セキュリティエンジニア（プロダクト・データ保護／AI活用推進）

仕事概要

VCスタートアップ健康保険組合とそのグループ法人では、健保事務・審査業務の抜本的な自動化・AI利活用を最優先テーマとして推進しています。一方で当組合が扱うデータは、レセプト（診療報酬明細書）・健診結果・給付申請情報など、個人情報保護法上の「要配慮個人情報」や特定個人情報（マイナンバー）を多く含み、一般的な企業以上に慎重な取扱いが求められます。

本ポジションは、プロダクト開発チーム・オペレーションチームが進める自動化・AI活用を、セキュリティとデータ保護の観点から「安全に前へ進める」ことを目的に新設します。プロダクトの構造を理解したエンジニアとして開発の現場に入り、必要な場面での適切なブレーキと、前に進めるための具体的な手立て（仕組み・実装）の両方を提供していただきます。

経営陣・外部専門家と連携しながら、技術面の評価・設計・実装・検証を中心に担います。
※保険業界・健康保険業界での経験は不問です。

ミッション

AI活用・自動化のスピードを落とさずに、医療情報を含むデータが「どこにあり、誰が、何の目的でアクセスし、どこへ流れるのか」を技術的に把握・統制できている状態をつくることを目指します。
そのために、会社・事業フェーズに応じてリスクの大きいところから優先度をつけ、自ら手を動かして対策を実装していただきます。具体的には以下のような業務を想定します。

AI活用・自動化案件のセキュリティ／データ保護支援

・AI活用・業務自動化案件への企画段階からの参画と、データ利用のリスク評価（どのデータを、どのモデル・外部サービスに渡すか／学習利用・保存・越境の有無 等）
・LLMを組み込んだ機能・業務フローのリスク評価と対策（プロンプトインジェクション、情報漏えい、出力誤りが審査業務に与える影響の評価と人による確認工程の設計 等）
・AIサービス・SaaS・外部APIの技術的評価（データ取扱い条件、認証方式、ログ、リージョン 等）
・マスキング・仮名化・最小権限化など、AIに渡すデータを安全にする仕組みの設計・実装支援
・生成AI業務利用ガイドラインを「実際に守れる」ようにする技術的な仕組みの提供

プロダクト・システムのセキュリティ評価と改善

・プロダクト（加入者・事業所向けサービス、社内業務システム）のアーキテクチャ・データフローの把握と、脅威モデリングに基づくリスク評価
・設計レビュー・コードレビューへのセキュリティ観点での参加、セキュアな実装方針の提示
・脆弱性診断（自社での簡易診断、外部診断の企画・発注・結果評価）と修正の優先度付け・フォロー
・依存ライブラリ等の脆弱性管理、CI/CDへのセキュリティチェックの組込み

データ保護基盤・アクセス管理

・要配慮個人情報・特定個人情報の所在と分類の整理（データインベントリの整備）
・クラウド環境・DB・社内システムにおける権限設計、アクセスログ取得・監査の仕組みづくり
・暗号化・鍵管理・バックアップ、開発／検証環境での本番データ取扱いルールの実装
・基幹システムや専用系システムとの連携部分における接続境界の安全管理【要確認：担当範囲】

監視・インシデント対応（技術面）

・セキュリティログ・アラートの監視設計と検出ロジックのチューニング
・インシデント発生時の技術的な調査・封じ込め・復旧、および再発防止策の実装
・インシデント対応フローの技術手順化と訓練の実施

ガバナンスとの連携・社内への浸透

・情報セキュリティ責任者（候補）と連携した、規程・ISMS/PMS要求事項の技術的な実装と証跡整備
・外部監査、加入事業所・委託先からのセキュリティチェックシート等への技術面の回答
・開発メンバー・オペレーションメンバー向けのセキュリティ教育、日常的な相談窓口
・技術面のセキュリティロードマップの提案と、フェーズごとの優先度の見直し

