セキュリティエンジニア at 株式会社super Studio — Japan

About The Role

セキュリティエンジニア

仕事概要

◆プロダクト詳細[ecforceについて](https://ec-force.com/)AIコマースプラットフォーム「ecforce」のサービスを展開し、販売チャネルの構築・強化からデータの取得・統合管理・分析・活用まで、コマースビジネスに特化した各プロダクトを提供しており、顧客のビジネスや目的に合わせてアジャイルにデータを活用しながら事業を成長させる為の環境構築を目指しています。大手企業からSMB・スタートアップ、化粧品・健康食品・食品など多岐に渡るジャンルでご利用いただいています。導入ショップさまや自社D2C事業運営部門から、モノを売るために必要な機能に関するフィードバックを直接受け、インハウスの開発部門がアジャイル開発で迅速に実装するサイクルが構築されています。### ◆募集背景「ecforce」はAIコマースプラットフォームとして、1,700ショップ以上のクライアントにご利用いただく中で決済・個人情報を大量に預かるため、求められるセキュリティ水準は年々高度化しています。現在は、エンタープライズ企業との取引拡大に伴い、PCI DSS をはじめとする各種基準への準拠、インシデント対応体制の高度化、AI活用に伴う新たなリスクへの対応が急務となっており、チームの整備を一緒に進めていただける方を求めています。### ◆組織体制配属先のセキュリティ室は「コト、モノにかかわる全ての顧客体験を脅威から守り、仲間に安全な環境を提供する」をミッションに掲げ、ecforce および全社の情報セキュリティを担う中核組織です。プロダクトセキュリティ／コーポレートセキュリティ／インシデントレスポンス／ガバナンス・コンプライアンスまでを、現在2名で横断的にカバーしています。2名という体制のため、一人ひとりの担当範囲は広く、優先度の判断も自分たちで下しています。裏を返せば、新しく入る方の強みに合わせて担当領域を設計できる余地が大きく、提案がそのまま全社の標準になります。### ◆業務内容以下の6領域をセキュリティ室として横断的にカバーしています。ご経験・志向に応じて担当領域を決定し、事業とチームの成長に合わせて柔軟に見直していきます。1. プロダクトセキュリティ：・ecforce および関連サービスの脆弱性診断（内製／外部ベンダー管理）・セキュアコーディング支援・開発ライフサイクルへのセキュリティ組み込み（シフトレフト）・脆弱性管理とトリアージ・クライアントからのセキュリティ指摘・問い合わせ対応2. 検知・インシデントレスポンス：・不正アクセス・不正利用の検知、調査、封じ込め、恒久対策の立案と実行・検知ロジックの設計と、それをコードとして管理・テスト・デプロイする運用の確立・ログ基盤・EDR の活用と改善、対応プロセスの自動化3. ガバナンス／コンプライアンス：・PCI DSS／ISMS／Pマーク／SOC 2 等の各種基準対応・IT統制、社内規程・ガイドラインの策定と運用・監査対応（証跡取得の自動化を含む）4. コーポレート／ゼロトラスト基盤：・ID管理・端末管理・ネットワークセキュリティの各種ソリューションを用いた社内IT・端末・アカウント管理のセキュリティ強化・全社セキュリティ教育・啓蒙5. AIセキュリティ：・全社的なAI活用推進に伴う利用ガイドラインの整備・AIエージェント／LLMアプリケーション特有のリスク評価と対策設計6. チーム／プロジェクト管理：・セキュリティロードマップの策定・予算・ベンダー管理### ◆期待役割特に、今後1~1.5年の間で期待役割として重きを置いているのは以下3点です。