TECH- Director of Security / セキュリティ責任者

TECH- Director of Security / セキュリティ責任者

仕事概要

仕事内容

Micoではこれまで、社内リソースを再配置しながら、セキュリティ担当者の配置、ポリシー・プロセスの整備、ISMS・PrivacyMarkの運用など、セキュリティの基盤づくりを進めてきました。経営スポンサーシップや予算の確保、全社目標への組み込みなど、セキュリティ機能を成長させるための基盤も整っています。

今後はこれまでの取り組みを、専任の「Security Engineering」機能として本格的に発展させていきます。本ポジションには、その立ち上げから日々の運営、組織づくり、セキュリティ戦略の実行までをリードしていただきます。

これからのMicoのセキュリティは、「脆弱性をなくす」「ルールを守る」だけではありません。AIエージェントが安全に自律して動けること、AIを活用した開発そのものが安全であること、お客様が安心してMicoを利用できること。これらをプロダクトと開発プロセスに組み込み、セキュリティを事業成長の強みに変えていくことが、このポジションのミッションです。

Micoだからこそ取り組める3つのテーマ

\*\*① 高いセキュリティ水準が求められるお客様に選ばれるためのセキュリティ\*\*

• Micoは、LINE・SMS・RCS・Voice AI・Webを通じて企業と顧客のコミュニケーションを支えるプロダクトを、金融・保険・小売・不動産など、データ保護への要求水準が高い業界を含む5,500社以上に提供しています。
• 顧客監査やコンプライアンス対応にとどまらず、「なぜMicoなら安心して使えるのか」を、技術と仕組みの両面からつくっていきます。

\*\*② AIエージェントの安全性を、プロダクトの中核から設計する\*\*

• Micoでは、AIエージェントがユーザーに代わって判断し、ツールを実行し、顧客とのコミュニケーションまで担うプロダクトを開発しています。
• 何をどこまで実行させるのか。どのような攻撃や誤動作が起こり得るのか。どのようなガードレールや監視が必要なのか。
• まだ正解が確立されていない領域だからこそ、開発の初期段階からセキュリティの観点で関わり、安全にAIを活用できる仕組みをつくっていきます。

\*\*③ AIを前提とした開発プロセスのセキュリティ\*\*

• コーディングやテストへのAI活用が進み、開発スピードが向上する一方で、開発プロセスそのものにも新しいセキュリティ課題が生まれています。
• AI-assisted developmentを前提に、コード、依存ライブラリ、シークレット、開発環境まで含めた、新しいセキュリティのあり方を設計していきます。

---

具体的な業務内容

\*\*① セキュリティ戦略・組織づくり\*\*

• Engage AI、Voice AI、BizClo、Micomiiなど、全プロダクトを横断したセキュリティ戦略・ロードマップの策定と、半期ごとの全社セキュリティ目標の策定・実行
• セキュリティリスクの優先順位付け、予算・人員計画、ツール・外部ベンダーの選定（Build vs Buy、ROIの整理を含む）
• Security Engineering機能の立ち上げ・運営、セキュリティエンジニアの採用・育成・評価
• 日本・インドを含むグローバルなセキュリティチームの構築と、組織拡大を見据えた体制・プロセスの設計

\*\*② Product Security / Application Security\*\*

• Security by Designの推進、脅威モデリング・セキュア設計レビューの仕組み化
• SAST / SCA / Secret DetectionのCI/CDへの組み込み、セキュリティスキャンやコードレビューの自動化
• 脆弱性管理プロセスの設計・運用、内部・外部ペネトレーションテストの企画・実行

\*\*③AI / LLM Security\*\*

• AIエージェントの権限・ツール実行・データアクセスに関するガードレールの設計
• Adversarial Testing / AI Red Teamingの設計・実行、AIエージェントのリリース基準の策定
• AI-assisted developmentにおけるセキュリティポリシーの設計
• OWASP LLM Top 10、MITRE ATLASを活用した脅威分析、AIを活用したセキュリティオペレーションの高度化

\*\*④ GRC / Data Protection\*\*

• ISMS（ISO 27001）・PrivacyMarkの運用・高度化、SOC 2など新たなフレームワークへの対応
• セキュリティポリシー・基準の策定、リスクアセスメント・リスク管理
• データ分類、最小権限アクセス、マスキング・トークン化など、APPI / GDPRを踏まえたデータ保護の仕組みづくり（法務・コンプライアンスと連携）

