技術リスクアセスメント担当

募集背景

1. 1SmartHRは「well-working 労働にまつわる社会課題をなくし、誰もがその人らしく働ける社会を作る。」をミッションに、クラウド人事労務ソフト「SmartHR」を開発・提供しています。
2. 2今後の方針に『マルチプロダクト戦略』を掲げ、労務管理領域・タレントマネジメント領域を中心にプロダクトを拡大・成長させ続けます。
3. 3クラウド人事労務ソフト「SmartHR」は、紙で行われていた社会保険・雇用保険の諸手続きを電子化し、効率化するサービスからスタートし、その後、年末調整や雇用契約、人事データベース、分析レポート、従業員サーベイ、と提供するサービスの幅を広げ、多くの人事・労務分野の非合理を解消してきました。
4. 4今後はタレントマネジメント・人材マネジメント領域のサービスを拡大していくとともに、アプリケーションストア構想を実現し、SmartHRの上で様々なアプリケーションが動く世界を作り上げていきます。
5. 5働くすべての人を支えるプラットフォームを目指すため、いかなる規模の企業であっても安心して利用できる高いセキュリティレベルが求められるとともに、多様化する要求や変化に日々すばやく適応し続けなければなりません。
6. 6「安心できるサービス・提供企業」であり続けるために、セキュリティの維持向上が不可欠です。
7. 7SmartHRグループのコーポレートおよびプロダクトに関する包括的なセキュリティ管理戦略の実行、運用を担っていただく重要なポジションです。
8. 8【現状】会社全体のセキュリティ課題：プロダクトの増加や業務の複雑化、従業員数の増加に対応できるセキュリティ体制を構築する必要がある。
9. 9【現状】会社全体のセキュリティ課題：迅速かつ柔軟な変化ができるようにしつつ、高い基準のセキュリティを仕組みとして確保する必要がある。
10. 10【現状】チームの課題：安定して業務を遂行していくために、業務プロセスを標準化する必要がある。
11. 11【現状】チームの課題：個人に業務負担が偏らないようにチーム体制を確立する必要がある。
12. 12【今後の取り組み】プロダクトに対するリアルタイムのセキュリティ監視による予兆を含む攻撃の検知の強化。
13. 13【今後の取り組み】サイバーセキュリティインシデント対応体制の強化。
14. 14【今後の取り組み】サイバーセキュリティに係る社内規定やガイドラインの整備。
15. 15【今後の取り組み】業務の自動化・標準化。
16. 16【今後の取り組み】プロダクトライフサイクル全体に渡るセキュリティ施策（DevSecOps）の支援。

職務内容

1. 1ミッション／役割：技術的な観点から全社および子会社のセキュリティリスクを継続的かつプロアクティブに特定・評価し、その結果を関係者へフィードバックするとともに、各部門と連携しながら改善の推進および定着を図ることで、組織全体のセキュリティレベル向上に貢献する。
2. 2サイバーセキュリティ部門（2nd Line）として、リスク管理およびガバナンスの観点から、全社的なセキュリティ施策の高度化と継続的改善をリードする。
3. 3主な業務内容：全社および子会社のIT資産に対する技術的リスクアセスメントを実施し、その実行状況の可視化および管理を行う（詳細なペネトレーションテストの実施は主業務ではない）。
4. 4システムオーナーや開発／インフラ担当者に向けたリスク評価レポートの作成および改善提案を行う。
5. 5リスクに応じて適切なセキュリティ製品の導入企画〜運用、効果的な活用方法の確立と継続的な改善を推進する。
6. 6外部専門企業への脆弱性診断やペネトレーションテストの委託に加え、その成果物のレビューおよび社内展開も担当する。
7. 7担当領域における中長期的なセキュリティ戦略およびロードマップの策定支援と実行を行う。
8. 8AI／LLMを含む新技術の活用に伴うリスク（データ漏洩やプロンプトインジェクション等）の調査・分析およびガイドライン策定にも関与する。
9. 9最新の脅威動向や攻撃手法、脆弱性情報についても継続的に調査・分析し、その結果をアセスメント手法や基準に反映する。
10. 10診断・アセスメント業務の標準化、効率化、自動化（スクリプト開発等）の企画・推進を行い、あわせてセキュリティポリシーおよび社内規程の改善提案にも取り組む。
11. 11技術的リスクアセスメントの実行および高度化（標準化・効率化・継続的改善を含む）。
12. 12リスク評価結果に基づく関係者へのフィードバック、および改善施策の推進・定着支援。
13. 13技術アセスメントに関する戦略・方針の立案および推進。
14. 14セキュリティ管理体制（ポリシー、基準、プロセス等）へのフィードバックおよび改善提案。
15. 15AI技術の活用に伴うセキュリティリスクの特定・評価と、ガバナンス強化に向けたルール整備・運用支援。
16. 16本ポジションは、リスク管理のフレームワークである「3Lineディフェンスモデル」に基づいている。サイバーセキュリティ部門（2nd Line：統制・監督）として、プロダクトセキュリティユニット（PSIRT／1st Line：実行）をモニタリングおよび支援し、セキュリティレベルの向上を図る。
17. 17【組織構成】セキュリティ・リスクマネジメント統括本部：情報セキュリティマネジメント担当、技術リスクアセスメント（当求人）。
18. 18【組織構成】技術統括本部：プロダクトセキュリティエンジニア (PSIRTユニット)。

