Senior Security Engineer

当社は約40名の企業で、大手デジタル銀行や規制産業がアイデンティティ基盤として利用するOAuth/OpenID Connectプラットフォームを構築しています。当社の技術スタックはGoogle Cloud上のJavaで、共有マルチテナントサービス、専用シングルテナントクラスター、お客様自身が運用するセルフマネージド製品として提供しています。

これは、手を動かして構築する役割であり、マネジメントやコンプライアンス対応だけを担う役割ではありません。セキュリティプログラムをゼロから構築し、ポリシーの策定、コード修正のリリース、GCPへの検知機能の組み込み、エンジニアリングチーム全体が従うプラクティスの整備まで担います。AIを活用して迅速に動き、優れた企業の取り組みを調査し、ポリシーを作成し、コードをレビューし、少人数のチームだけでは到達できない規模で脆弱性を探索します。

仕事内容

• マネージド型とセルフマネージド型の両方のデプロイモデルにわたる、受付、トリアージ、深刻度判定、対応目標、セキュリティアドバイザリ、協調開示までを含む、脆弱性管理プログラムのエンドツーエンドでの立ち上げ
• オンコール、プレイブック、高・重大度のCVEを自動的にページ通知されるインシデントへ変換するAI支援トリアージを含む、プロダクトセキュリティインシデント対応（PSIRT）の構築
• コードベースに手を動かして取り組み、Javaプラットフォームへのセキュリティ修正を実装し、安全なコーディング、シークレットと鍵の管理、ハードニングの水準を高める取り組み
• 効果が見込める領域でのアラート、モニタリング、自動化を含む、GCPにおけるプロアクティブな検知・対応の構築
• 依存関係・コンテナのスキャンやTerraformチェックを含む、CI/CDおよびIaCへのセキュリティ統合
• security.txt、セキュリティ連絡先、公開トラストページ、セキュリティホワイトペーパーを含む、外部向けセキュリティ体制の整備
• 他者に先んじてAIエージェントを自社コードに向けることによる、最先端AIの攻撃ツール（AIが発見したゼロデイのMythosクラス）への先手の対応
• プラットフォームエンジニアと連携したセキュリティ関連アーキテクチャの検討と、そのセキュリティ面のリード
• このポジションを監査事務にしない形で、エンジニアリングと連携してISO 27001およびSOC 2の管理策を実践的に支援

必須スキル

• コードを書く、手を動かすセキュリティエンジニア。コード（Java、Goは特に歓迎）、Terraform、GCP設定の読み書きに抵抗がなく、他人の成果物をレビューするだけではない方
• 安全なコーディング、脆弱性管理、CI/CDにおけるセキュリティに関する確かな基礎
• GCP、IAM、Kubernetes、インフラストラクチャのハードニングに関する深いクラウドセキュリティ知識
• 調査、検知ツールの活用、顧客または規制当局との明確なコミュニケーションを含む、インシデント対応経験
• 大企業で領域を狭く担当するよりも、小規模企業で全領域を主体的に担うことに意欲を持てる方
• 歓迎：OAuth/OIDC、FAPI、アイデンティティセキュリティのいずれかのバックグラウンド、ISO 27001またはSOC 2への関与経験

当社で働く理由

• 大手金融・規制対象の顧客が利用するプラットフォームのセキュリティを主体的に担うポジション
• 創業者、エンジニアリングチーム、顧客との密な連携
• 不要なオーバーヘッドのないモダンなクラウドネイティブ環境
• 競争力のある給与と柔軟性