セキュリティエンジニア

必須

• Webアプリケーションの開発経験3年以上
• アプリケーション開発、ネットワーク、OS、クラウドサービスについての基礎知識
• セキュリティ分野への関心を持ち、業務内外で継続的に学習・活動している方

歓迎

• Webサービスの設計・アーキテクチャ設計経験
• AWS／Google Cloudを利用した開発・運用経験
• CI/CDの設計・運用経験
• DevSecOpsに関する経験
• Webアプリケーションの脆弱性診断経験
• セキュリティ関連OSS・コミュニティへの参加経験
• セキュリティ関連の登壇・技術発信経験

求める人物像

• 技術そのものへの好奇心があり、新しい技術や仕組みを自ら学び、手を動かして理解することを楽しめる方
• セキュリティだけを切り離して考えるのではなく、アプリケーションやクラウド、ネットワーク、OSなど、対象となる技術への理解を深めながら課題に向き合える方
• 多様な関係者を巻き込んだコミュニケーションを継続して取れる方
• 様々なステークホルダーの立場に立って解決策や手法を提案できる方
• 自ら考え、課題を見つけ、取り組むことができる方
• 役割を限定せず、様々な専門領域に触れながら総合的なセキュリティ施策に取り組める方
• 企業のリスクマネジメント全般と向き合いながら、妥当なセキュリティ強化を実施できる方

使用ツール

募集背景

• CARTA HOLDINGSは、約20社の事業子会社が自律的なオーナーシップを持ち、各事業のフェーズに合わせた効果的で柔軟な事業運営体制をとっています。
• 一方で、各事業会社ごとにエンジニアの有無や開発の内製・外注、技術スタックなど環境が異なるため、事業ごとに抱えるセキュリティ上の課題も多様化しています。
• ICT本部セキュリティチームでは、各事業子会社のオーナーシップを尊重しながら、事業・開発現場とともにセキュリティリスクマネジメントに取り組んでいます。
• 今後さらにプロダクト開発におけるセキュリティ対策や、開発工程から継続的にセキュリティを組み込む取り組みを強化していくため、開発で培った知見をセキュリティ課題の解決に活かし、実践を通じてセキュリティ領域にも専門性を広げていただけるエンジニアを募集します。

業務内容

• 各事業子会社やバックオフィスの担当者と連携しながら、事業・プロダクトごとに異なるセキュリティリスクを把握し、対策の設計・実装から、実際の開発・業務プロセスへの定着、継続的な改善まで一貫して担います。
• 入社後はこれまでの経験や専門性を踏まえ、Webアプリケーションにおける脆弱性対策やセキュリティレビュー、DevSecOpsの推進など、プロダクトセキュリティ領域を中心にセキュリティ施策の企画・実行を担っていただきます。
• その後は、クラウドセキュリティやインシデント対応、コーポレートセキュリティなどにも領域を広げながら、各事業会社のセキュリティリスクマネジメントを横断的に支援していただくことを想定しています。

プロダクトセキュリティ

• 各事業子会社の開発チームからのセキュリティ相談対応
• Webアプリケーションにおける脆弱性対策
• 開発工程におけるセキュリティレビュー
• DevSecOpsの推進
• 静的コードスキャン等のCI/CDパイプラインへの組み込み
• Dependabot、Baseline等を活用した脆弱性検知・改善支援
• プロダクトにおけるセキュリティインシデント対応支援

コーポレートセキュリティ

• 貸与端末のセキュリティ
• Microsoft Defender等を活用した監視・改善
• SOC対応、アラート対応
• インシデント対応
• 認証・ID管理を含む各種セキュリティ施策

セキュリティリスクマネジメント

• 各事業子会社におけるセキュリティ課題の把握
• 技術的なリスクの整理・評価
• 事業状況を踏まえたセキュリティ対策の提案
• 各事業会社が自律的にリスク判断できるための仕組みづくり

1. 約20社の異なるプロダクトに向き合える

• CARTAグループには約20社の事業子会社が存在し、それぞれ異なるWebサービス、開発体制、技術スタック、セキュリティ課題を持っています。
• 一つのプロダクトだけを担当するのではなく、複数の事業や開発組織に触れることで、様々なケースに対応できるセキュリティエンジニアとして経験を積むことができます。

2. 事業成長とセキュリティを両立するための判断に携われる

• CARTAでは、完璧な防御を目指してセキュリティ対策をむやみに積み重ねるのではなく、事業ごとのリスクに応じて必要な対策を見極めることを大切にしています。
• また、侵害を完全に防ぐことだけを前提とせず、万が一発生した際に速やかに検知し、事業への影響を局所化し、復旧できる状態までを含めてセキュリティを考えます。
• 各事業の成長速度や開発環境、リスクを踏まえながら、「何を防ぐのか」だけでなく、「何が起きうるのか、そのときどう検知し、影響を抑え、復旧するのか」までを事業・開発チームとともに考え、実装していくポジションです。

3. 一つの専門領域に閉じず、キャリアを広げられる

• CARTAのセキュリティエンジニアは、特定の領域や工程だけを担当するのではありません。
• 事業・プロダクトごとのリスクを把握し、対策を企画・設計するところから、実装・導入、インシデントへの対応、運用・改善まで、セキュリティのライフサイクル全体を一貫して担います。
• アプリケーションセキュリティやDevSecOpsをはじめ、クラウドセキュリティ、インシデントレスポンス、セキュリティアーキテクチャ、コーポレートセキュリティ、リスクマネジメントなど、一つの専門領域に閉じず、実際の課題解決を通じて複数の領域を横断する経験を積むことができます。
• プロダクト開発で培った専門性を軸にしながら、セキュリティを部分的な「＋α」のスキルとして身につけるのではなく、セキュリティ全体を自ら担えるエンジニアへと専門性を広げられる環境です。

4. これまでのご経験を実効性のあるセキュリティ施策につなげられる

• Webアプリケーションの設計・実装・リリース・運用までの流れを理解しているからこそ、脆弱性を指摘するだけではなく、「開発プロセスのどこで、どのような対策を組み込めば継続的にリスクを減らせるか」まで踏み込んだセキュリティ施策を考えることができます。
• 例えば、セキュリティレビューや脆弱性対策に加え、静的コードスキャンのCI/CDへの組み込み、セキュアコーディングの支援など、開発チームと同じ目線に立ちながら、セキュリティを開発プロセスの一部として組み込んでいくことができます。
• 約20社それぞれで開発体制や技術環境が異なるからこそ、一律の対策を適用するのではなく、各プロダクトの開発現場を理解した上で、開発スピードとセキュリティを両立する仕組みをつくれることが、このポジションならではの面白さです。

5.技術だけでは解決できない課題も、組織として前に進められる

• セキュリティ施策を進める中では、技術だけではなく、組織や事業上の調整が必要になることもあります。
• その際にはセキュリティチームマネージャーに加え、ICT本部長や担当役員、セキュリティ委員会等とも連携しながら、施策を前に進めることができます。

利用している主なサービス・基盤

• IaaS：Amazon Web Services、Google Cloud
• 認証基盤／SSO：Microsoft Entra ID
• 端末管理：Microsoft Intune
• エンドポイント監視：Microsoft Defender for Endpoint／Cloud Apps
• 業務基盤：Google Workspace
• コミュニケーション：Slack
• ログ管理：Sumo Logic
• 脆弱性検知：Dependabot、Baseline など