■ Tebiki株式会社について

弊社は「現場の未来を切り拓く」をミッションに、製造/物流/建設などの現場で働く⽅々の課題解決を目標に事業を展開しています。
⽇本の未来をつくる現場の⽅々が競争⼒の源泉に⽴ち返り、創意⼯夫で世界を変えていく背中を後押ししたい。現場を取り巻くシステムを再構築し、デスクレスワーカー産業全体を変⾰するという使命を持ち、日々挑戦し続けています。

「tebiki現場教育」について

工場、倉庫、飲食店やホテルといった現場で働く「デスクレスワーカー」は4,000万人以上いると言われ、属人化してしまったOJTにより技術伝承が進まないという長年の課題に対して、現場向け動画 DX SaaSを展開しています。
AGC、京セラ、クラレ、神戸製鋼、アサヒ飲料、カルビーなどナショナルクライアント企業を中心に導入が加速しており、サービス継続率は99.5%、売上は前年比で2倍以上、事業成長はさらに加速しています。ユーザーファーストで市場・顧客に刺さる急成長中の自社プロダクトを展開しています。

「tebiki現場分析」について

CEO直轄の製造業向け現場帳票DX SaaSです。1.4兆円の巨大な潜在市場の扉を開く、最重要戦略事業と位置づけています。
現場では紙のデータ記録がいまだに主流で、実績管理のDXを阻んでいます。膨大な量のデータを記録、蓄積するだけではなく、現場の異常検知や業務改善に繋げられる自動分析環境を実現し、AI活用による更なる進化を計画しています。

■ 募集背景

開発組織が約50名規模へと拡大し、製造業向けSaaSの複数プロダクトを複数のAWSアカウントで運用しています。
現在はPlatformチームが横断領域としてクラウド基盤や開発プロセスの予防・検知の仕組み（GuardDuty / Security Hub / Security Lake / WAF / SAST / OIDC等）の整備を進めています。
今後の更なる組織拡大・事業成長を見据え、プロダクト全体のセキュリティ強化やインシデント対応体制の本格運用、セキュリティガイドラインの整備・自動化を強力に推進していくため、組織として「一人目の専任セキュリティエンジニア」をお迎えすることになりました。

■ ポジションのミッション

各プロダクトチームの開発スピードを維持しながら安全な開発・運用を実現し、万が一のインシデント発生時には組織として迅速に検知・対応・復旧できる「仕組みと体制」を構築・定着させることです。
個別の作業代行ではなく、事業・プロダクトの文脈からリスク優先順位を判断し、製品および組織全体の安全性を自動化・仕組み化によって高めていく役割を担います。

■ ポジションの魅力

▼ 一人目の専任者としての裁量

予防・検知の基礎基盤がある状態から、セキュリティインシデント対応やプロダクトセキュリティ、ガイドライン浸透などを主導するコアメンバーとして活躍できます。

▼ 将来の組織立ち上げ・マネジメントへの参画

将来的なセキュリティチーム（CSIRT / PSIRT）の立ち上げを見据えており、自動化・外部委託・採用計画などの方針策定から関わることができます。

▼ 開発速度を落とさない攻めのセキュリティ推進

単に制約を課すのではなく、Terraformモジュール化やCI自動チェックなどを通じて「開発者が意識せずとも安全な選択ができる環境」を構築できます。

▼ 先進的なセキュリティ課題への挑戦

AIツールの活用統制やAI機能組み込み時のリスク対策など、最新の技術トレンドに合わせたセキュリティ設計にいち早く取り組めます。

■ 業務概要

Platformチーム（EM1名）や各プロダクトチームのEM/Tech Leadと協働しながら、CSIRT領域を主軸にクラウド・プロダクト・サプライチェーン全般のセキュリティ施策の推進・仕組み化を行います。
また、開発者が自律的に安全な開発を行える基準策定や教育、運用の自動化を担います。

■ 主な業務

具体的なプロジェクト・課題として、以下の領域に取り組んでいただきます。

1. セキュリティインシデントの検知・対応・復旧（CSIRT運用）

• AWS / GitHub / プロダクト / IdP等のログ集約と検知ルール・アラートの設計・運用
• トリアージ手順、封じ込め・復旧のRunbook整備および各種演習（テーブルトップ、レッドチーム演習）の企画・実施
• バックアップ・ログの不変化（WORM）設計・適用による復旧性の担保
• セキュリティメトリクス（MTTD/MTTR、誤検知率、脆弱性未対応期間等）の定義・収集

