◆概要 当社が開発・運用するプロダクト（会員向けアプリ／Web、決済・カード関連システム、API 等）のセキュリティを所管する PSIRT（Product Security Incident Response Team）を新設し、立ち上げから定常運用への移行までをリードいただくポジションです。 クレジットカード・決済という規制産業の要件（PCI DSS、カードブランド規則、割賦販売法、個人情報保護法 等）を満たしつつ、プロダクト開発のスピードと両立する実効的なセキュリティ体制を構築することがミッションです。将来的には、マルイユナイトを起点に確立した体制をグループ全体のプロダクトセキュリティ統括へ発展させていただくことを期待しています。 本ポジションはプロダクトのセキュリティに特化した PSIRT を統括します。社内IT・インフラの防御や 24時間365日の監視・検知（CSIRT/SOC 機能）はグループの情報システム会社各社と連携して整備していくため、まずはプロダクト起因の脆弱性・インシデントに集中していただきます。また、CSIRT との境界・連携ルールを設計し、会社境界を越えたインシデント対応を成立させることも重要な役割です。 なお本ポジションは設計・意思決定・組織化・経営/規制接続を担う統括職であり、実装・診断・規制実務はエンジニアや各担当が担います。 ◆仕事内容（一例） 1. PSIRT 組織の立ち上げ・運営 - ミッション・スコープ・KPI/KRI の設計、組織・要員・予算計画、採用・育成 - 規程・プレイブック（受付／トリアージ／修正管理／公表判断）の整備、ツール選定 - 経営会議・リスク委員会・監査対応の代表窓口 2. CSIRT との連携設計 - 会社境界を跨ぐ連携ルール（情報共有・エスカレーション・RACI）の策定。 3. 脆弱性マネジメント／プロダクトインシデント対応の統括 - 脆弱性情報の受付・トリアージ・SLA・公表判断の枠組み設計と運用統括 - プロダクト起因インシデントのインシデントコマンダー、規制当局・カードブランドへの報告統括、ポストモーテム主催等 - （CVSS ベースのリスク評価、SBOM 活用の OSS 脆弱性監視などの方針設計。実作業は担当が遂行） 4. セキュア開発（SSDLC）の推進 - SAST/DAST/SCA の活用方針、セキュアコーディング規約や開発者研修の企画（実装・運用は開発・担当に委譲） 5. 規制・ブランド対応 - PCI DSS を中心とした PSIRT 関連統制の整備・維持、監査対応、経営層・規制当局向けレポートの統括 ◆利用技術 セキュリティ：脆弱性管理プラットフォーム、SBOM管理、脅威インテリジェンス、SAST/DAST/SCA、CVSS v3.1/v4.0 フレームワーク：PCI DSS、FIRST PSIRT Services Framework、ISO/IEC 30111・29147、OWASP ツール：GitHub、Slack、Notion、Jira

- 情報セキュリティ／リスク領域での マネジメント・組織運営の経験（チーム・機能の立ち上げや運営、要員・予算・評価を含む） - プロダクトセキュリティ、またはインシデント対応／脆弱性管理を構造的に理解し、意思決定・統括できること - 複数部門・社外/グループ会社を巻き込んで推進した経験（合意形成・調整） - 経営層への報告・提案の経験 - クレジットカード・決済・銀行・FinTech いずれかでの勤務経験 - カード／金融など規制業界の要点（PCI DSS または FISC 等）を踏まえて意思決定できること - セキュアな開発（DevSecOps／SSDLC）の考え方を理解していること

- PSIRT／CSIRT の立ち上げ、またはゼロからの組織設計の経験 - グループ会社・会社境界を跨いだ連携設計やセキュリティ組織の統括経験 - Web／モバイル／API の脆弱性に関する技術的理解（OWASP、CVSS 等） - 関連資格（CISSP／CISM／CISA／情報処理安全確保支援士／PCI ISA 等）

- 「できない理由」ではなく 「どうすれば安全に成立させられるか」を設計し、組織を動かせる - 経営・規制当局・グループ会社・現場など、多様なステークホルダーの利害を調整し合意形成できる - 立ち上げ期の曖昧さ・変化を前向きに楽しめる（ゼロイチ志向） - ガバナンス（文書化・証跡）とスピードを両立できる - 現場が安心して「おかしい」と言えるオープンな文化を醸成できる