Webインフラエンジニア（計測を守るWAF・CSP設計）

必須

• Webアプリケーションのインフラを、設計から本番運用まで一貫して担った経験
• WAF／CDN／リバースプロキシのいずれかについて、自ら構成を設計・変更した経験
• セキュリティまたは可用性に関わる設計について、他者の判断をレビューし、根拠を示して差し戻した経験
• インフラ・セキュリティの設計において、「何を検証すれば十分と言えるか」を自ら定義し、検証計画を立てた経験
• セキュリティ・可用性と事業側の要求とのトレードオフについて、関係者と議論し、合意形成を行った経験
• Claude Code等のAIコーディングツールを日常的に活用し、その出力に対して抜けている観点やリスクを指摘できること
• アプリケーション開発の実務経験（現在の軸足は基盤にありつつ、コードを読み、実装者と同じ言葉で議論できる水準）

歓迎

• Terraform等を用いたInfrastructure as Codeの実務経験
• Cloudflare／AWS／GCPでの構築・運用経験
• nginx／openresty等のリバースプロキシの設定・チューニング経験
• CSPの設計および段階的導入（Report-Onlyから本番適用への移行等）の経験
• bot対策、WAFルールのチューニングおよび誤検知対応の経験
• CI/CDの認証基盤（OIDC／Workload Identity等）の移行・運用経験
• 静的解析・依存関係管理（SonarQube／SAST／Dependabot等）の運用経験
• WordPressまたはRuby on Railsでの開発経験
• 監視設計および障害対応体制の構築経験
• GA4／Google Tag Manager等、Webマーケティングにおける計測の仕組みへの理解
• タグゲートウェイ、サーバサイドGTM等による計測の1st Party化の経験
• AIコーディングツールを前提とした開発ワークフローの設計・運用経験
• AIの開発経験もしくはAIツールを使用した開発経験

求める人物像

• 「動いている」ことと「安全である」ことを別の問いとして捉え、双方を満たすための設計を粘り強く検討できる方
• AIの出力をそのまま信用するのではなく、自身の知識と経験をもとに妥当性を検証し、必要に応じて修正・補完ができる方
• あらかじめ正解が用意されていない判断に対しても、データや経験を根拠として意思決定し、その理由を他者に説明できる方
• 自分が直接実装しないコードや仕組みについても、その品質と安全性に責任を持つ姿勢をお持ちの方
• 決まっていない状態やグレーゾーンを不安定さとしてではなく、自らが決めることができる機会として前向きに捉えられる方
• 職種の異なるメンバー（マーケター、アプリエンジニア、セキュリティ担当など）とプロトコルを合わせながら積極的にコミュニケーションを取り、合意形成と推進をリードできる方
• マネーフォワードのMission、Visionに強く共感・共鳴いただける方
• 技術的な正しさだけでなく、事業上のインパクトやユーザー体験も踏まえたうえで、最適な折り合いをつけることにやりがいを感じられる方を歓迎します。
• 決まっていない領域に踏み込み、自ら仮説を立ててルールや標準を作っていくことが好きな方にフィットするポジションです。
• マーケターやアプリエンジニアなど、職種の異なるメンバーとオープンに議論しながら、複数プロジェクトを横断して基盤から支えていきたい方をお待ちしています。

応募について

• 英語力：特に必須要件はありません。

使用ツール

本部概要

• 横断マーケティング本部は、バックオフィス向けSaaSを提供するBtoB事業のマーケティングを担う組織で、マーケティング機能とエンジニアリング機能を統合しています。