\*\*⑤ Customer Trust\*\*

• お客様からのセキュリティチェック・監査・質問票への対応、セキュリティ資料の整備
• Trust Centerなど、Micoのセキュリティを対外的に伝える仕組みの構築
• 大手企業・規制産業のお客様、監査法人、必要に応じて規制当局とのコミュニケーション

\*\*⑥ Incident Response\*\*

• インシデント対応体制・プロセスの構築・訓練、検知・監視体制の整備
• 全社的なセキュリティベースラインの策定、インシデント発生時の技術的な判断・指揮

---

組織・働き方

• \*\*まずは2名体制からスタート\*\*：本ポジションと、インドで採用予定のシニア〜リードクラスのセキュリティエンジニアの2名を中心にSecurity Engineering機能を立ち上げ、事業の成長に合わせて拡大していきます。
• \*\*VPoEに直接レポート\*\*：セキュリティ戦略・組織・予算・ロードマップについてVPoEと密に連携しながら推進します。経営層やお客様、必要に応じて規制当局との対話にもVPoEとともに臨みます。
• \*\*各開発チームと連携\*\*：各チームにセキュリティ担当者を置き、セキュリティチームと連携しながら開発プロセスにセキュリティを組み込みます。本ポジションには、仕組み・基準・優先順位・タイムラインを設計し、各チームが自律的にセキュリティを高められる状態をつくることを期待しています。
• \*\*プレイングリーダー\*\*：マネジメントに加え、脅威モデルのレビュー、AIエージェントやセキュリティ基盤の内製開発、第三者ソリューションの技術評価、テナント分離設計、AI Red Teamingの結果レビューなど、技術的なテーマにも自ら関わります。

\*\*※本ポジションの範囲外\*\*：会社全体の最終的なセキュリティ責任を一人で負うこと（最終的な責任はVPoEとともに担います）、社内IT・情シス業務、監査・コンプライアンス対応だけを行う役割ではありません。「セキュリティを実際につくり、動かし、組織として継続できる状態にする人」であることを期待しています。

---

本ポジションに期待すること

• \*\*技術と経営をつなぐ\*\*：AppSec、Infrastructure Security、GRCを横断して理解し、技術的な判断を経営・事業・顧客の言葉に変換する
• \*\*ゼロから組織をつくる\*\*：何が必要かを自ら考え、組織・役割・プロセス・採用を設計し、形にする
• \*\*正解のない領域で判断する\*\*：AIエージェントやAIを活用した開発について、技術とリスクの両面から判断する
• \*\*小さなチームで大きなインパクトを出す\*\*：AI・自動化・開発チームとの連携を活用し、少人数でもセキュリティのカバレッジを最大化する

---

このポジションで得られること

• \*\*セキュリティ組織を「つくる側」に回れる\*\*：組織、採用、予算、ロードマップ、技術基盤、開発プロセスまで、裁量を持ってゼロから設計できます。
• \*\*AI時代のセキュリティに真正面から向き合える\*\*：自律的に動くAIエージェントやAIを前提とした開発プロセスなど、これから確立されていく領域の中心で取り組めます。
• \*\*経営・事業と近い距離で動かせる\*\*：VPoEと直接連携し、セキュリティを事業・顧客・経営のテーマとして推進できます。
• \*\*大きなインパクト\*\*：規制業界を含む5,500社以上が利用するプロダクトと、その先にいるエンドユーザーを守ります。
• \*\*グローバルな環境\*\*：インド・フィリピン・台湾など多国籍のメンバーと協働し、グローバルなセキュリティ組織へと発展させていきます。

---

目指せるキャリア

セキュリティ技術だけでなく、\*\*組織・予算・経営・事業・顧客を含めた会社全体のセキュリティをリードする経験\*\*を積めます。
Security Engineering機能の成長とともに、将来的にはグローバルなセキュリティ組織の統括や、CISOとして経営に直接関わるキャリアを目指すこともできます。

