セキュリティエンジニア(マネージャー候補)

■採用背景
全社的な組織再編・Tech組織改革に伴い、各開発部門が守るべきセキュリティ基準、開発プロセス、外部サービス利用ルール、脆弱性対応、クラウド利用方針などを横断的に整備する必要があります。

現在、セキュリティ領域にはプレイヤーが1名在籍しており、本ポジションはその上に立つプレイングマネジャー候補として、セキュリティグループの実務と組織化をリードします。将来的には増員を前提に、正式な管理職としての役割拡大を想定しています。

■ミッション
「サービス開発・運用に必要なセキュリティ基準を明確化し、各開発部門が現実的に実行できる形で定着させる」をミッションに、単にルールを作るだけではなく、各部門の現状との差分を把握し、優先順位をつけ、内外のリソースを活用しながら改善計画を実行することを期待します。

■主な職務内容
開発チームと密に連携し、プロダクトライフサイクル全体にわたるセキュリティ向上(SSDLC)を推進していただきます。

●SSDLC(セキュア開発ライフサイクル)の導入・推進: プロダクトの企画・設計段階から参画し、脅威モデリングやセキュリティ要件定義の実施。
●DevSecOps基盤の構築: CI/CDパイプラインへの各種セキュリティテストツール(SAST/DAST/SCA等)の統合と、脆弱性検知の自動化。
●脆弱性管理と修正支援: 外部の脆弱性診断や社内ツールで検知された脆弱性のトリアージ、および開発チームへの修正提案・実装サポート。
●プロダクトモダナイズにおけるセキュリティ監査: レガシーシステムからモダンアーキテクチャへの移行時における、セキュリティ設計のレビューおよび技術的ガイダンスの提供。
●クラウドセキュリティ態勢管理(CSPM): パブリッククラウド環境におけるリソースの設定不備や権限の過剰付与の継続的な監視と是正。
●開発部門、情シス部門、管理部門、内部統制部門等との連携
将来的なセキュリティグループ拡大に向けた体制設計

【利用技術】
■開発言語: Python, TypeScript
■開発フレームワーク: React, Vue3, Node, PyTorch, CatBoost / LGBM
■クラウド: AWS(CDK, Aurora Serverless, ECS, SageMaker等)、Google Cloud(Cloud Run, BigQuery, Vertex AI等)
■開発ツール: GitHub Copilot, Devin, Docker Desktop, Gemini for Google Workspace, ChatGPT Plus

【CTOの経歴】
2006年、慶應義塾大学大学院にてAIの研究に携わりながら、位置情報スタートアップの創業に参画。取締役CTO、取締役副社長を歴任し、同社を大手通信企業に売却。
2019年よりヘルスケア業界に転じ、株式会社ケアネットに入社。新規事業会社の立ち上げや新規サービスの立ち上げ等に従事し、現在は執行役員CTOおよびグループ会社取締役として、グループ全体でAIサービスの事業化に取り組む。

■ケアネットの特徴
・安定の医療×IT企業で上場のため、経営安定感〇
・少数精鋭のため社員感の距離が近く、コミュニケーションがとりやすい
・製薬会社や医療関係者を結ぶプラットフォームビジネスで成長性が高い

【40万人を超える医療従事者が利用する医療情報専門サイト】
同社は「情報技術と映像の力で明日の医療をもっとよくする」ことをミッションとし、
インターネットを通じて医師・医療者の日常臨床に役立つ記事や動画等の情報を
お届けするとともに、製薬企業に対し、医薬情報提供活動を効率的に行う
ソリューションを提供しています。

※展開サービス※
製薬会社向け:医薬情報提供サポート「MRPlus」、「Web講演会」等
医療関係者向け:医療ポータル「CareNet.com」、論文検索・管理ツール「PubMedCLOUD」、
臨床医学チャンネル「CareNeTV」等

【製薬企業・医療従事者双方のニーズに並走したサービス展開】
生活習慣病からスペシャリティ(がんや希少疾患など)への情報提供の充実を望む製薬企業、
医療従事者双方のニーズに応えるべく、がん治療に関わる専門家医師を抱えるフェーズワン社との
業務提携や、キーオピニオンリーダーの生の声を届けるため、
ソーシャル機能を備えた医療・医学ニュースサイトをオープンするなど、
製薬企業、医療従事者双方のニーズをマッチングさせるためのサービス提供に力を入れております。

【必須要件】
・アプリケーション、クラウド、インフラ、情報セキュリティのいずれかを中心としたセキュリティ実務経験
・Webサービスまたは業務システムにおけるセキュリティレビュー、脆弱性対応、リスク評価の経験
・セキュア開発、脆弱性診断、アクセス制御、ログ管理、インシデント対応に関する基礎〜実務レベルの知識
・AWSまたはGoogle Cloud環境におけるセキュリティ設計・運用の経験
・開発部門と対話し、現実的な改善計画に落とし込めるコミュニケーション能力
・セキュリティ施策の優先順位付け、計画化、実行管理の経験
・少人数チームまたは外部ベンダーをリードした経験
・日本語での業務遂行能力

【尚可】
・セキュリティ組織、CSIRT、SOC、情報システムセキュリティ部門などでのリード経験
・CISSP、CISA、CISM、情報処理安全確保支援士、AWS Certified Security Specialtyなどの資格
・ISMS、Pマーク、内部統制、監査対応に関する経験
・SAST、DAST、SCA、CSPM、WAF、SIEM、EDR、IAM、SSO、Secrets管理などの導入・運用経験
・クラウドネイティブ環境、コンテナ、IaC、CI/CDパイプラインに対するセキュリティ設計経験
・個人情報、医療情報、要配慮個人情報を扱うサービスでのセキュリティ経験
・AI、LLM、RAG、データ分析基盤におけるセキュリティ・プライバシーリスクの検討経験
・開発者に嫌われないセキュリティガイドライン、教育、レビュー体制を構築した経験

【求める人物像】
・セキュリティを「禁止」ではなく「事業と開発を安全に進めるための仕組み」として設計できる方
・理想論だけでなく、既存システム・人員・予算・納期を踏まえて現実的な改善計画を立てられる方
・開発現場と信頼関係を築き、納得感をもって基準を定着させられる方
・プレイヤーとして手を動かしながら、メンバーや外部リソースも活用できる方
・将来的にセキュリティ組織の責任者を担う意欲がある方