募集背景

• マネーフォワードは、個人事業主から上場企業まで幅広いお客様に向けて、バックオフィス向けSaaSを提供するBtoB事業を展開しています。経理・財務、人事・給与、経費精算など多岐にわたる領域でサービスを提供し、「AI Vision 2026」で掲げる「No.1のバックオフィスAIカンパニー」の実現を目指しています。横断マーケティング本部は、この事業全体のマーケティングを担う組織であり、マーケティング機能とエンジニアリング機能を統合した体制を特徴としています。その中のマーケティングテクノロジー部では、「TechnologyとDataの力でマーケティング成果を最大化させる」というミッションのもと、Webサイトの開発・施策実装、計測環境の整備、データの可視化・分析を担ってきました。
• 現在、この組織ではマーケティングプロセスのAIネイティブ化を最重要ミッションとして掲げています。PDCAサイクルの実行主体をAIへとシフトし、人間は目的設定や制約条件の指定、最終承認といった「指揮」の役割を担う構想を進めています。その具体化として、社内向けAIマーケティングツール基盤「Orchestro」などのプロジェクトもすでに始動しています。こうした取り組みにおいて、実際にPDCAが回る主戦場は多くの場合Webサイトであり、その上で取得される計測データの正しさが、AIが導く意思決定と事業成果を大きく左右します。
• プロダクトのサービスサイトやオウンドメディアなど、複数のWebサイト群におけるアプリケーション開発体制は現時点でも十分に整備されています。一方で、それらを支えるインフラ・セキュリティ・計測の仕組みについては、事業の成長スピードや外部環境の変化に合わせ、より強固で柔軟な基盤へと進化させる必要があります。特に、近年急増するbotトラフィックへの対応は象徴的な課題であり、ノイズとなるアクセスをWAFで遮断しながらも、正しいユーザーのトラフィックと計測データを損なわない高度な設計が求められています。
• セキュリティを強化するほど計測が壊れ、計測を優先するほどセキュリティリスクが高まるというジレンマは、「安全にする」と「正しく測る」が正面から衝突する典型的な領域です。この境界にあらかじめ用意された正解はなく、自社のデータと事業状況を踏まえたバランスの良い判断が不可欠です。そこで今回、セキュリティと計測精度の両方に責任を持ち、関係者と合意を形成しながら最適な落としどころを設計できるWebインフラエンジニアを募集します。

期待する役割

• 複数のWebサイトを支える基盤を設計・運用し、「安全に保つこと」と「正しく測ること」を同時に成立させることが本ポジションの中心的な役割です。特に、WAFやCSPといったセキュリティ機構と、計測・マーケティングの要求が衝突する領域において、事業にとって最適なバランスを設計していただきます。そのうえで、どこに境界線を引いたのか、その理由を技術と事業の両方の言葉で説明し、関係者が納得して前に進める状態をつくることが期待されています。単に安全性を追求するのではなく、事業の成長とユーザー体験を踏まえた「現実解」を提示し続けることが求められます。

主な業務内容

• 1. 計測を正しく成立させる基盤の設計　マーケティングの意思決定は、計測データが正しいことを前提として成り立ちます。本ポジションでは、急増するbotトラフィックの遮断、CSP（Content Security Policy）の設計と運用体制の構築、Cookie制限やスクリプトブロックへの対応（タグゲートウェイ等による計測の1st Party化）などを通じて、計測基盤の信頼性を高めていただきます。これらは「安全にする」と「正しく測る」が衝突する領域であり、CSPを厳しくすれば計測が壊れ、bot判定を厳しくすれば人間のアクセスまで遮断してしまう可能性があります。このようなトレードオフに対して、自社のデータをもとに閾値を設計し、その根拠を説明可能な状態にすることが、この役割の中心です。
• 2. セキュリティの設計判断と、横断的な仕組みづくり　全社のセキュリティスタンダードへの準拠を、複数のWebサイト群を構成する10を超えるリポジトリ全体に一貫して効かせる仕組みとして実装していただきます。具体的には、CSP設計、シークレット管理（AWS Secrets Manager）、CI/CD認証基盤の刷新（OIDC／Workload Identity）、依存関係とサプライチェーン対策、静的解析による品質ゲートなどが対象です。個別対応ではなく、どのように設計すれば管轄全体に一度で適用できるかを定義・実装することが重要となります。セキュリティ基準の策定や脆弱性診断そのものは専門組織が担っているため、これらの基準を自社のアーキテクチャに適用し、自ら妥当性を判断できる状態を維持することが本ポジションに期待される役割です。
• 3. Web基盤の信頼性とパフォーマンス向上　Kinsta・AWS・Cloudflare・GCPにまたがる構成の運用と改善を担い、リバースプロキシ（nginx／openresty）の構成やキャッシュ設計、パフォーマンス改善に取り組んでいただきます。複数のホスティング環境・クラウドサービスを跨ぐため、全体最適の観点から構成を見直し、障害に強く、スケーラブルなWeb基盤を構築・運用することが求められます。あわせて、監視と障害対応の仕組みづくりも重要なミッションであり、何をどこまで検知すべきか、検知した後に誰がどのように動くのかといった運用体制の設計まで含めて担当いただきます。
• 4. AI駆動での開発と、判断基準の仕組み化　AIコーディングツールの活用を前提に、調査・設計・実装を進めていただきます。そのうえで、ご自身の専門領域におけるレビュー観点を、AIが活用できる形に落とし込み、チームとしての標準に昇華することを期待しています。具体的には、セキュリティ・インフラに関する判断基準をAIレビューに組み込み、脆弱性対応のトリアージを仕組み化するなど、AIと人間の役割分担を設計していきます。何を自動化し、何を人間が担保するのかを明確に線引きし、AI前提の開発プロセスを持続的に改善していくことも重要なミッションです。

