【建設DX】DevSecOpsエンジニア

必須

• インフラ／SRE／DevOps、またはWebアプリケーション開発の実務経験（3年以上目安）
• クラウド（AWS、GCP、Azureのいずれか）上でのシステム構築・運用経験
• CI/CD（GitHub Actions、GitLab CI等）の構築・運用経験
• コンテナ（Docker）、IaC（Terraform等）の実務経験
• Webアプリケーションの代表的な脆弱性（OWASP Top 10等）と対策への理解
• セキュリティツール（脆弱性スキャナ、SAST/SCA等）の導入・運用経験
• AIコーディングアシスタント（Claude Code、Cursor、GitHub Copilot等）を日常の開発で活用し、生成されたコードを鵜呑みにせずレビュー・テスト・検証して品質を担保できること

歓迎

• Kubernetesの運用経験とセキュリティ設定（Pod Security、ネットワークポリシー等）
• SBOM、SLSA、Sigstore等のサプライチェーンセキュリティの実践経験
• Policy as Code（OPA、Conftest等）の導入経験
• SIEMを用いたログ分析、SOC／CSIRTでの実務経験
• ISMS（ISO 27001）、NIST CSF等のフレームワークにもとづく運用経験
• OWASP Top 10 for LLM Applicationsなど、AI・LLMアプリケーションのセキュリティに関する知識
• AWS Certified Security – Specialty、CKS、情報処理安全確保支援士等の資格
• 英語での技術的コミュニケーション
• 日本語能力試験（JLPT）N2相当以上の日本語力

求める人物像

• 誠実さ
• 協働姿勢（門番ではなく伴走者として）
• Leanマインドセット
• 好奇心

応募について

• 日本語を学習中の方も歓迎します

使用ツール

業務内容

• セキュリティを開発の最後に確認するのではなく、開発の最初から組み込む（シフトレフト）ためのポジションです。CI/CDパイプライン、クラウド基盤、コンテナ環境にセキュリティの自動チェックを組み込み、各開発チームが速さを落とさずに安全にリリースできる仕組みをつくります。セキュリティオフィスが定めたガイドラインを、書面上の確認ではなく、実際に満たされている状態として実装し、エンジニアリング責任者と共にその遵守を示せる状態を維持します。開発チームの外から止める門番ではなく、チームが自ら安全な判断をできるよう支える役割です。

主な業務

• CI/CDパイプラインへのセキュリティテストの組み込みと自動化（SAST、DAST、SCA、シークレットスキャン、コンテナイメージスキャン）
• ソフトウェアサプライチェーンの保護（SBOMの生成・管理、依存ライブラリの脆弱性管理、ビルドの署名・来歴の確保）
• クラウド（AWS等）のセキュリティ設計・運用（IAM最小権限、ネットワーク、暗号化、CSPMによる設定監査）
• Infrastructure as Code（Terraform等）とPolicy as Codeによる、安全な設定の標準化
• シークレット・認証情報の管理基盤の整備と運用
• 脆弱性のトリアージと修正支援、SLAに沿った対応状況の可視化
• ログ・監視・アラートの整備と、インシデント対応の手順づくり・訓練
• セキュリティオフィスのガイドラインの実装と、監査・コンプライアンス対応（ISMS等）の支援
• 開発チームへのセキュアコーディングの支援、脅威モデリングへの参加
• AIを活用した脆弱性トリアージ・ログ分析の効率化と、AI生成コード・LLM機能に特有のリスク（プロンプトインジェクション、機密情報の漏えい等）への対策