株式会社ドクターネットのIT統制・情報セキュリティ推進リーダーの求人

会社概要

ドクターネットは遠隔画像診断支援サービスで国内シェアトップクラスのリーディングカンパニーです。

国内にはCTやMRIなどの医用画像撮影装置が約3万台存在する一方で、医用画像を診断できる医師（放射線診断専門医）は約6,000名しかおらず、適切な診断が迅速に届く症例は全体の3割程度にとどまっています。また、地域によっては専門医がいないなどの医療格差があるのが実情で、今や遠隔画像診断は医療インフラとなっております。

当社は1日あたり12,000症例（370万症例/年）の依頼に対応する日本最大の画像診断拠点となっており、このシステムを正常に稼働させ続けることが多くの患者様に適切な医療をスピーディーにお届けすることに直結しています。

「世界の医療を支える目になる」を企業理念に、医療をテクノロジーにより支えるため、AIなど最先端テクノロジーへの投資も積極的に行い、医療業界に貢献し続けています。

募集背景

当社は、遠隔画像診断支援サービスを中心に、医療現場をテクノロジーで支える事業を展開しています。遠隔画像診断支援サービスは、多くの医療機関、放射線診断専門医、社内の各部門・システムが連携することで成り立っており、事業の継続的な成長には、情報セキュリティとITガバナンスの強化が欠かせません。
世界的な情勢・技術の変化および、事業や組織の拡大、新たなサービス・システムの導入に伴い、情報セキュリティ上のリスクや、各部門・システムに求められる管理水準も日々刻々と変化しています。こうした環境に常に追随して対応するためには、一部の担当者だけが統制業務を担うのではなく、システム、開発、事業、管理などの関係部門が共通の目的と役割を理解し、組織横断でリスク管理と改善を継続できる体制が必要です。

そこで今回、ISMS、PMSの継続的改善を図りつつ、CSIRT、SOC等に関する社内機能を整備し、各部門のメンバーが兼務で参加するバーチャル組織の設計・立ち上げから、運用定着、モニタリング、継続改善までをリードする「IT統制リーダー」を募集します。
本ポジションでは、既存ルールやチェックリストを運用するだけではなく、当社の事業特性、システム環境、組織体制、リスク状況を踏まえて、実効性のある管理体制を構築した上で、統制活動については自ら手を動かして推進いただける方を求めております。

入社後は、IT統制・情報セキュリティに関する組織横断的な取り組みを主導し、将来的にはIT統制・情報セキュリティ機能を統括するマネージャーとして、方針策定、体制整備、重要リスクへの対応、組織・人材のマネジメントを担っていただくことを期待しています。

本ポジションの魅力

医療を支えるサービスの信頼性と継続性に直接貢献できる
当社は、医療に関わる情報やシステムを取り扱い、医療現場を支えるサービスを提供しています。
情報セキュリティやIT統制は、規程への適合や監査対応だけを目的とするものではありません。システムとサービスを安定して提供し、医療機関や医師をはじめとするステークホルダーからの信頼を維持するための重要な事業基盤です。
本ポジションでは、IT統制・情報セキュリティの仕組みを通じて、医療サービスの信頼性、安定性、事業継続性の向上に貢献できます。

IT統制から情報セキュリティ対応までを一貫して経験できる
特定の認証制度や監査対応だけに限定されず、IT統制、情報セキュリティマネジメント、インシデント対応、セキュリティ監視、リスク評価、教育・啓発など、相互に関連する領域を横断して体制を整備します。また統制活動による監視・評価後、指摘して終わりではなく、必要ならば新たな統制活動の設計や情報セキュリティ対応の推進のリードなどのアクションも担っていただきます。現状はその一環として、CSIRT、SOCの体制などがミッションとして存在します
個別の統制活動を点として運用するのではなく、全社的なITガバナンスの仕組みづくりの経験を得られます。

事業スピードとリスク管理を両立する仕組みを作ることが可能
統制を強化することだけが目的ではありません。
事業部門やシステム・開発部門の業務実態を理解し、事業やサービスの成長を妨げることなく、必要なリスクを適切に管理できるルールやプロセスを設計していただきます。
「禁止する」「承認を増やす」という方法に偏らず、事業部門が実行可能で、継続的に運用できる統制のあり方を追求できます。

経営・現場・技術部門をつなぐ役割を担える
IT統制・情報セキュリティは、一つの部門だけで完結する業務ではありません。
経営層、事業部門、システム・開発部門、インフラ部門、管理部門、外部専門家など、立場や専門性の異なる関係者と連携しながら、全社的な方針を具体的な運用へ落とし込みます。
経営上のリスクと現場の実行可能性の双方を踏まえて、組織横断で合意形成する経験を積むことができます。

業務内容

IT統制・情報セキュリティ領域のリーダーとして、関係部門と連携しながら、組織横断的な管理体制の構築と運用を推進していただきます。
※将来的には業務改革、システム企画やIT戦略などのIT企画領域にも担当範囲を広げていただく可能性があります。IT統制のみに業務範囲を限定せず、事業や業務の変革にも関心を持って取り組める方を想定しています。