仕事のやりがい・得られる経験

• インフラを担いながら、事業の当事者として意思決定に関わることができる点が、このポジションの大きな魅力です。インフラやセキュリティの担当は、しばしば事業の意思決定から距離を置かれがちですが、本部内にマーケティングとエンジニアリングが同居しているため、施策を打つメンバーと同じ場で議論しながら仕事を進めることができます。自身が設計したセキュリティ・計測・インフラの仕組みが、マーケティング成果や売上といった形で事業にどう貢献しているのかを、実感しやすい環境です。
• また、一人の設計判断が管轄全体に影響を与えるスケールの大きさも特徴です。セキュリティやインフラの設計について、レビューを受ける立場ではなく、レビューする立場として参画していただくことを想定しており、10を超えるリポジトリから構成されるWebサイト群全体に対して標準を定めていきます。決めたことが個別対応ではなく、全体の基準として機能するため、大きな裁量と同時に高い責任を伴うポジションです。基盤全体を俯瞰しながら設計の舵取りをしたいエンジニアにとって、成長機会に富んだ環境です。
• さらに、インフラとアプリケーションの境界を跨いで設計判断ができる点も魅力です。CSPの許可ドメイン設計などは、そのページ上でどのようなスクリプトが動いているかを理解しなければ前に進まない領域であり、アプリケーションへの深い理解が求められます。同じ部内にアプリケーションの実装メンバーが在籍し、コードやレビューフローも共有されているため、アプリ側を変更するのか、基盤側で吸収するのかといった判断を柔軟に行うことができます。アプリとインフラの垣根を越えたコラボレーションを通じて、フルスタックに近い視点を養うことが可能です。
• また、AI前提の開発が個人の工夫ではなくチームの標準として整備されている点も特徴です。AIコーディングツールの設定やスキル、レビュー観点が部メンバー全員に配布・同期される基盤がすでに稼働しており、「AIを使ってもよい」というレベルを超えて、AIを活かす前提で開発プロセスが設計されています。AI活用を通じて生産性や品質を高める経験を、チームとして体系的に積み重ねていくことができます。

技術スタック

• 言語：PHP, Ruby, JavaScript
• アプリケーションフレームワーク／CMS：WordPress, Ruby on Rails
• Webサーバー／リバースプロキシ：nginx, openresty
• ビルドツール：Vite
• プラットフォーム／ホスティング・クラウド：Kinsta, AWS, GCP
• エッジネットワーク／CDN・WAF：Cloudflare (WAF)
• インフラ管理：Terraform
• CI/CD：CircleCI, GitHub Actions
• セキュリティ：CSP, SAST・SonarQube, gitleaks, Dependabot, GitHub STS／OIDC・Workload Identity, AWS Secrets Manager
• 計測・マーケティングツール：GA4, Google Tag Manager, タグゲートウェイ, Marketo, Salesforce
• AI：Claude Code, Vertex AI（Gemini／Claude）

使用ツール

• リポジトリ管理：GitHub
• CI/CD：CircleCI, GitHub Actions
• 開発環境／インフラ管理：Terraform
• 監視：各種クラウド／エッジサービスのモニタリング機能等（必要に応じて設計・選定）
• コミュニケーション：Slack（他、社内標準ツール）
• セキュリティ：SonarQube, SAST, gitleaks, Dependabot, GitHub STS／OIDC・Workload Identity, AWS Secrets Manager
• 計測・マーケティング：GA4, Google Tag Manager, タグゲートウェイ, Marketo, Salesforce
• AI開発支援：Claude Code, Vertex AI（Gemini／Claude）