セキュリティエンジニア

必須

• セキュリティエンジニアとしての実務経験を3年以上有すること
• インフラ構築・運用の基礎知識を有すること
• 開発中のシステムの設計をもとに、脅威モデリングによるセキュリティ対策の検討・提案ができること
• 洗い出したセキュリティリスクに優先度をつけ、対策の策定から実践までを主導できること
• CI/CDパイプラインへのセキュリティテスト（SAST/DAST/SCA等）の組み込み・運用など、DevSecOpsの実務経験があること
• ペネトレーションテスト・脆弱性診断の結果を評価し、セキュリティ対策の要否判断ができること（実施は外部ベンダー活用も可）
• クラウドセキュリティに関する知識を有していること

歓迎

• DevSecOpsツール（StackHawk、SonarCloud、Snyk等）の運用経験
• セキュリティチェック・対策運用の自動化経験
• ペネトレーションテストを自ら実施した経験
• セキュリティインシデントに対するインシデントレスポンスの経験
• SOC／CSIRTの構築・立ち上げ経験
• FISC安全対策基準、NIST（CSF/SSDF）、ISMS/ISO 27001、SOC 2等のガイドライン・規格に基づくセキュリティ対策・監査対応の経験
• クラウドプラットフォームのセキュリティ認定資格

求める人物像

• 「まだ正解のない状態」を課題ではなくチャンスと捉え、セキュリティの仕組みづくりの最上流から裁量を持って手を動かせる方
• 開発チームと協働しながら、開発スピードとセキュリティの両立を図れる方
• 継続的な改善に主体的に取り組める方
• 開発ライフサイクルに沿って、セキュリティ施策を自ら主導して進められる方
• 成長意欲が高く、最新のセキュリティ技術・脅威動向をキャッチアップし続けられる方

使用ツール

部署（SOMPO Digital Lab）のミッション

• グループ全体のデジタル・データ・AI戦略を立案・推進・実行する役割を担っており、AIやLLM（大規模言語モデル）といったデジタル技術を利活用しながら革新的なソリューションを創出し、顧客接点向上や業務効率化に資するプロジェクトをリードします。当社グループが有する事業基盤、新たな技術の活用、パートナーとの連携を通じてグループ全体のDDAX（※）を主導し、企業価値向上への挑戦を続けています。※DDAXとは、“Digital, Data and AI Transformation”つまりデジタル・データ・AIに関する技術・ノウハウの一体的活用を通じて、ビジネス変革や新たな価値創出を実現することを指します。

配属チームのミッション

• アジャイル内製開発組織としてグループ各事業会社（主に国内損保事業、国内生保事業、介護・ヘルスケア事業など）とのサービス・プロダクト開発に取り組んでいます。顧客目線×アジャイル開発による新たな顧客体験の創出とユーザーニーズに即した価値を継続的に届けることを目指しています。AIなどの最新技術を積極的に利活用し、ユーザー（お客さま・代理店・社員）の利便性追求の他、開発組織として機能拡充×生産性向上×品質向上へのチャレンジを続けています。

ポジションのミッション

• 当組織のインフラ領域・信頼性を担うSREチームに所属し、セキュリティ施策に専任で取り組んでいただきます。入社後はまず、担当プロダクトの開発に参画し、脅威モデリングをはじめとするセキュリティ活動を開発と並走させることで、プロダクトのセキュリティレベルを高めていただきます。その後、段階的に複数プロダクト横断のセキュリティ施策（標準化・チェック運用の整備）へと役割を広げていただきます。
• 当組織はすでに複数のプロダクトを商用リリースし、SOMPOグループ各社で日々利用されています。PoCにとどまらず、実際のビジネスにインパクトを与えるフェーズに入っています。ただ、事業が急速に拡大する中、セキュリティの体系的な整備はこれからという領域が多く残っています。脅威モデリングの定着、開発ライフサイクル各段階でのセキュリティチェック、導入済みセキュリティツール群の目的整備など、これから整えていく余地が大きいのが現状です。だからこそ、セキュリティに専任で向き合う本ポジションを必要としています。
• 私たちが求めているのは、こうした「まだ正解のない状態」を課題ではなくチャンスと捉え、セキュリティの仕組みづくりの最上流から裁量を持って手を動かせる方です。ご自身の判断で組織のセキュリティの土台を設計し、その成果を事業インパクトとして実感したい方にとっては、非常にやりがいのある得がたい環境です。

主な業務

• 業務システム開発へのSREチームの一員としての参画、および担当システムに対する脅威モデリングの実施
• 洗い出したセキュリティリスクの優先度付け、対策の策定、および対策実践の主導
• 担当システムに対するペネトレーションテストの実施と、結果に基づく対策の要否判断
• 当組織が開発する複数のシステムを対象とした、開発ライフサイクルの各段階に応じたセキュリティリスク対策の策定と、必要に応じた標準化
• セキュリティ対策の実施状況のチェック、およびチェック運用の効率化・自動化の推進
• DevSecOpsプラットフォームの設計・構築・運用と、導入済みセキュリティツールの保護対象・導入目的の定義・周知、およびツール構成の継続的な見直し
• 開発チームとの協働による、セキュアで高品質なプロダクト開発の実現支援
• ※動き方のイメージ：新規プロダクト開発の開始時にスクラムチームへ参画して脅威モデリングを実施し、対策をバックログ化して開発と並走しながら解消します。リリース判定会議でのセキュリティ確認を経て本番リリースを行い、以降はツールによる継続的なチェック運用へ移行していきます。

業務環境・ツール

• 端末：MacBook、iPhone
• コミュニケーションツール：Slackなど
• オフィスツール：GoogleWorkspaceなど
• デザインツール：Figma、Figjam、各種Adobe製品
• プロジェクト管理ツール：JIRA
• ナレッジ管理ツール：Notion
• AIツール：Claude、Gemini enterprise、Cursorなど