---

Micoコンテンツ

• \*\*Career Deck\*\* <https://speakerdeck.com/micoinc/mico-career-deck-japan>
• \*\*note\*\* <https://note.com/micoworks>
• \*\*メンバー紹介\*\* <https://note.com/micoworks/m/m0bfd9da02e11>
• \*\*採用ページ\*\* <https://careers.mico-inc.com/product-development>

--

必須スキル

仕事内容

Micoではこれまで、社内リソースを再配置しながら、セキュリティ担当者の配置、ポリシー・プロセスの整備、ISMS・PrivacyMarkの運用など、セキュリティの基盤づくりを進めてきました。経営スポンサーシップや予算の確保、全社目標への組み込みなど、セキュリティ機能を成長させるための基盤も整っています。

今後はこれまでの取り組みを、専任の「Security Engineering」機能として本格的に発展させていきます。本ポジションには、その立ち上げから日々の運営、組織づくり、セキュリティ戦略の実行までをリードしていただきます。

これからのMicoのセキュリティは、「脆弱性をなくす」「ルールを守る」だけではありません。AIエージェントが安全に自律して動けること、AIを活用した開発そのものが安全であること、お客様が安心してMicoを利用できること。これらをプロダクトと開発プロセスに組み込み、セキュリティを事業成長の強みに変えていくことが、このポジションのミッションです。

Micoだからこそ取り組める3つのテーマ

\*\*① 高いセキュリティ水準が求められるお客様に選ばれるためのセキュリティ\*\*

• Micoは、LINE・SMS・RCS・Voice AI・Webを通じて企業と顧客のコミュニケーションを支えるプロダクトを、金融・保険・小売・不動産など、データ保護への要求水準が高い業界を含む5,500社以上に提供しています。
• 顧客監査やコンプライアンス対応にとどまらず、「なぜMicoなら安心して使えるのか」を、技術と仕組みの両面からつくっていきます。

\*\*② AIエージェントの安全性を、プロダクトの中核から設計する\*\*

• Micoでは、AIエージェントがユーザーに代わって判断し、ツールを実行し、顧客とのコミュニケーションまで担うプロダクトを開発しています。
• 何をどこまで実行させるのか。どのような攻撃や誤動作が起こり得るのか。どのようなガードレールや監視が必要なのか。
• まだ正解が確立されていない領域だからこそ、開発の初期段階からセキュリティの観点で関わり、安全にAIを活用できる仕組みをつくっていきます。

\*\*③ AIを前提とした開発プロセスのセキュリティ\*\*

• コーディングやテストへのAI活用が進み、開発スピードが向上する一方で、開発プロセスそのものにも新しいセキュリティ課題が生まれています。
• AI-assisted developmentを前提に、コード、依存ライブラリ、シークレット、開発環境まで含めた、新しいセキュリティのあり方を設計していきます。

---

具体的な業務内容

\*\*① セキュリティ戦略・組織づくり\*\*

• Engage AI、Voice AI、BizClo、Micomiiなど、全プロダクトを横断したセキュリティ戦略・ロードマップの策定と、半期ごとの全社セキュリティ目標の策定・実行
• セキュリティリスクの優先順位付け、予算・人員計画、ツール・外部ベンダーの選定（Build vs Buy、ROIの整理を含む）
• Security Engineering機能の立ち上げ・運営、セキュリティエンジニアの採用・育成・評価
• 日本・インドを含むグローバルなセキュリティチームの構築と、組織拡大を見据えた体制・プロセスの設計

\*\*② Product Security / Application Security\*\*

• Security by Designの推進、脅威モデリング・セキュア設計レビューの仕組み化
• SAST / SCA / Secret DetectionのCI/CDへの組み込み、セキュリティスキャンやコードレビューの自動化
• 脆弱性管理プロセスの設計・運用、内部・外部ペネトレーションテストの企画・実行

\*\*③AI / LLM Security\*\*

• AIエージェントの権限・ツール実行・データアクセスに関するガードレールの設計
• Adversarial Testing / AI Red Teamingの設計・実行、AIエージェントのリリース基準の策定
• AI-assisted developmentにおけるセキュリティポリシーの設計
• OWASP LLM Top 10、MITRE ATLASを活用した脅威分析、AIを活用したセキュリティオペレーションの高度化