2. プロダクトセキュリティ

• 認証・認可、機密情報取り扱い、マルチテナント間データ分離などのセキュリティ要件定義および設計・テスト観点への落とし込み
• 脅威モデリングの開発プロセスへの組み込み
• SAST / DAST / 依存監査のCI/CD統合と継続的運用の構築
• 外部からの脆弱性報告受付・対応フロー（PSIRT機能）の整備

3. 開発ライフサイクル・サプライチェーンセキュリティ

• 攻撃者が管理者権限を取得した場合でも復旧できる構成の設計・検証
• シークレット管理方針の策定、混入検知および漏洩時失効フローの整備
• 過剰権限の可視化と継続的な削減の仕組み化

4. セキュリティ基準の策定と開発組織への浸透

• 技術的なセキュリティ基準・ガイドラインの整備と、Terraform/CI連携等によるガードレール化
• 開発スピードを損なわないセキュリティレビュー基準・プロセスおよび例外管理フローの策定
• 外部脆弱性診断の計画・改善管理、開発者向けセキュリティ教育・知見共有
• セキュリティリスクと投資対効果の経営向け可視化

5. 今後取り組む領域

• 開発者向けAIツール・コーディングエージェントの権限・実行統制ガードレール構築
• プロダクトへのAI機能組み込みに伴うセキュリティ対策（プロンプトインジェクション、データ境界維持等）
• インシデント対応の自動化および本番環境へのジャストインタイムアクセス設計

業務内容の変更範囲：会社の定める業務

■ エンジニア向け資料

https://speakerdeck.com/tebiki/tebikizhu-shi-hui-she-enziniacai-yong-zi-liao

■ 技術環境

開発言語：Ruby, TypeScript, Go
フレームワーク：Ruby on Rails, Vue.js, React
データベース：Aurora MySQL, BigQuery
インフラ：AWS, GCP(一部), Docker
ソースコード管理：GitHub
コミュニケーションツール：Slack
その他：Terraform, Datadog, GitHub Actions など

• セキュリティインシデントの対応経験（検知、トリアージ、封じ込め、復旧、事後分析のいずれかを主体的に担った経験）
• クラウド環境（AWS等）を前提としたセキュリティの設計・運用経験
• セキュリティ課題を、個別の作業対応ではなく仕組みやプロセスとして解決した経験
• 開発チームと円滑に合意形成を行い、セキュリティ施策を導入・定着させた経験
• 自ら手を動かして設計・実装・運用まで一貫して推進できる実行力
• ネイティブに近いレベルで業務を遂行できる日本語能力/Full professional proficiency in Japanese

• CSIRT / PSIRT / SOC の立ち上げ、または一人目のセキュリティエンジニアとしての経験
• ログ基盤・検知ルールの設計運用経験（SIEM、Security Lake、GuardDuty、Athena等）やセキュリティメトリクスの設計経験
• 脅威モデリング、レッドチーム演習、ペネトレーションテストの企画・実施経験
• アプリケーションセキュリティ経験（SAST / DAST、セキュアコードレビュー、脆弱性診断）
• マルチテナントSaaSにおけるテナント分離の設計・検証経験
• AWS Organizations / IAM / SCP を用いたマルチアカウントのガードレール設計、Terraformによるコード管理経験
• CI/CDパイプラインやサプライチェーンセキュリティの改善経験
• フォレンジック調査、マルウェア解析に関する知識・経験

• 事業・プロダクトの文脈を理解し、リスクと開発速度のバランスを考慮した柔軟な判断ができる方
• 課題に対してツール導入だけでなく「組織全体が自律的に動ける仕組み」にまで落とし込める方
• 周囲の開発エンジニアやマネジメント層とオープンにコミュニケーションをとり、協働して課題解決にあたれる方
• 手を動かすプレイヤーとしての役割を楽しみつつ、将来的なチーム立ち上げや組織づくりにも関心がある方