■主な業務 ・業務システム開発へのSREチームの一員としての参画、および担当システムに対する脅威モデリングの実施 ・洗い出したセキュリティリスクの優先度付け、対策の策定、および対策実践の主導 ・担当システムに対するペネトレーションテストの実施と、結果に基づく対策の要否判断 ・当組織が開発する複数のシステムを対象とした、開発ライフサイクルの各段階に応じたセキュリティリスク対策の策定と、必要に応じた標準化 ・セキュリティ対策の実施状況のチェック、およびチェック運用の効率化・自動化の推進 ・DevSecOpsプラットフォームの設計・構築・運用と、導入済みセキュリティツールの保護対象・導入目的の定義・周知、およびツール構成の継続的な見直し ・開発チームとの協働による、セキュアで高品質なプロダクト開発の実現支援 ※動き方のイメージ：新規プロダクト開発の開始時にスクラムチームへ参画して脅威モデリングを実施し、対策をバックログ化して開発と並走しながら解消します。リリース判定会議でのセキュリティ確認を経て本番リリースを行い、以降はツールによる継続的なチェック運用へ移行していきます。 ■求めるスキル・資格 【MUST】 （下記の条件を複数満たしていること） ・開発中のシステムの設計をもとに、脅威モデリングによるセキュリティ対策の検討・提案ができること ・洗い出したセキュリティリスクに優先度をつけ、対策の策定から実践までを主導できること ・CI/CDパイプラインへのセキュリティテスト（SAST/DAST/SCA等）の組み込み・運用など、DevSecOpsの実務経験があること ・ペネトレーションテスト・脆弱性診断の結果を評価し、セキュリティ対策の要否判断ができること（実施は外部ベンダー活用も可） ・クラウドセキュリティに関する知識を有していること 【WANT】 ・DevSecOpsツール（StackHawk、SonarCloud、Snyk等）の運用経験 ・セキュリティチェック・対策運用の自動化経験 ・ペネトレーションテストを自ら実施した経験 ・インシデントレスポンスの経験 ・SOC／CSIRTの構築・立ち上げ経験 ・FISC安全対策基準、NIST（CSF/SSDF）、ISMS/ISO 27001、SOC 2等のガイドライン・規格に基づくセキュリティ対策・監査対応の経験 ・クラウドプラットフォームのセキュリティ認定資格 ■求める人物像 ・セキュリティエンジニアとしての実務経験を3年以上有する方 ・DevSecOpsの実践経験があり、継続的な改善に取り組める方 ・開発ライフサイクルに沿って、セキュリティ施策を自ら主導して進められる方 ・成長意欲が高く、最新のセキュリティ技術を継続的にキャッチアップできる方 ・インフラ構築・運用の基礎知識を有する方 ・セキュリティインシデント対応の経験を有する方