1. GRCエンジニアリング監査・IT統制対応を「人手による証跡集め」から「コードによる継続的な取得」へ移行させ、基準への準拠を、年次のプロジェクトではなく日常的に検証可能な状態にすること。2. 検知範囲の拡大現在はコーポレート基盤と ecforce を中心に構築されている検知の仕組みを、ecforce AIdp をはじめとする他プロダクトへ展開すること3. ecforce ファミリーのセキュリティ強化ecforce 本体に加え、ecforce AIdp をはじめとする関連プロダクト群を対象に、セキュアコードレビュー、脆弱性管理、設計段階からのリスク低減を進め、プロダクトが増えても水準を保てる進め方をつくることその他にも、・課題の定義から始める：まだ定義されていない課題を、定義するところから着手すること・設計判断に責任を持つ：自ら設計判断を下し、その結果に責任を持つこと・横断的に合意を取る：開発・SRE・ビジネス側と直接交渉し、事業スピードとのバランスを取った現実的な落としどころを設計すること・AIの出力を検証し、責任を持つ：実装できることよりも、実装されたものが正しいと判断できること・仕組みとして残す：一次対応だけではなく、検知ルールや証跡取得を「コードとして管理・テスト・デプロイできる状態」に落とし込み、属人化させないこと### ◆ポジションのやりがい1. 裁量が持てる環境：守るだけでなく、自ら設計・実装・運用まで一気通貫でやり切れる環境です。提案がそのまま全社の標準になるスピード感があります。2. 専門性深さとキャリアの幅を同時に広げられる：プロダクト／コーポレート／ガバナンスを横断して経験でき、プラットフォーム事業ならではの決済・個人情報を扱う高い要求水準の中で専門性を磨けます。担当領域を一つに固定されないため、キャリアの幅を意図的に広げられます。3. 高額なSaaSに頼らない内製環境：SIEM製品を購入して運用するのではなく、ログ相関分析基盤そのものを自ら設計・実装しています。検知ロジックを「他社製品の設定項目」ではなく「自分たちのコード」として持てる環境です。4. AI活用が方針ではなく実装として存在する：AIによるトリアージや運用エージェントがすでに動いています。「AIを使っていきたい」という段階ではなく、精度とコストをどう作り込むかという段階の議論ができます。5. 事業成長への直結：セキュリティがエンタープライズ商談のボトルネック解消＝売上に直結する組織目標として位置づけられており、取り組みの成果が事業インパクトとして可視化されます。### ◆利用ツールクラウド／インフラ・AWS（IAM、VPC、Lambda、Security Hub、GuardDuty 等）・IaC（Terraform 等）・GitHub・Wiz・内製サーバーレス基盤ログ分析・検知・SQL・Athena・Glue による内製のログ相関分析基盤・EDR、CASB、IdP など各種SaaS・クラウドのログ集約プロダクト開発・Ruby on Rails（読解・セキュアコードレビュー）・CI/CD へのセキュリティ組み込みAI活用・Gemini・Claude・Claude Code・Notion AI・NotebookLM（テキスト生成・分析）・Cursor・GitHub Copilot・Devin（開発）・検知の一次トリアージ用LLM・セキュリティ運用AIエージェント（開発中）コミュニケーション／ドキュメント・Slack（検知通知・運用連携）・Notion（規程・ガイドライン・ナレッジ管理）

