セキュリティエンジニア

必須

• 業務においてAIツール（Cursor、Codex 等）を活用・実験したご経験

• 且つ、以下いずれかのご経験がある方

  • 決済・個人情報を扱うプロダクトのセキュリティ経験（実務3年以上）
  • セキュリティ診断・コンサルティングのご経験（実務3年以上）
  • SRE・クラウドインフラのご経験（実務3年以上）
  • Webアプリケーション開発のご経験（実務5年以上）
  • インシデント対応（事業戦略などSOC・CSIRT・PSIRTで検知から調査・対応）が同じのご経験
  • IT監査・内部統制のご経験がある方（実務3年以上）

歓迎

• 以下、いずれかのご経験がある方

  • 運用上の手作業を、スクリプト・API・IaC・CI等を用いて継続的に回る仕組みに置き換えたご経験
  • 統制の証跡取得や準拠状況の確認を、スクリプト等で自動化したご経験
  • PCI DSS、ISMS（ISO 27001）、SOC 2 等の準拠・認証取得プロジェクトの推進経験
  • セキュリティロードマップの策定、優先度付け、予算・ベンダー管理のご経験
  • 情報処理安全確保支援士、CISSP、CISA、AWS Certified Security - Specialty 等の資格保有

求める人物像

• リスクを正しく評価した上で、事業スピードとのバランスを取り、現実的な落としどころを設計できる方
• 自ら手を動かして設計〜検証まで完遂できる方
• やることが無限にある状態で、課題を整理して優先度を付け、解決策を導ける方
• 前例のないテーマでも自ら情報を集めて判断材料を組み立て、検討経緯や判断根拠を文書として残し、継続可能な状態にできる方
• 技術者からビジネスサイド・経営層・社外関係者まで、相手に合わせて説明・調整できる方。開発・SRE・ビジネス各部門と協働できる方
• 自分やAIが出した結論をそのまま採用せず、裏付けを取りにいける方。「検証できたこと」と「検証できていないこと」を区別し、わからないことを「わからない」と言える方
• 事業の成長に合わせて変化する環境を、前向きに受け止められる方
• 経験のない領域についてもフォローを受けながら、新しい技術や脅威動向を継続的に吸収できる方

使用ツール

募集背景

• 「ecforce」はAIコマースプラットフォームとして、1,700ショップ以上のクライアントにご利用いただく中で決済・個人情報を大量に預かるため、求められるセキュリティ水準は年々高度化しています。
• 現在は、エンタープライズ企業との取引拡大に伴い、PCI DSS をはじめとする各種基準への準拠、インシデント対応体制の高度化、AI活用に伴う新たなリスクへの対応が急務となっており、チームの整備を一緒に進めていただける方を求めています。

組織体制

• 配属先のセキュリティ室は「コト、モノにかかわる全ての顧客体験を脅威から守り、仲間に安全な環境を提供する」をミッションに掲げ、ecforce および全社の情報セキュリティを担う中核組織です。
• プロダクトセキュリティ／コーポレートセキュリティ／インシデントレスポンス／ガバナンス・コンプライアンスまでを、現在2名で横断的にカバーしています。
• 2名という体制のため、一人ひとりの担当範囲は広く、優先度の判断も自分たちで下しています。裏を返せば、新しく入る方の強みに合わせて担当領域を設計できる余地が大きく、提案がそのまま全社の標準になります。

業務内容

• 以下の6領域をセキュリティ室として横断的にカバーしています。ご経験・志向に応じて担当領域を決定し、事業とチームの成長に合わせて柔軟に見直していきます。
• 1. **プロダクトセキュリティ**：
• ecforce および関連サービスの脆弱性診断（内製／外部ベンダー管理）
• セキュアコーディング支援
• 開発ライフサイクルへのセキュリティ組み込み（シフトレフト）
• 脆弱性管理とトリアージ
• クライアントからのセキュリティ指摘・問い合わせ対応
• 2. **検知・インシデントレスポンス**：
• 不正アクセス・不正利用の検知、調査、封じ込め、恒久対策の立案と実行
• 検知ロジックの設計と、それをコードとして管理・テスト・デプロイする運用の確立
• ログ基盤・EDR の活用と改善、対応プロセスの自動化
• 3. **ガバナンス／コンプライアンス**：
• PCI DSS／ISMS／Pマーク／SOC 2 等の各種基準対応
• IT統制、社内規程・ガイドラインの策定と運用
• 監査対応（証跡取得の自動化を含む）
• 4. **コーポレート／ゼロトラスト基盤**：
• ID管理・端末管理・ネットワークセキュリティの各種ソリューションを用いた社内IT・端末・アカウント管理のセキュリティ強化
• 全社セキュリティ教育・啓蒙
• 5. **AIセキュリティ**：
• 全社的なAI活用推進に伴う利用ガイドラインの整備
• AIエージェント／LLMアプリケーション特有のリスク評価と対策設計
• 6. **チーム／プロジェクト管理**：
• セキュリティロードマップの策定
• 予算・ベンダー管理