\*\*④ GRC / Data Protection\*\*

• ISMS（ISO 27001）・PrivacyMarkの運用・高度化、SOC 2など新たなフレームワークへの対応
• セキュリティポリシー・基準の策定、リスクアセスメント・リスク管理
• データ分類、最小権限アクセス、マスキング・トークン化など、APPI / GDPRを踏まえたデータ保護の仕組みづくり（法務・コンプライアンスと連携）

\*\*⑤ Customer Trust\*\*

• お客様からのセキュリティチェック・監査・質問票への対応、セキュリティ資料の整備
• Trust Centerなど、Micoのセキュリティを対外的に伝える仕組みの構築
• 大手企業・規制産業のお客様、監査法人、必要に応じて規制当局とのコミュニケーション

\*\*⑥ Incident Response\*\*

• インシデント対応体制・プロセスの構築・訓練、検知・監視体制の整備
• 全社的なセキュリティベースラインの策定、インシデント発生時の技術的な判断・指揮

---

組織・働き方

• \*\*まずは2名体制からスタート\*\*：本ポジションと、インドで採用予定のシニア〜リードクラスのセキュリティエンジニアの2名を中心にSecurity Engineering機能を立ち上げ、事業の成長に合わせて拡大していきます。
• \*\*VPoEに直接レポート\*\*：セキュリティ戦略・組織・予算・ロードマップについてVPoEと密に連携しながら推進します。経営層やお客様、必要に応じて規制当局との対話にもVPoEとともに臨みます。
• \*\*各開発チームと連携\*\*：各チームにセキュリティ担当者を置き、セキュリティチームと連携しながら開発プロセスにセキュリティを組み込みます。本ポジションには、仕組み・基準・優先順位・タイムラインを設計し、各チームが自律的にセキュリティを高められる状態をつくることを期待しています。
• \*\*プレイングリーダー\*\*：マネジメントに加え、脅威モデルのレビュー、AIエージェントやセキュリティ基盤の内製開発、第三者ソリューションの技術評価、テナント分離設計、AI Red Teamingの結果レビューなど、技術的なテーマにも自ら関わります。

\*\*※本ポジションの範囲外\*\*：会社全体の最終的なセキュリティ責任を一人で負うこと（最終的な責任はVPoEとともに担います）、社内IT・情シス業務、監査・コンプライアンス対応だけを行う役割ではありません。「セキュリティを実際につくり、動かし、組織として継続できる状態にする人」であることを期待しています。

---

本ポジションに期待すること

• \*\*技術と経営をつなぐ\*\*：AppSec、Infrastructure Security、GRCを横断して理解し、技術的な判断を経営・事業・顧客の言葉に変換する
• \*\*ゼロから組織をつくる\*\*：何が必要かを自ら考え、組織・役割・プロセス・採用を設計し、形にする
• \*\*正解のない領域で判断する\*\*：AIエージェントやAIを活用した開発について、技術とリスクの両面から判断する
• \*\*小さなチームで大きなインパクトを出す\*\*：AI・自動化・開発チームとの連携を活用し、少人数でもセキュリティのカバレッジを最大化する

---

このポジションで得られること

• \*\*セキュリティ組織を「つくる側」に回れる\*\*：組織、採用、予算、ロードマップ、技術基盤、開発プロセスまで、裁量を持ってゼロから設計できます。
• \*\*AI時代のセキュリティに真正面から向き合える\*\*：自律的に動くAIエージェントやAIを前提とした開発プロセスなど、これから確立されていく領域の中心で取り組めます。
• \*\*経営・事業と近い距離で動かせる\*\*：VPoEと直接連携し、セキュリティを事業・顧客・経営のテーマとして推進できます。
• \*\*大きなインパクト\*\*：規制業界を含む5,500社以上が利用するプロダクトと、その先にいるエンドユーザーを守ります。
• \*\*グローバルな環境\*\*：インド・フィリピン・台湾など多国籍のメンバーと協働し、グローバルなセキュリティ組織へと発展させていきます。

---

目指せるキャリア

セキュリティ技術だけでなく、\*\*組織・予算・経営・事業・顧客を含めた会社全体のセキュリティをリードする経験\*\*を積めます。
Security Engineering機能の成長とともに、将来的にはグローバルなセキュリティ組織の統括や、CISOとして経営に直接関わるキャリアを目指すこともできます。

