セキュリティエンジニア

◆プロダクト詳細

ecforceについて

AIコマースプラットフォーム「ecforce」 のサービスを展開し、販売チャネルの構築・強化からデータの取得・統合管理・分析・活用まで、コマースビジネスに特化した各プロダクトを提供しており、顧客のビジネスや目的に合わせてアジャイルにデータを活用しながら事業を成長させる為の環境構築を目指しています。

大手企業からSMB・スタートアップ、化粧品・健康食品・食品など多岐に渡るジャンルでご利用いただいています。導入ショップさまや自社D2C事業運営部門から、モノを売るために必要な機能に関するフィードバックを直接受け、インハウスの開発部門がアジャイル開発で迅速に実装するサイクルが構築されています。

◆募集背景

「ecforce」はAIコマースプラットフォームとして、1,700ショップ以上のクライアントにご利用いただく中で決済・個人情報を大量に預かるため、求められるセキュリティ水準は年々高度化しています。
現在は、エンタープライズ企業との取引拡大に伴い、PCI DSS をはじめとする各種基準への準拠、インシデント対応体制の高度化、AI活用に伴う新たなリスクへの対応が急務となっており、チームの整備を一緒に進めていただける方を求めています。

◆組織体制

配属先のセキュリティ室は「コト、モノにかかわる全ての顧客体験を脅威から守り、仲間に安全な環境を提供する」をミッションに掲げ、ecforce および全社の情報セキュリティを担う中核組織です。
プロダクトセキュリティ／コーポレートセキュリティ／インシデントレスポンス／ガバナンス・コンプライアンスまでを、現在2名で横断的にカバーしています。

2名という体制のため、一人ひとりの担当範囲は広く、優先度の判断も自分たちで下しています。裏を返せば、新しく入る方の強みに合わせて担当領域を設計できる余地が大きく、提案がそのまま全社の標準になります。

◆業務内容

以下の6領域をセキュリティ室として横断的にカバーしています。ご経験・志向に応じて担当領域を決定し、事業とチームの成長に合わせて柔軟に見直していきます。

1. プロダクトセキュリティ：
   ・ecforce および関連サービスの脆弱性診断（内製／外部ベンダー管理）
   ・セキュアコーディング支援
   ・開発ライフサイクルへのセキュリティ組み込み（シフトレフト）
   ・脆弱性管理とトリアージ
   ・クライアントからのセキュリティ指摘・問い合わせ対応

2. 検知・インシデントレスポンス：
   ・不正アクセス・不正利用の検知、調査、封じ込め、恒久対策の立案と実行
   ・検知ロジックの設計と、それをコードとして管理・テスト・デプロイする運用の確立
   ・ログ基盤・EDR の活用と改善、対応プロセスの自動化

3. ガバナンス／コンプライアンス：
   ・PCI DSS／ISMS／Pマーク／SOC 2 等の各種基準対応
   ・IT統制、社内規程・ガイドラインの策定と運用
   ・監査対応（証跡取得の自動化を含む）

4. コーポレート／ゼロトラスト基盤：
   ・ID管理・端末管理・ネットワークセキュリティの各種ソリューションを用いた社内IT・端末・アカウント管理のセキュリティ強化
   ・全社セキュリティ教育・啓蒙

5. AIセキュリティ：
   ・全社的なAI活用推進に伴う利用ガイドラインの整備
   ・AIエージェント／LLMアプリケーション特有のリスク評価と対策設計

6. チーム／プロジェクト管理：
   ・セキュリティロードマップの策定
   ・予算・ベンダー管理

◆期待役割

特に、今後1~1.5年の間で期待役割として重きを置いているのは以下3点です。

1. GRCエンジニアリング
   監査・IT統制対応を「人手による証跡集め」から「コードによる継続的な取得」へ移行させ、基準への準拠を、年次のプロジェクトではなく日常的に検証可能な状態にすること。

2. 検知範囲の拡大
   現在はコーポレート基盤と ecforce を中心に構築されている検知の仕組みを、ecforce AIdp をはじめとする他プロダクトへ展開すること

3. ecforce ファミリーのセキュリティ強化
   ecforce 本体に加え、ecforce AIdp をはじめとする関連プロダクト群を対象に、セキュアコードレビュー、脆弱性管理、設計段階からのリスク低減を進め、プロダクトが増えても水準を保てる進め方をつくること

その他にも、
・課題の定義から始める：まだ定義されていない課題を、定義するところから着手すること
・設計判断に責任を持つ：自ら設計判断を下し、その結果に責任を持つこと
・横断的に合意を取る：開発・SRE・ビジネス側と直接交渉し、事業スピードとのバランスを取った現実的な落としどころを設計すること
・AIの出力を検証し、責任を持つ：実装できることよりも、実装されたものが正しいと判断できること
・仕組みとして残す：一次対応だけではなく、検知ルールや証跡取得を「コードとして管理・テスト・デプロイできる状態」に落とし込み、属人化させないこと

◆ポジションのやりがい

1. 裁量が持てる環境：
   守るだけでなく、自ら設計・実装・運用まで一気通貫でやり切れる環境です。提案がそのまま全社の標準になるスピード感があります。

2. 専門性深さとキャリアの幅を同時に広げられる：
   プロダクト／コーポレート／ガバナンスを横断して経験でき、プラットフォーム事業ならではの決済・個人情報を扱う高い要求水準の中で専門性を磨けます。
   担当領域を一つに固定されないため、キャリアの幅を意図的に広げられます。