ISMS・PMSの推進・継続的改善

• 方針、規程、手順等の整備・見直し
• 対象となる情報資産およびリスクの特定・評価
• リスク対応計画と管理策の策定・推進
• 各部門における管理策の運用支援
• 内部監査、内部点検・レビューの企画および是正対応の推進
• マネジメントレビューに必要な情報の整理・報告
• 教育・啓発施策の企画・実施
• 認証や審査への対応が必要な場合の社内取りまとめおよび、審査対応

CSIRTに関する体制の強化・運営

• インシデント対応に必要な機能、参加部門、役割の整理
• インシデントの受付、初動、影響評価、報告、復旧、事後レビューのプロセス整備
• 重大度区分、判断基準、エスカレーション基準の整備
• システム・開発・事業・管理各部門との連携体制構築
• インシデント対応手順、連絡先、記録様式等の整備
• 訓練・演習の企画、実施、振り返り
• 発生事象や訓練結果に基づくプロセスの改善
• 経営層および関係部門への報告

SOCに関する体制整備・運営

• セキュリティ監視の対象、目的、優先順位の整理
• 社内関係者と外部サービス提供者の役割分担の設計
• アラートの受付、分析、判断、対応依頼、エスカレーションのプロセス整備
• 監視結果や対応状況の可視化
• 定例レポート、レビュー会議、改善活動の設計
• インシデント対応組織との連携方法の整備
• 監視ルールや運用プロセスの継続的な見直し
• 必要に応じた外部ベンダー・専門事業者の評価および管理

IT全般統制・リスク管理の推進

• 新規システムに対する統制活動の検討・整備（ISO27017に準拠した統制活動整備）
• 統制上の課題に対する改善計画の策定・推進
• 統制活動を通じて開発・インフラ部門と協働しセキュリティ対応などの改善活動推進
• 規程・ルールと実際の業務プロセスとの整合性確認
• 統制活動の実施状況や改善状況のモニタリング
• 経営層・関係部門へのリスクおよび進捗の報告

組織定着・継続的改善

• 各種統制体制の活動状況、課題、成果のモニタリング
• 必要に応じた活動指標、リスク指標、改善指標等の設計
• 定例会議および課題管理の運営
• 各部門の実務負担や運用状況を踏まえたプロセス改善
• 組織変更、新システム導入、新サービス開始等に伴う統制の見直し
• 社内への情報発信、研修、啓発活動
• 関係部門のメンバーが自律的に活動できるための支援

将来的に期待する業務

• 全社のIT統制・情報セキュリティ方針および中期計画の策定
• ITリスクの優先順位付けと対応計画の統括
• ISMS、CSIRT、SOC等の活動を横断したマネジメント
• 経営層への定期的なリスク報告と改善提案
• IT統制・情報セキュリティ関連予算の策定・管理
• 外部専門家、サービス提供者、ベンダーの管理
• IT統制・情報セキュリティ人材の育成
• チームおよび組織のマネジメント

統制を目的化せず、事業の信頼性向上につなげられる方
規程やチェック項目を増やすこと自体を成果とするのではなく、「何のリスクを、なぜ、どの水準で管理するのか」を考え、事業の安定性・信頼性向上につながる仕組みを設計できる方を求めています。

組織の壁を越えて関係者を巻き込める方
IT統制・情報セキュリティは、担当部門だけでは実現できません。
開発、インフラ、事業、管理などの各部門に対して、活動の目的と必要性を説明し、一方的に依頼するのではなく、共通の課題として協働できる方を歓迎します。

仕組みをつくるだけでなく、運用を根付かせられる方
規程、組織図、会議体、手順を作成するだけではなく、それらが実際の業務で使われているかを確認し、課題を把握しながら改善を続けられる方を求めています。

リスク管理と事業スピードのバランスを考慮できる方
リスクをゼロにすることだけを目指すのではなく、事業の目的、影響度、実現可能性を踏まえて、管理水準や優先順位を判断できる方を歓迎します。

技術と組織の両面から課題を捉えられる方
セキュリティ製品や技術ありきで問題を解決しようとせず、業務プロセス、組織、役割、教育、コミュニケーションを含めて総合的に対応できる方を求めています。

• ISMS、PMS、CSIRT、SOCのいずれかに関する組織・機能を、組織横断の体制として構築または、継続的改善含め運用されたご経験
• 複数部門の関係者を巻き込み、ルール・プロセス・体制を設計、落とし込みまたは改善したご経験

• ISMS、PMS、CSIRT、SOCのうち複数領域における体制構築・運用経験
• セキュリティインシデント対応組織の構築・運営経験
• SOCの内製化、外部サービス導入、運用設計または改善経験
• IT全般統制の設計、評価、改善に関する経験
• 情報セキュリティリスクアセスメントの設計・運用経験
• 規程、基準、手順、ガイドライン等の体系的な設計・改定経験
• インシデント対応訓練、机上演習等の企画・実施経験
• 個人情報、医療情報または機密性の高い情報を扱う事業での業務経験