっときついので、他の資格で知識を補完してからが良いと思われる。逆にある程度の経験や知識がある人は、そのまま受験に向けての準備に着手して問題ないレベルと考えている。

近いうちに受験予定なので、実際の難易度、勉強時間、感想は改めて紹介します。半額クーポン使って、一発で合格しておきたい・・・

最後に、、、

この資格は、勉強することに価値があるので、”受験料もったいない、テストセンター行くのめんどくさい”って思っている人は、受験はせず、参考書買って勉強するだけで全然問題ないかと。参考書読んで理解するだけで、十分実務に生かせる。

AWS Certified Security – Specialty Exam Guide: Build your cloud security knowledge and expertise as an AWS Certified Security Specialist (SCS-C01)