参考記事

1. 1IPAインタビュー_SmartHRのリスクベースセキュリティ
2. 2IPAインタビュー動画_国家資格「情報処理安全確保支援士」活用企業インタビュー
3. 3グループ全体を守るセキュリティ体制へ。SmartHRセキュリティユニットの挑戦
4. 4SmartHRはセキュリティにとってもwell-workingな職場でした
5. 5業界最高水準のセキュリティをつくる─ SmartHRのセキュリティ組織の現在地と挑戦

ポジションの魅力

1. 1情報セキュリティグループには、技術力に加えてリスク判断力や意思決定力を磨きながら、継続的に成長できる環境があります。
2. 2クラウド環境を中心に、リスクアセスメント、全社セキュリティ強化など幅広い領域に関わり、技術的な知見とビジネス視点の双方を活かしたセキュリティ推進に携わることができます。
3. 3経営陣もセキュリティの重要性を深く理解しており、リスク評価や優先順位付けを通じて、組織全体に影響を与える意思決定に関わることができます。

求める人物像

1. 1複数部門のステークホルダーを巻き込んで行動できる方
2. 2未整備な状況をストレスと捉えず、楽しみながら環境を整備・改善していける方
3. 3目標達成に向けて、状況に応じて優先順位を判断し、計画的かつ効率的に業務を進められる方
4. 4業務に必要な情報を主体的に収集・学習できる方
5. 5未経験の業務や未知の問題に対しても、自ら学習し、自らの頭で考え、臨機応変に対応ができる方
6. 6ご自身の経験や考えを持ちつつも、それに固執せず、他者の意見や新しい情報、変化する状況を柔軟に受け入れられる方

雇用条件

1. 1全社共通：コアタイムなし、フレキシブルタイム（5:00〜22:00）、居住地は国内のみ、申請によって「在宅勤務場所変更」可能（原則、国内のみ）。
2. 2本ポジション：フルリモートワークOK（出社日数指定なし）。フルリモートワークOKの遠方居住者は、所属オフィスまでは出張による経費精算（業務都合の場合）。
3. 3そのほか詳細：所属組織によって詳細が異なる。詳細は、SmartHRの働き方制度（2025年以降）をご覧ください。

応募資格（必須）

• 以下のいずれか 2つ以上の技術領域に関する知識または実務経験（目安：1年以上）を有すること
• 社内関係者（開発、インフラ、プロダクトオーナー等）と連携し、セキュリティ課題の解決や改善を推進した経験
• 技術的な専門性にとどまらず、状況やコンテキストを踏まえてリスクや課題を自ら特定し、適切な判断・意思決定につなげられる能力
• 技術的リスクを評価し、非技術者を含むステークホルダーに対して分かりやすく説明・合意形成できるコミュニケーション能力

歓迎する経験

• 全社または複数組織を対象とした技術的リスクアセスメントの実務経験
• セキュリティ施策やコントロールの設計、導入、運用改善を推進した経験
• TLPT（Threat-Led Penetration Testing）やクラウドサービスにおけるレッドチーム活動に関する基礎知識、またはCTF等での実践経験
• ソフトウェアサプライチェーン攻撃およびリスクに関する理解
• AI／LLMの活用に伴うセキュリティリスク(例：データ漏洩、プロンプトインジェクション、権限逸脱、不適切な情報開示等）に関する知識
• セキュリティガバナンス（利用ルール、ログ管理、監査、評価プロセス等）の整備・運用経験
• セキュリティ関連資格（例：CISSP、OSCP、OSWE、GRTA、GRTE、CRTO、 BSCP/）

待遇・福利厚生

• 1Password付与
• クラブ活動支援
• チャット健康相談サービス
• 予防医療補助
• 公認会計士・税理士の場合、資格維持に必要な費用は会社が負担いたします
• 出産準備休暇
• 置き型コンビニ
• 育児環境を整える手当

求めるスキル・経験