必須スキル

◆プロダクト詳細[ecforceについて](https://ec-force.com/)AIコマースプラットフォーム「ecforce」のサービスを展開し、販売チャネルの構築・強化からデータの取得・統合管理・分析・活用まで、コマースビジネスに特化した各プロダクトを提供しており、顧客のビジネスや目的に合わせてアジャイルにデータを活用しながら事業を成長させる為の環境構築を目指しています。大手企業からSMB・スタートアップ、化粧品・健康食品・食品など多岐に渡るジャンルでご利用いただいています。導入ショップさまや自社D2C事業運営部門から、モノを売るために必要な機能に関するフィードバックを直接受け、インハウスの開発部門がアジャイル開発で迅速に実装するサイクルが構築されています。### ◆募集背景「ecforce」はAIコマースプラットフォームとして、1,700ショップ以上のクライアントにご利用いただく中で決済・個人情報を大量に預かるため、求められるセキュリティ水準は年々高度化しています。現在は、エンタープライズ企業との取引拡大に伴い、PCI DSS をはじめとする各種基準への準拠、インシデント対応体制の高度化、AI活用に伴う新たなリスクへの対応が急務となっており、チームの整備を一緒に進めていただける方を求めています。### ◆組織体制配属先のセキュリティ室は「コト、モノにかかわる全ての顧客体験を脅威から守り、仲間に安全な環境を提供する」をミッションに掲げ、ecforce および全社の情報セキュリティを担う中核組織です。プロダクトセキュリティ／コーポレートセキュリティ／インシデントレスポンス／ガバナンス・コンプライアンスまでを、現在2名で横断的にカバーしています。2名という体制のため、一人ひとりの担当範囲は広く、優先度の判断も自分たちで下しています。裏を返せば、新しく入る方の強みに合わせて担当領域を設計できる余地が大きく、提案がそのまま全社の標準になります。### ◆業務内容以下の6領域をセキュリティ室として横断的にカバーしています。ご経験・志向に応じて担当領域を決定し、事業とチームの成長に合わせて柔軟に見直していきます。1. プロダクトセキュリティ：・ecforce および関連サービスの脆弱性診断（内製／外部ベンダー管理）・セキュアコーディング支援・開発ライフサイクルへのセキュリティ組み込み（シフトレフト）・脆弱性管理とトリアージ・クライアントからのセキュリティ指摘・問い合わせ対応2. 検知・インシデントレスポンス：・不正アクセス・不正利用の検知、調査、封じ込め、恒久対策の立案と実行・検知ロジックの設計と、それをコードとして管理・テスト・デプロイする運用の確立・ログ基盤・EDR の活用と改善、対応プロセスの自動化3. ガバナンス／コンプライアンス：・PCI DSS／ISMS／Pマーク／SOC 2 等の各種基準対応・IT統制、社内規程・ガイドラインの策定と運用・監査対応（証跡取得の自動化を含む）4. コーポレート／ゼロトラスト基盤：・ID管理・端末管理・ネットワークセキュリティの各種ソリューションを用いた社内IT・端末・アカウント管理のセキュリティ強化・全社セキュリティ教育・啓蒙5. AIセキュリティ：・全社的なAI活用推進に伴う利用ガイドラインの整備・AIエージェント／LLMアプリケーション特有のリスク評価と対策設計6. チーム／プロジェクト管理：・セキュリティロードマップの策定・予算・ベンダー管理### ◆期待役割特に、今後1~1.5年の間で期待役割として重きを置いているのは以下3点です。1. GRCエンジニアリング監査・IT統制対応を「人手による証跡集め」から「コードによる継続的な取得」へ移行させ、基準への準拠を、年次のプロジェクトではなく日常的に検証可能な状態にすること。2. 検知範囲の拡大現在はコーポレート基盤と ecforce を中心に構築されている検知の仕組みを、ecforce AIdp をはじめとする他プロダクトへ展開すること3. ecforce ファミリーのセキュリティ強化ecforce 本体に加え、ecforce AIdp をはじめとする関連プロダクト群を対象に、セキュアコードレビュー、脆弱性管理、設計段階からのリスク低減を進め、プロダクトが増えても水準を保てる進め方をつくることその他にも、・課題の定義から始める：まだ定義されていない課題を、定義するところから着手すること・設計判断に責任を持つ：自ら設計判断を下し、その結果に責任を持つこと・横断的に合意を取る：開発・SRE・ビジネス側と直接交渉し、事業スピードとのバランスを取った現実的な落としどころを設計すること・AIの出力を検証し、責任を持つ：実装できることよりも、実装されたものが正しいと判断できること・仕組みとして残す：一次対応だけではなく、検知ルールや証跡取得を「コードとして管理・テスト・デプロイできる状態」に落とし込み、属人化させないこと### ◆ポジションのやりがい1. 裁量が持てる環境：守るだけでなく、自ら設計・実装・運用まで一気通貫でやり切れる環境です。提案がそのまま全社の標準になるスピード感があります。2. 専門性深さとキャリアの幅を同時に広げられる：プロダクト／コーポレート／ガバナンスを横断して経験でき、プラットフォーム事業ならではの決済・個人情報を扱う高い要求水準の中で専門性を磨けます。担当領域を一つに固定されないため、キャリアの幅を意図的に広げられます。3. 高額なSaaSに頼らない内製環境：SIEM製品を購入して運用するのではなく、ログ相関分析基盤そのものを自ら設計・実装しています。検知ロジックを「他社製品の設定項目」ではなく「自分たちのコード」として持てる環境です。4. AI活用が方針ではなく実装として存在する：AIによるトリアージや運用エージェントがすでに動いています。「AIを使っていきたい」という段階ではなく、精度とコストをどう作り込むかという段階の議論ができます。5. 事業成長への直結：セキュリティがエンタープライズ商談のボトルネック解消＝売上に直結する組織目標として位置づけられており、取り組みの成果が事業インパクトとして可視化されます。### ◆利用ツールクラウド／インフラ・AWS（IAM、VPC、Lambda、Security Hub、GuardDuty 等）・IaC（Terraform 等）・GitHub・Wiz・内製サーバーレス基盤ログ分析・検知・SQL・Athena・Glue による内製のログ相関分析基盤・EDR、CASB、IdP など各種SaaS・クラウドのログ集約プロダクト開発・Ruby on Rails（読解・セキュアコードレビュー）・CI/CD へのセキュリティ組み込みAI活用・Gemini・Claude・Claude Code・Notion AI・NotebookLM（テキスト生成・分析）・Cursor・GitHub Copilot・Devin（開発）・検知の一次トリアージ用LLM・セキュリティ運用AIエージェント（開発中）コミュニケーション／ドキュメント・Slack（検知通知・運用連携）・Notion（規程・ガイドライン・ナレッジ管理）