---

Micoコンテンツ

• \*\*Career Deck\*\* <https://speakerdeck.com/micoinc/mico-career-deck-japan>
• \*\*note\*\* <https://note.com/micoworks>
• \*\*メンバー紹介\*\* <https://note.com/micoworks/m/m0bfd9da02e11>
• \*\*採用ページ\*\* <https://careers.mico-inc.com/product-development>

--

歓迎スキル

• 規制業界でのセキュリティリーダーシップ経験
• APPI / GDPRの深い理解と、データ保護プログラム（データ分類、マスキング、トークン化、最小権限アクセス）の構築経験
• ほぼゼロからのセキュリティチーム・機能の立ち上げ経験（創業期のセキュリティリーダー、初代CISOなど）
• 複数の開発チームにセキュリティを組み込んだ経験
• SOC 2、PrivacyMarkなどの認証取得・維持をリードした経験
• インシデントレスポンス体制・検知基盤の構築経験
• セキュリティ予算の策定、ベンダー選定、ROIの整理・判断経験
• 多国籍・リモートを含むグローバルチームのマネジメント経験
• CISSP、CISM、CCSP、OSCP、GWAPT、情報処理安全確保支援士（RISS）などの資格（実務経験を代替するものではありません）
• 日本語でのビジネスコミュニケーション能力

求める人物像

• \*\*仕組みとチームをつくれる方\*\*：バグを100件見つけるより、100件を見つけられる「仕組み」と、それを改善し続ける「チーム」をつくれる方。一度の判断を基準・プロセス・ツールとして標準化し、自分がいなくても機能する状態をつくれる方
• \*\*セキュリティを開発スピードを高める力にできる方\*\*：週次リリースを全社のコミットメントとして捉え、セキュリティの品質と開発スピードを両立できる方
• \*\*技術と経営をつなげられる方\*\*：同じリスクを、エンジニアには技術的な背景と対策として、役員には事業への影響と優先順位として伝え、双方を動かせる方
• \*\*立ち上げフェーズを楽しめる方\*\*：まだないものを自ら考え、つくり、改善していくことを楽しめる方
• \*\*セキュリティを「顧客価値」として考えられる方\*\*：「Micoなら安心して使える」という状態そのものをプロダクトの価値と捉え、技術・組織・仕組みを通じて信頼をつくれる方

応募概要

給与

11,004,000 - 18,000,000 円　※前職考慮の上、経験・スキルに応じて決定します。

（内訳）
月額： 917,000 - 1,500,000 円
基本給： 678,473 - 1,109,826 円
固定残業代（45時間分）： 238,527 - 390,174 円（超過分別途支給）

年俸制（分割回数12回）
通勤手当：会社規定に基づき支給

勤務地

勤務地は希望に沿って東京・大阪いずれかを選択いただきます。
リモートと出社のハイブリッドで柔軟な働き方をしております。（週1出社推奨）

■大阪拠点
大阪府大阪市北区大深町6番38号
グラングリーン大阪 北館 JAM BASE 5階 JAM-OFFICE 5-A・5-B

■東京拠点
東京都港区北青山 2-14-4 the ARGYLE aoyama 6F WeWorkジアーガイル

雇用形態

正社員

勤務体系

■勤務時間
9:00～18:00　※休憩1時間含む、時間外労働あり
フレックスタイム制（コアタイム10:00～16:00）
※会社規定により、一定のグレード以上の方には裁量労働制が適用されます。

■休日・休暇
・土日、祝日
・年末年始
・夏季休暇
・慶弔休暇
・有給休暇（入社時10日付与、以降勤務期間に応じて付与）
※その他会社規定による休日あり

試用期間

原則3ヶ月　※試用期間中の待遇変更はありません

福利厚生

・交通費支給（自転車通勤可）
・社用ノートPC貸与
・社用携帯貸与　※一部職種のみ
・社会保険（健康保険、厚生年金、雇用保険、労災保険）
・ライフヘルス支援休暇
・健康診断費用負担
・出産・育児支援制度
・部活動
・書籍・セミナー補助（年間55,000円）
・お客様のサービス利用補助
・事業部懇親会費補助