こんにちは！
デジタルペンテスト部（以下「DP部」）で、テクニカルコミュニケーター🤝とかえらい人👑をやっているMi* / うみたすです🤗💓
てかまじ超久しぶり～！みんな元気してた？？🤗💓
この記事では、こないだ受けてきた「PMP® 試験」のことを書こうと思います！
もはや文系とか関係なく、この大AI時代にエンジニア以外の道を模索してる～みたいな方とかの参考になるとうれぴです💓
てか最近さ
わたしがCISSP試験に合格した2022年初頭と比べ、サイバー攻撃に関する報道の増加などを背景に、ペネトレーションテストの認知度は徐々に高まっています。その結果、2026年現在では、ペネトレーションテストの需要が急増しています🔥
こうした状況からペンテスターの育成は急務となっています。とはいえ、ペンテスターだけでプロジェクトを成立させるのは現実的には難しい場面が多いです🥹
そこで重要になるのが、お客様とペンテスターの間でコミュニケーションを取りながら、プロジェクト全体を前に進めるプロジェクトマネージャー（PM）です。
つまり、需要の増加に対応するためには「ペンテスターの育成」だけでなく「ペネトレーションテストを推進できるPMの育成」もセットで必要ってことです🥹
弊社DP部の場合、ペンテスターは勝手に育つとして（爆）PMはどう育成しようか・・・どんなことを考えていたときにこんな記事が登場しました。
この記事を読むまで、PMPってかなりハードルが高いと思っていたんですよね。実務経験が必要とか、研修の受講が必要とか・・・でもこの記事読んだらワンチャンいけんぢゃね？とか思いました😉*1
そんなわけでPMP試験のための学習を通して、ペネトレーションテストのプロジェクトを進めるためのPM育成のことを考えることにしました💪
おいらが行くしかねえな～？💪
とりま試験に向けて勉強する
やると決めたらちゃんとやる！！ギャルってそういうものぢゃん？🌈
わたしがやったのは主に以下の2つです。
- プロジェクトマネジメントに関する35時間以上の公式研修
- PMI公式模擬試験
①プロジェクトマネジメントに関する35時間以上の公式研修
まずこれをやります。これがないと受かる受からない以前にそもそも受験資格を満たせないからです🥲
さっき紹介した記事中にも出てきますが、わたしもUdemyの「PMP Exam Prep Course 35 PDUs/Hours Updated for the 2026 Exam」を活用しました。オンデマンド形式なので、家でネイルとかスキンケアとかしながら見られるのが神🥰
www.udemy.com
※これはあくまでも紹介目的であってでアフィリエイトとかじゃないかんね👊
アンドリュー先生（イケおじ）の説明がまぢ上手なので、PMPの世界観とか用語はこの動画だけでも結構理解できます。CISSPの公式トレーニングのときもそうでしたが、ただ概念や用語だけではなくて、実体験とかプロジェクトの実例みたいなものに絡めて説明してくれるのがめっちゃわかりやすいですね。
あと試験の申し込みに必要な職務履歴の申請書の書き方を教えてくれるのも神です。まぢアンドリューしか勝たん🙏
わたしとしてはこれまでに雰囲気でやっていたことが言語化されるのが良きって感じで楽しかったのと、内容全体を通して文系であることが阻害要因にはならず、むしろ人間にフォーカスしているピープルマネジメントの内容が多かったので、かなり文系向きというかギャル向きの資格試験ぢゃね？って思いました。
個人的にはチームビルディングとかそういう内容のところでMBTIの話が出てきたのが良きでした🥰（でもMBTIハラスメントはゆるされへん😠）
英語の動画キツくね？って思ったそこのあなた、安心してください。日本語字幕、あります✌ちなみにやり始めのころは「シャドーイングで英語力も上げるか〜！」とか思ってたんですが、秒で飽きてやめました😋わら
そんなこんなで35時間分の学習をすることで、PMPの受験資格ゲットです。ここまで1か月くらいで終わるかな～って思っていましたが全然終わりませんでした😉*2
②PMI公式模擬試験
試験に向けてもうちょっと問題解いたりしたいな～って思っていたときに、PMI公式が提供する模擬試験ツール「PMI Study Hall（以下「SH」）」の存在に気づきました😋*3
www.pmi.org
合格体験記で合格してる人みんなSHやってるくね？って気づいてしまったので、駆け込みでSHをぶん回しました🌪️
SHの日本語版の模擬試験には、175問の「フルレングス試験」が2回分、15問の「ミニ試験」が15回分収録されています。
仕事終わって帰宅した後に「フルレングス試験」をぶん回しているときはさすがにもうダメかも～みたいになっていましたが、大体1時間半あれば175問解ききれることに気付けたのは大きな収穫でした💪*4