※社内IT・端末管理（MDM/EDR、ヘルプデスク等）は情報システム担当・情報セキュリティ・コーポレート部門が主担当とし、本ポジションは必要に応じて技術支援を行います。

使用ツール

・Slack
・Google Workspace
・ChatGPT等の生成AIツール
・基幹システム ユニバーサルビジネスソリューションズ社のKW-21、KW-21 Connect、DWF（連携・データの流れの理解）
・中間サーバー（統合専用端末）

ポジションの魅力

・健保事務・審査業務の自動化・AI活用という業界でも前例の少ない取り組みに、「守り」の設計者として企画段階から関わることができます。

・要配慮個人情報を扱う環境で、法令・ガイドラインの理解と技術実装の両方を磨きながら、セキュリティエンジニアとしての専門性を高めることができます。

・セキュリティの仕組みがまだ立ち上げ段階にあるため、フェーズに合わせた優先度判断から実装・運用まで、一貫して自らの手で形にできる裁量があります。

・制度・業務・システムが密接に関わる領域であるため、「機能を作ること」自体ではなく、「誰のどの課題を解決するのか」を本質的に考えながらプロダクトづくりに向き合える環境があります。

・プロダクトチームだけで閉じず、健保のオペレーションチームと日常的に連携しながら開発を進めているため、日々運用を担う現場メンバーも含めたユーザー体験の向上に携わることができます。

・健康保険という社会インフラに近い領域を扱っているため、日々の改善が、健康保険の加入者・企業の担当者・運用現場それぞれの負担軽減や安心感につながりやすく、社会的意義を実感しやすい環境です。

・Webアプリケーションやクラウドサービスの設計・開発・運用の実務経験（目安3年以上）
・クラウド（AWS／Google Cloud 等）における権限管理（IAM）、ネットワーク、ログ設計の実務経験
・セキュリティ施策を自ら手を動かして導入・改善した経験（脆弱性対応、権限整理、監視設定、認証基盤導入など領域は問いません）
・リスクとビジネス要件を比較し、「止める／条件付きで進める／進める」を根拠をもって判断・説明できる方
・開発者やビジネスメンバーと対話しながら、合意形成を進められる方

・OWASP Top 10 等の代表的な脆弱性の仕組みを理解し、コードや設計を読んでリスクを指摘・改善提案できる方
・脆弱性診断・ペネトレーションテストの実務経験、またはCTF・バグバウンティ等での実績
・LLM・生成AIを組み込んだアプリケーションの開発経験、またはそのセキュリティ評価経験（OWASP Top 10 for LLM Applications 等の知見）
・医療・金融・公共など、規制の厳しい領域でのシステム開発・運用経験
・個人情報保護法（要配慮個人情報、仮名加工情報等）や、医療情報の安全管理に関する各種ガイドライン（厚生労働省「医療情報システムの安全管理に関するガイドライン」等）の知識
・匿名化・仮名化などのプライバシー保護技術の知見
・SIEM・ログ基盤の構築、検出ルール作成、脅威分析やハンティングの経験
・IaC（Terraform等）や、CI/CDへのセキュリティツール（SAST/DAST/SCA等）組込みの経験
・ISMS/PMS等の認証取得・運用における技術面の対応経験
・情報処理安全確保支援士、OSCP、クラウド事業者のセキュリティ系資格等
・スタートアップに関心のある方

・AI活用を「止める人」ではなく、「安全に進めるために必要なことを示し、自ら実現できる人」
・実行者の意図や背景を理解したうえで、必要な場面では根拠をもって適切にブレーキをかけられる方
・完璧さよりもリスクの大きさを基準に、会社・事業のフェーズに応じた優先度判断ができる方
・未経験の領域でも自ら手を動かして学び、キャッチアップできる基礎学力と主体性をお持ちの方
・個人情報の保護や医療・健康の領域に関心があり、加入者の信頼を守ることにやりがいを感じる方
・医療財源の課題を解決し、社会へ貢献することにやりがいを感じる方