3. 高額なSaaSに頼らない内製環境：
   SIEM製品を購入して運用するのではなく、ログ相関分析基盤そのものを自ら設計・実装しています。検知ロジックを「他社製品の設定項目」ではなく「自分たちのコード」として持てる環境です。

4. AI活用が方針ではなく実装として存在する：
   AIによるトリアージや運用エージェントがすでに動いています。「AIを使っていきたい」という段階ではなく、精度とコストをどう作り込むかという段階の議論ができます。

5. 事業成長への直結：
   セキュリティがエンタープライズ商談のボトルネック解消＝売上に直結する組織目標として位置づけられており、取り組みの成果が事業インパクトとして可視化されます。

◆利用ツール

クラウド／インフラ

・AWS（IAM、VPC、Lambda、Security Hub、GuardDuty 等）
・IaC（Terraform 等）
・GitHub
・Wiz
・内製サーバーレス基盤

ログ分析・検知
・SQL
・Athena
・Glue による内製のログ相関分析基盤
・EDR、CASB、IdP など各種SaaS・クラウドのログ集約

プロダクト開発
・Ruby on Rails（読解・セキュアコードレビュー）
・CI/CD へのセキュリティ組み込み

AI活用
・Gemini
・Claude・Claude Code
・Notion AI
・NotebookLM（テキスト生成・分析）
・Cursor・GitHub Copilot・Devin（開発）
・検知の一次トリアージ用LLM
・セキュリティ運用AIエージェント（開発中）

コミュニケーション／ドキュメント
・Slack（検知通知・運用連携）
・Notion（規程・ガイドライン・ナレッジ管理）

※ セキュリティ専任の経験は必須ではありません。
開発、インフラ／SRE、IT運用、監査・リスク管理など近接領域からのキャリアチェンジも大歓迎です。ただし、いずれかの領域で「なぜそうなるのか」を自分で確かめられる技術的な深さを重視しています。

＜AI活用・検証能力＞

・AIエージェントに作業を委譲したうえで、その出力を検証し、誤りを具体的に特定・修正した経験

＜セキュリティと技術経験＞

・代表的な脅威・脆弱性について、「なぜそれが成立するのか」をコードまたはログのレベルで説明できること
・サーバ、Webアプリケーション、ネットワーク、クラウド（AWS等）の仕組みを理解し、ログや設定を自ら確認して事実を把握できること
・開発・インフラ担当者と技術的な議論ができること

＜実務・当事者経験＞

・何らかの領域で、課題の特定から改善の実行・完遂までを自ら主体となって遂行した経験
・本番で動くシステム、または運用中の統制・プロセスに責任を持った経験。想定どおりに動かなかった際に、自ら原因を特定し立て直した経験

＜語学力＞

・社内向け技術文書の作成、監査対応、クライアント向け説明ができること
・英語の技術ドキュメント／API仕様を読解できること

※ すべてをカバーしている必要はなく、いずれかのグループに強みがある方

＜プロダクトセキュリティ＞

・Webアプリケーション／プラットフォームの脆弱性診断、脆弱性管理、セキュア開発支援の経験
・Ruby on Rails の読解・レビュー経験
・CI/CD へのセキュリティ組み込み経験

＜検知・インシデント対応＞

・検知ルールをコードとして管理し、テストとレビューを経てデプロイした経験
・セキュリティインシデントの検知・調査・対応（SOC／CSIRT／PSIRT）の経験
・SQL、Athena、Glue 等を用いたログ分析基盤の構築経験
・ECサイト・決済領域における不正検知／不正対策の知見

＜ガバナンス・コンプライアンス＞

・PCI DSS、ISMS、SOC 2 等の準拠・認証取得プロジェクトの推進経験
・情報セキュリティマネジメント（規程策定、監査対応、各種基準への準拠推進）の経験
・統制の証跡取得や準拠状況の確認を、スクリプト等で自動化した経験

＜クラウド・コーポレート基盤＞

・クラウド（AWS等）環境におけるセキュリティ設計・構築・運用の経験（IAM、VPC、Lambda、Security Hub、GuardDuty等）
・IaC（Terraform等）によるインフラ構築・運用経験
・各種セキュリティSaaSのAPI連携・自動化経験
・IdPを用いたID管理・ゼロトラスト構成の設計経験

＜AIセキュリティ・AI活用＞

・LLMを業務に組み込んだ経験（プロンプト設計に加え、出力の精度評価やコスト最適化まで行った経験）
・AI／LLMアプリケーションのセキュリティに関する知見

＜マネジメント・資格＞

・セキュリティロードマップの策定、優先度付け、予算・ベンダー管理の経験
・情報処理安全確保支援士、CISSP、CISA、AWS Certified Security - Specialty 等

・リスクを正しく評価した上で、事業スピードとのバランスを取り、現実的な落としどころを設計できる方
・自ら手を動かして設計〜検証まで完遂できる方
・やることが無限にある状態で、課題を整理して優先度を付け、解決策を導ける方
・前例のないテーマでも自ら情報を集めて判断材料を組み立て、検討経緯や判断根拠を文書として残し、継続可能な状態にできる方
・技術者からビジネスサイド・経営層・社外関係者まで、相手に合わせて説明・調整できる方。開発・SRE・ビジネス各部門と協働できる方
・自分やAIが出した結論をそのまま採用せず、裏付けを取りにいける方。「検証できたこと」と「検証できていないこと」を区別し、わからないことを「わからない」と言える方
・事業の成長に合わせて変化する環境を、前向きに受け止められる方
・経験のない領域についてもフォローを受けながら、新しい技術や脅威動向を継続的に吸収できる方