解いて、間違えたところを確認して、また解いて・・・の繰り返しです。試験までの残り1週間弱で「フルレングス試験」は2回分やれましたが、もちろん試験までにミニ試験は全部やれませんでした・・・🥹
最近は生成AIを活用して勉強するのが流行っているみたいですが、個人的には紙とペンで勉強したい派なので、よく事例を見かける問題演習という観点では生成AIは使いませんでした🙅♀️
問題演習に使うのでなくて、具体的なプロジェクトの文脈を用意して、教材や模擬試験などで出てきたわかりにくい概念について実際のプロジェクトの中ではどういう位置づけや立場になるのか？みたいなことの理解の促進のために使った感じです。*5
試験ぅける
CISSPのときぶりのピアソンVUEセンターで試験を受けます。
前回に引き続き今回も7:30集合なのウケる🤣
ぅける前
長丁場の試験で個人的には空腹が一番の敵なので、自宅で朝食を食べていくのではなく、会場近辺で朝食を食べる作戦にしました。珍しく朝早くからの外出なのでせっかくの機会だと思って、某ファーストフード店で朝にしか食べられない某甘くて某しょっぱい朝食を久しぶりに食べることにしたのですが、これがこの後悲劇を生むとはまぢで思わなかったよね・・・😂🍔*6
ぅけてるとき
胃もたれと戦いつつも、30～40分ほどで60問を解いて、10分間の休憩で持ち込んだ飲み物やおやつを食べて、また30～40分ほどで60問を解いて、また10分間の休憩で飲み物やおやつを食べて、最後は30～40分ほどで60問を解いて、100分弱を残して無事完走しました💪
試験を受けながら思った感想ですが、SHの4択は全部正しく見えるのに対して、本番の4択全部間違って見えるみたいな違いがありました🤣
なので本番は「完全な正解を当てる」じゃなくて「一番マシな選択肢を選ぶ」って感じでした💪
迷ったら、とりま状況整理してみんなの話聞こ？
これギャルサーもPMPも同じ法則✌
ペネトレーションテストのPMを語る
最後に、PMP試験に向けた学習をする中でペネトレーションテストのPMについて考えたことをざっくばらんに書いていくコーナーをいきなり始めます🌈
まぢでウォーターフォールだしまぢでアジャイル
特に大規模なプロジェクトになればなるほど、いわゆる予測型プロジェクトみたいな徹底的な管理を求められるのはペネトレーションテストの文脈でも例外ではありません。テストの対象範囲であるスコープも、テストの実施期間も、どんな成果物を作るかも契約の中で事前に決めちゃいます。「何をやるか」「いつやるか」「何を出すか」が全部決まってるのは、まぢでウォーターフォールです🌊
こういう世界観でプロジェクトの管理をしていると、「どの日のどの時間帯に何の攻撃をする予定か」「どういう攻撃をする予定かの一覧がほしい」「実行予定のコマンドの一覧がほしい」・・・といった「テストの実施内容」をテストで実施する調査内容や手順を事前に提示してほしいという要望をいただくことがあります。
気持ちはわからなくないですが、実際の環境で攻撃をしてみないと何が起きるかわからないし、見つかった経路によって戦略をその場その場で考えていくのがペネトレーションテストなのでなかなか難しいです。事前にすべての手順を確定させてしまったら、それはもうペネトレーションテストとは言えません🥲
ペネトレーションテストは「仮説を立てて試して、結果を見て次の一手を決めること」という探索的で適応的なプロセスの積み重ねだし、これはまぢアジャイルってわけです🔧
つまりまぢでウォーターフォールだしまぢでアジャイルなわけ🌊🔧🌊🔧
まじで受注前にほぼ全部決まる（てか決める）
PMPの元ネタ（？）のPMBOKガイドでは、プロジェクト管理に必要な知識や手順を「プロセス」という単位で整理しています。例えばPMBOK第6版では、プロジェクト管理に必要な活動として全49のプロセスが定義されています。*8
この49プロセスすべてが、すべてのプロジェクトに必要なものというわけではないため、ペネトレーションテストにおいても49プロセスすべてが実施されるわけではないですが、多くのプロセスが実行されます。
ペネトレーションテストのプロジェクトマネジメントというと、案件の受注が決まってプロジェクトを開始するキックオフみたいなところからをイメージされがちなのですが、49のプロセスをペネトレーションテストに当てはめてみると、実はほとんどがサービスの企画段階や、受注前にお客様と要件をすり合わせて提案を行う段階で完了します。つまりまぢで受注前にほぼ全部決まっちゃうわけです💪
逆に言うと、受注前のすり合わせが甘いと「それ聞いてないんだけど？」ってなって後で全部詰みます😇
なのでPMの仕事って受注後に頑張るというよりは、「受注前にどれだけちゃんと決め切れるか」みたいな感じの要素が大きいです✌*9
ステークホルダーエンゲージメントがほまに大事
まぢで受注前にほぼ全部決まっちゃうわけなので、提案段階のステークホルダーエンゲージメントはほまに大事です。
