セキュリティテスト/脆弱性診断 - セキュリティエンジニア(ソフトウェアエンジニア)

必須

• エンジニアとしてシステム開発の実務経験がある方（言語不問）

歓迎

• Burp Suite 等のローカルプロキシツールの使用経験
• Webアプリケーションの脆弱性診断経験

求める人物像

• ゲームが大好きな人
• 責任感が強く細かい仕事が得意
• 最新の技術への関心が高い
• コミュニケーションをとるのが好き
• 普段からWebアプリケーション、Webサービス、スマートフォンアプリなどを幅広く利用している
• 新しいアプリやサービスが出たらとりあえず触ってみる
• 必要なことを勉強するのに抵抗がない
• 開発以外のスキルを身に付けキャリアアップをしたい

使用ツール

仕事内容

• ABEMAやWINTICKET、Amebaブログなどを展開するサイバーエージェントグループの、セキュリティテスト（脆弱性診断）を行っていただきます。
• 対象となるのは、主にWebブラウザ・Webアプリ・スマートフォンアプリです。
• 診断ツールを利用してシステムに対して攻撃者の視点から様々な疑似攻撃を行い、潜在的な脆弱性を発見し、サービスの安全性を調査します。

脆弱性診断とは？

• Burp Suiteなどの診断ツールを利用して、システムやウェブサイトに潜むセキュリティ上の弱点（脆弱性）を検出し、診断結果を報告することです。これにより、セキュリティ対策を講じることができます。

募集内容

• セキュリティ分野で専門性を高めたい方、最先端の技術に触れながら成長したい方に最適な環境です。
• ぜひ私たちと一緒に、サイバーエージェントグループの安全を支える重要な役割を担ってみませんか？

業務詳細

• 診断の業務は、以下の2つに分かれており、別のチームで構成されています。
• 診断クロール業務
• 事前にサイト調査や診断項目をリストアップする業務です。効率的に脆弱性を検出するための準備となります。
• 脆弱性診断業務
• Burp Suiteを利用して実際に脆弱性診断を行う業務です。
• 診断スキルを高めるためのサポート体制も整っており、東京のセキュリティチームと一丸となって、高度な技術が求められる診断にも挑戦できます。

診断実績

• ABEMA
• WINTICKET
• Amebaブログ
• など、年間100件以上のサービスを診断しております。

サポート・支援制度

• 入社後、セキュリティ診断業務にスムーズにキャッチアップできるよう、実務を通じたサポート体制を用意しています。
• 1. 脆弱性の基礎 脆弱性に関する基礎情報をテキストなどで整理し、診断に必要な前提知識をキャッチアップします。
• 2. 開発研修（やられサイト開発） 脆弱性を意図的に埋め込んだWebアプリケーション（やられサイト）を開発し、脆弱性の仕組みを「作る側」の視点で理解します。
• 3. やられサイト診断 脆弱性診断の流れに沿って、自ら開発したやられサイトを診断することで、脆弱性を発見・整理するプロセスを実践的に学びます。
• 4. 並行診断（OJT） 先輩診断員が担当する実案件に並行して参加し、実際の診断プロセスやツールの使い方、検証観点などを実務を通じて学びます。
• ※担当する診断領域や関わる案件の難易度は、経験や志向に応じて段階的に広げていきます。

キャリア事例

• 脆弱性診断員として専門性を高めながら、対応領域や技術分野を段階的に広げていける環境です。
• ※以下はあくまで一例です。
• 経験や志向により、担当領域・スピードは異なります。

フェーズ1：Webアプリケーション脆弱性診断（PCブラウザ）

• Webブラウザを対象とした脆弱性診断を中心に担当し、診断ツールの操作や診断観点を身につけます。

フェーズ2：診断領域の拡張

• スマートフォンアプリやAPIなど、より広い領域の脆弱性診断に関わりながら、技術理解と対応範囲を広げていきます。（Android / iOS / API など）
• ※希望や適性に応じて、複雑な認証・権限まわりの検証や、高度な脆弱性の検出など、専門性の高い診断業務に挑戦します。