セキュリティ責任者候補

必須

• 以下の業務をすべてご経験されている方

  • SRE・インフラ・コーポレートITなどにおいて、システムを設計から運用まで自ら担った実務経験（5年以上目安）
  • クラウド・プロダクト・社内ITのいずれかで、セキュリティの取り組みを自らの責任で立ち上げた経験（兼務での経験を含む）
  • セキュリティインシデントや障害の対応において、自ら判断して指揮をとり、経営層や社外へ説明した経験

• 上記に加え、以下いずれかのご経験をお持ちの方

  • 開発組織と協議し、セキュリティに関わる方針や責任分担を決めた経験
  • IaCやPull Requestでのレビューを前提とした、インフラ・設定の運用経験

歓迎

• 以下、いずれかのご経験をお持ちの方

  • IoTサービス、または入退室・物理セキュリティに関わる製品のセキュリティ経験
  • 認証・認可（OAuth・OpenID Connect）や、KMSなどを用いた鍵管理の設計経験
  • 脆弱性診断・SAST・DASTなどを用いた、プロダクトの脆弱性管理の仕組みづくりの経験
  • PSIRT・CSIRTの立ち上げ・運用経験（脆弱性の受付・開示を含む）
  • JC-STARなど、製品セキュリティの制度・規格への対応経験
  • ISMS・SOC 2などの認証や監査への対応経験
  • 上場準備企業または上場企業での、セキュリティ統制やIT全般統制の構築経験
  • M&Aにともなうシステム統合（PMI）での経験
  • AIエージェントを業務に組み込んだ、少人数での運用の経験
  • IdP・MDM・EDRなどを用いた、IDと端末のセキュリティ設計・運用経験
  • SOC・MDRなど、監視を担う外部委託先の選定と運用の経験

求める人物像

• ビットキーのミッションに共感いただける方
• 未知の領域への挑戦に対する意欲的な姿勢、及び遂行力を持ち合わせた方
• リスクに対する指摘及び取捨選択を行い、事業を促進できる方
• 経営や事業の言葉でセキュリティを説明できる方
• 全社横断的な不確実性の高い課題において、内製・業務見直し・外部サービスやAIの活用などから有効なアプローチを見極め、ステークホルダーとの合意形成を推進できる方

使用ツール

募集背景

• 継続的な事業と組織の成長を支えるために、ビットキーの情報システム部は「テクノロジーの力で、ビットキー社員が安全で便利で気持ちよく、最高の仕事ができるIT環境を設計・実装する」ことをミッションとして、「最高速度で前進させるアクセルの役割」と、「企業を取り巻くあらゆるセキュリティリスクへの対応のための適切なブレーキ」としての2つの役割を担っています。
• ビットキーが扱うのは、住まいやオフィスの「カギ」、つまり人が暮らし、働く場所への出入りそのものです。お客様やパートナー企業、そしてIPOに向けた監査から求められるセキュリティの水準は、事業の成長とともに高くなり続けています。
• これまでは管掌役員のもとで、セキュリティの基盤をコードと自動化で整えてきました。次の段階として、検知した事象への対応、クラウドサービスとアプリのセキュリティ、監査やお客様への説明までを責任者として担い、コーポレートとプロダクトの両方にまたがってビットキーのセキュリティ全体に責任を持つ方を募集します。

業務内容

• セキュリティ方針の策定、リスクの優先順位付け及び経営層への報告
• セキュリティに関する投資判断の起案
• 検知から判断・対応までの体制づくり、及びインシデント発生時の指揮・社内外への説明
• 開発組織との協議の上、プロダクトセキュリティの所管と責任分担の設計
• プロダクト（クラウド・API・アプリ・認証・暗号鍵の管理基盤）のリスク評価及び対策の優先順位付け
• プロダクトの脆弱性の受付から対応・開示までの体制づくり
• 内部統制・監査への対応、及びお客様やパートナー企業様のセキュリティ審査への回答
• 委託先・取引先のリスク管理の仕組みづくり

カギを支える認証技術のセキュリティに、責任者として向き合えます

• 住まいやオフィスの出入りを支えるクラウド・API・アプリ・社内ITについて、何を守り、どこまで許すかを決めていただきます。

コーポレートとプロダクトの両方を、一人の責任者として見渡せます

• 社内ITとプロダクトのどちらか一方ではなく、両方の状態を踏まえてリスクの優先順位を決められます。

SRE・インフラの経験を、そのままセキュリティの責任者として活かせます

• プロダクトのクラウド基盤・API・認証の設計に、SREの視点から関われます。デバイスのハードウェアとファームウェアは社内のデバイス開発チームが担い、責任分担を一緒に決めていきます。

実測データにもとづいて判断できます

• 端末・アカウント・クラウドの状態は継続的に計測されています。そのデータをもとに、どのリスクに投資し、どれを受容するかを決められます。

IaCとAIエージェントを前提にした運用です

• 調査・設定のコード化・ドキュメント作成はAIエージェントが下書きし、人がレビューして判断します。人が時間を使うのは、判断・決定・対外的な説明です。

経営に直接提案できます

• セキュリティへの投資判断は、上長の執行役員とともに経営へ直接起案します。

期待する役割

• 入社後半年を目安に、以下の課題に取り組んでいただくことを期待しています。
• 検知から対応までの運用設計（内製と外部委託の切り分けを含む）
• 開発組織とのプロダクトセキュリティの境界づくり（クラウド・APIの認証と認可、暗号鍵の管理を含む）
• プロダクトの脆弱性管理の仕組みの整備
• IPOに向けたセキュリティ規程と証跡の整備、お客様のセキュリティ審査への対応の型づくり
• 特権アクセスの管理と、IPOに耐える職務分掌の設計
• インシデントが起きないことだけで評価するのではなく、起きたときに早く気づき、小さく抑えられる体制をつくれたかを重視します。

チーム体制

• 管掌役員配下に「情報システム」「DX」「セキュリティ」「ロジスティクス」に関わる組織機能が集約。
• 情報システム系執行役員（本ポジションの上長）：自社ECサイトのSRE・CREとして、SLOにもとづく信頼性の運用、障害対応の指揮とポストモーテム、監視の設計、運用の自動化、お客様と向き合う信頼性の改善を担ったのち、情報システム・セキュリティ領域へと担当範囲を広げてきました。
• 本ポジション
• 当面は上長と本ポジションの2名で、外部パートナーやAIエージェントを活用しながら運用します。

使用技術など

• ID・端末：Okta, Jamf, Intune, CrowdStrike
• ネットワーク：Netskope, Cisco Meraki
• SaaS：Google Workspace, Microsoft 365, Slack, Notion, Box, 1Password
• クラウド・監視：AWS, Google Cloud, Datadog, Sentry
• コード化・自動化：Terraform, GitHub Actions
• AI：Claude, Claude Code, ChatGPT, Gemini

変更の範囲

• 会社の定める業務全般