「『ペネトレーションテスト』がほしいから概算見積もりがほしい」とか「RFPを渡すからそれで見積もりがほしい」とかみたいな感じの進め方をするよりは、打ち合わせやメールのやり取りなどのコミュニケーションを何度か行って背景や要望の認識合わせをしていく方が、より実効性の高いペネトレーションテストを提案できます✨
ステークホルダーとコミュニケーションを取って要求事項を収集してスコープを定義していくことでより価値が高まるっていうとPMPぽいね✌
これはネイルに例えるとわかりやすいかな～って思います✨
ネイルサロンでネイルをやってもらうときに、単に1色で塗ったり、あるいはサロン側が出しているサンプルからデザインを選んでそのままネイルしてもらうみたいな既存メニューの場合は、双方向のコミュニケーションはほぼ不要です。サロンに行って、このメニュー・このデザインでやってくださいって最初にネイリストさんに頼めば、あとはネイリストさんが施術してくれます💅
固定のメニューやデザインでやるのではなくて、自分でやりたいデザインのオーダーメイドでやるときはイメージ画像を持参したり、色やアート、爪の形や長さについてネイリストさんに伝えるわけですが、これはネイリストさんに一方的に要望を伝えて終わりではなく、ネイリストさんとコミュニケーションを取ってお互いに認識を合わせることで自分の理想のネイルを施術してもらいやすくなりますし、ネイリストさんからのアドバイスももらえたりします💅🌈✨
このコミュニケーションは施術前だけではなくて施術中も必要です。タイミングによっては時すでに遅しの場合もありますが、途中でおかしくね？って思ったり、もっとこうした方がよくね？って気づいたりしらどんどん伝えるのが大事だと思います。
ペネトレーションテストを提供するベンダにも、前者のタイプ（決まったシナリオを提供したり、シナリオのサンプルが何種類かあって顧客がやりたいものを選ぶ）と後者のタイプ（要望を聞いて一緒に作っていく）があるように思います。
それぞれ一長一短ですが、セキュリティ対策の有用性という観点では後者の方がより効果的だと考えます。自組織のシステム環境や業務プロセスに沿って作りこんだシナリオでやった方が効果的だかんね🥹
というわけで、まぢで受注前にほぼ全部決まっちゃうし、決めるときはがっつり会話して決めるのがすごく大事です💅🌈✨
ペンテスターの倫理観 vs ビジネスの常識
ここは声を大にして言いたいんだが、ペネトレーションテストのマネージャーをやる上で一番大事なのって、まぢで「ペンテスターをちゃんとリスペクトすること」だと思ってます💪
その上で、ペネトレーションテストのプロジェクト管理って何をやってるかっていうと、ペンテスターの倫理観やこだわりvsビジネスとして成立させるための常識や制約をひたすらすり合わせる、すり合わせるために言葉を尽くす仕事だと思っています🤝
PMPの文脈だと「資源マネジメント」とか「調達マネジメント」とかの話になるんですが、ペネトレーションテストにおいては、「ペンテスターの時間」がシンプルに最重要リソースです。
しかもこれはお金を出せばいくらでも増やせるものじゃなくて、スキルと経験と努力と情熱に依存するめちゃくちゃ希少なリソースです🥹*10
だからこそ、無理なスケジュールで消耗させず、謎な制約でパフォーマンスを落とさせず、でもビジネスとして成立させるラインには乗せるっていう、絶妙すぎるバランスを取り続ける必要があります。
ビジネス側に寄りすぎるとテストの価値が落ちるし、倫理やこだわりに寄りすぎるとプロジェクトが成立しないっていうのが大変なんだけどめっちゃおもしろいポイントだなとも思ってて、両方ちゃんとやらないと成立しないところが、ペネトレーションテストのPMの醍醐味なのかな〜って思ってます💅✨
まとめ
この数年でペネトレーションテストを取り巻く環境はかなり変わりました。でも変わらないのは、「人と人でやってる仕事」ってことだと思っています🤝
だからこそ技術も、マネジメントも、コミュニケーションも全部ちゃんとやっていきたい✌そんな気持ちでPMP取りました😉
読んでくれてありがとう〜！ばいちゃ💓
*1: 割と失礼
*2: みんなまぢですごい
*3: この時点で、時すでに試験まで残り1週間弱😋わら
*4: 体力がないからとにかくスピードで勝負する作戦
*5: ちょっとこれ何言ってるかわからんと思うけど、ChatGPTにパン屋を経営させてた🥖
*6: IMOTARE
*7: AT/AT/ATについて知りたいかたはググってね
*8: 試験に向けてこの49プロセスを暗記することを推奨する情報も多いけど、ギャル的にはそんなんいいから先に問題演習で世界観を把握した方がいい気がする
*9:なので普段何の仕事をしているかというと、プリセールス支援の活動が結構多いです
*10:その価値を知ってもらうためにこうやってブログ書いたりするんじゃんね