期待役割

• 特に、今後1~1.5年の間で期待役割として重きを置いているのは以下3点です。
• 1. **GRCエンジニアリング**
• 監査・IT統制対応を「人手による証跡集め」から「コードによる継続的な取得」へ移行させ、基準への準拠を、年次のプロジェクトではなく日常的に検証可能な状態にすること。
• 2. **検知範囲の拡大**
• 現在はコーポレート基盤と ecforce を中心に構築されている検知の仕組みを、ecforce AIdp をはじめとする他プロダクトへ展開すること
• 3. **ecforce ファミリーのセキュリティ強化**
• ecforce 本体に加え、ecforce AIdp をはじめとする関連プロダクト群を対象に、セキュアコードレビュー、脆弱性管理、設計段階からのリスク低減を進め、プロダクトが増えても水準を保てる進め方をつくること
• その他にも、
• 課題の定義から始める**：まだ定義されていない課題を、定義するところから着手すること
• 設計判断に責任を持つ**：自ら設計判断を下し、その結果に責任を持つこと
• 横断的に合意を取る**：開発・SRE・ビジネス側と直接交渉し、事業スピードとのバランスを取った現実的な落としどころを設計すること
• AIの出力を検証し、責任を持つ**：実装できることよりも、実装されたものが正しいと判断できること
• 仕組みとして残す**：一次対応だけではなく、検知ルールや証跡取得を「コードとして管理・テスト・デプロイできる状態」に落とし込み、属人化させないこと

ポジションのやりがい

• 1. **裁量が持てる環境**：
• 守るだけでなく、自ら設計・実装・運用まで一気通貫でやり切れる環境です。提案がそのまま全社の標準になるスピード感があります。
• 2. **専門性深さとキャリアの幅を同時に広げられる**：
• プロダクト／コーポレート／ガバナンスを横断して経験でき、プラットフォーム事業ならではの決済・個人情報を扱う高い要求水準の中で専門性を磨けます。担当領域を一つに固定されないため、キャリアの幅を意図的に広げられます。
• 3. **高額なSaaSに頼らない内製環境**：
• SIEM製品を購入して運用するのではなく、ログ相関分析基盤そのものを自ら設計・実装しています。検知ロジックを「他社製品の設定項目」ではなく「自分たちのコード」として持てる環境です。
• 4. **AI活用が方針ではなく実装として存在する**：
• AIによるトリアージや運用エージェントがすでに動いています。「AIを使っていきたい」という段階ではなく、精度とコストをどう作り込むかという段階の議論ができます。
• 5. **事業成長への直結**：
• セキュリティがエンタープライズ商談のボトルネック解消＝売上に直結する組織目標として位置づけられており、取り組みの成果が事業インパクトとして可視化されます。

クラウド／インフラ

• AWS（IAM、VPC、Lambda、Security Hub、GuardDuty 等）
• IaC（Terraform 等）
• GitHub
• Wiz
• 内製サーバーレス基盤

ログ分析・検知

• SQL
• Athena
• Glue による内製のログ相関分析基盤
• EDR、CASB、IdP など各種SaaS・クラウドのログ集約

プロダクト開発

• Ruby on Rails（読解・セキュアコードレビュー）
• CI/CD へのセキュリティ組み込み

AI活用

• Gemini
• Claude・Claude Code
• Notion AI
• NotebookLM（テキスト生成・分析）
• Cursor・GitHub Copilot・Devin（開発）
• 検知の一次トリアージ用LLM
• セキュリティ運用AIエージェント（開発中）

コミュニケーション／ドキュメント

• Slack（検知通知・運用連携）
• Notion（規程・ガイドライン・ナレッジ管理）