優秀なエンジニアほど、存在感が消える

スキルを積んで、誰より詳しくなった先に何が待っていたか。

正しいことをしても、評価されない世界でした。
でも、だから何だって話です。

設定変更で終わらせると、報告書に書くことがない

セキュリティの仕事をしていると、こういうことが頻繁に起きる。

ある案件で、bot対策が課題になった。
外部のコンサルが出してきた提案は、高価なWAFの導入。数百万円規模。

ちょっと待ってくれと。
そのbot、どういうリクエストを投げてきてるか見たのか？

僕がやったのは、RateLimitをかけて、User-Agentを含むヘッダをチェックするルールを追加した。それだけ。

結果、botのアクセスが9割減った。

高価なWAFなんていらない。
必要なのは「どんなbotが、どういうパターンで来てるか」を見極めることだけだった。
それを今ある環境で対処しただけです。

数百万円の提案が、設定変更で終わった。

ただ、ここに問題がある。

設定変更で解決すると、報告書に書くことがほとんどない。

一行で終わる。これが最適解なのに、見栄えがしない。

派手な方が「ちゃんとやってる感」がある

一方で、数百万円のWAF導入だったらどうか。
派手な提案書が出る。大きな予算が動く。導入プロジェクトが走る。報告会がある。
経営層から見ると「ちゃんとやってる感」がある。中身がどうであれ。

つまりこういうことです。

問題を未然に防いでいる人間は、経営層からは「何も起きてない＝何もしてない」に見える。
大事故が起きてから大騒ぎして対処した人間の方が、「あいつは頑張った」と評価される。

でも、別にいい。

RPGで例えるなら

Lv100のプレイヤーが中ボスをワンパンで倒したとする。
見てる側からすると、どう見えるか。

そうとしか思えないんですよ。苦戦の過程が見えないから。
むしろLv20のプレイヤーがギリギリで勝った方が、ドラマチックに見える。「あいつはすごい、頑張った」と。

でも、本当にパーティを守ってるのは誰ですか。
ワンパンで終わらせて、パーティに傷ひとつつけなかった方でしょう。

セキュリティも同じです。
派手なインシデント対応より、何も起こさないことの方がはるかに価値がある。
でもその価値は、目に見えない。

なぜ設定変更で終わらせられるのか

別に魔法を使ったわけじゃないです。

「どんなbotが来てるのか」がわかってた。
「既存の環境で何ができるか」を知ってた。
「どのレイヤーで止めれば効率的か」を理解してた。

全部、勉強して積み上げてきた知識です。
目的とゴールがわかってるから、最短距離で到達できる。

大事なのは、その現場に最適化した解を出すことなんです。
たまたま今回は設定変更で済んだ。別の現場なら別の答えになる。

その現場のシステム構成はどうなってるのか。どんなリスクが実際にあるのか。今ある環境で何がどこまでできるのか。運用する人間のスキルとリソースはどうか。
それを全部見た上で、最適な解を出す。

規模や業種によっては、高額なツール導入や外部監視が正解な現場だってある。
でも目の前の現場を見ずに、「他社でも導入してます」でソリューションカタログから引っ張ってくるのは、提案じゃなくてただの営業です。

業界の構造的な矛盾

もっと厄介なのは、業界のインセンティブ構造です。

オーバースペックな提案の方が、売上が立つ。
コンサル会社からすれば、設定変更で解決されたら商売にならない。
高額なソリューションを導入させた方が、会社としては正解。

つまり、クライアントにとっての最適解と、コンサル会社にとっての最適解が、真逆を向いている。

ここに正直に向き合える人間がどれだけいるか。
「本当は今ある環境の設定で済みますよ」と言える人間がどれだけいるか。
言ったら自分の売上が消えるのに。

僕はそれでも言う。
クライアントに無駄な金を使わせたくないから。

結果どうなるか。
「売上を生まない優秀な人」。そういう評価になることもある。

でもそれ、僕の問題じゃないですよね。評価する側の問題です。

スキルは、評価されるためのものじゃない

「じゃあ頑張っても意味ないじゃん」と思うかもしれない。

全然違います。

オーバースペックな提案を見抜けるのは、スキルがあるから。
設定変更で済むと判断できるのは、本質を理解してるから。
「それ、いらないですよ」とクライアントに言えるのは、自分の技術に自信があるから。

評価されるかどうかなんて、正直どうでもいいんですよ。
自分が正しいと思える判断ができるかどうか。それだけです。

評価されなくても、クライアントのシステムは守れてる。
無駄な金を使わせてない。
それが僕の仕事の価値であり、スキルを積んできた意味です。

「資格なんて意味ない」の、もうひとつの答え

前回、僕はこう書きました。

今回はもうひとつ加えます。

資格を取って、スキルを極めて、正しい判断をしても、それが正当に評価されるとは限らない。

それでも僕は、スキルを磨く方を選ぶ。
派手な提案書を書く側より、既存の環境に設定一本入れて終わらせる側でいたい。