歓迎スキル
※ すべてをカバーしている必要はなく、いずれかのグループに強みがある方＜プロダクトセキュリティ＞・Webアプリケーション／プラットフォームの脆弱性診断、脆弱性管理、セキュア開発支援の経験・Ruby on Rails の読解・レビュー経験・CI/CD へのセキュリティ組み込み経験＜検知・インシデント対応＞・検知ルールをコードとして管理し、テストとレビューを経てデプロイした経験・セキュリティインシデントの検知・調査・対応（SOC／CSIRT／PSIRT）の経験・SQL、Athena、Glue 等を用いたログ分析基盤の構築経験・ECサイト・決済領域における不正検知／不正対策の知見＜ガバナンス・コンプライアンス＞・PCI DSS、ISMS、SOC 2 等の準拠・認証取得プロジェクトの推進経験・情報セキュリティマネジメント（規程策定、監査対応、各種基準への準拠推進）の経験・統制の証跡取得や準拠状況の確認を、スクリプト等で自動化した経験＜クラウド・コーポレート基盤＞・クラウド（AWS等）環境におけるセキュリティ設計・構築・運用の経験（IAM、VPC、Lambda、Security Hub、GuardDuty等）・IaC（Terraform等）によるインフラ構築・運用経験・各種セキュリティSaaSのAPI連携・自動化経験・IdPを用いたID管理・ゼロトラスト構成の設計経験＜AIセキュリティ・AI活用＞・LLMを業務に組み込んだ経験（プロンプト設計に加え、出力の精度評価やコスト最適化まで行った経験）・AI／LLMアプリケーションのセキュリティに関する知見＜マネジメント・資格＞・セキュリティロードマップの策定、優先度付け、予算・ベンダー管理の経験・情報処理安全確保支援士、CISSP、CISA、AWS Certified Security - Specialty 等

求める人物像
・リスクを正しく評価した上で、事業スピードとのバランスを取り、現実的な落としどころを設計できる方・自ら手を動かして設計〜検証まで完遂できる方・やることが無限にある状態で、課題を整理して優先度を付け、解決策を導ける方・前例のないテーマでも自ら情報を集めて判断材料を組み立て、検討経緯や判断根拠を文書として残し、継続可能な状態にできる方・技術者からビジネスサイド・経営層・社外関係者まで、相手に合わせて説明・調整できる方。開発・SRE・ビジネス各部門と協働できる方・自分やAIが出した結論をそのまま採用せず、裏付けを取りにいける方。「検証できたこと」と「検証できていないこと」を区別し、わからないことを「わからない」と言える方・事業の成長に合わせて変化する環境を、前向きに受け止められる方・経験のない領域についてもフォローを受けながら、新しい技術や脅威動向を継続的に吸収できる方

応募概要

給与
年収:10,000,000~12,000,000※現年収やスキルにより変動があり、ご経験・スキルを考慮して決定いたします※毎月固定残業手当（月45時間相当分）を支給　45時間を超える時間外労働分については別途支給【例】年収11,000,000円の場合基本給：572,370円／固定残業代：¥201,207円＋賞与

勤務地
〒153-0064東京都目黒区下目黒2-23-18 目黒山手通ビル8FJR「目黒駅」から徒歩9分東急目黒線「不動前駅」から徒歩7分【変更の範囲】会社の定める就業場所(在宅勤務を行う場所も含む)

雇用形態
正社員

勤務体系
フレックスタイム制度└1日の標準労働時間：8時間※コアタイム　11:00〜15:00※フレキシブルタイム　7:00〜11:00/15:00〜22:00休日・休暇└年間休日120日以上　完全週休2日制（原則、土日祝※会社カレンダーによる）　有給休暇10日〜20日、年末年始休暇、慶弔等特別休暇、出産休暇、育児休暇

試用期間
あり（6ヶ月）

福利厚生