※ハイブリッドワーク／フルフレックス※【セキュリティエンジニア】セキュリティの専門性に基づいたリスクマネジメント支援により事業開発会社の企業価値向上を目指す◆大手グループの安定基盤×成長を両立◆柔軟な働き方と充実の福利厚生で働きやすさ◎
株式会社CARTA HOLDINGS
給与：700万円〜1500万円
雇用形態：正社員
勤務地：東京都
仕事内容
【募集背景】
CARTA HOLDINGSは、約20社の事業子会社が自律的なオーナーシップを持ち、各事業のフェーズに合わせた効果的で柔軟な事業運営体制をとっています。
しかし、各事業会社ごとにエンジニアの有無や開発の内製・外注など多様な環境のため、事業ごとのセキュリティ上の課題が異なっており、全社を横断する網羅的な統制施策が十分ではない状況です。
ICT本部セキュリティチームでは、各事業子会社のオーナーシップを尊重しつつ、共にセキュリティリスクマネジメントに取り組んでいます。
入社後の具体的な職務は、各事業部の課題を認識し、セキュリティの専門知識をもって、各々のリスク判断をサポートし、ホールディングス全体にわたる継続的な改善施策を実行することになります。
継続的な全社セキュリティリスクの把握とセキュリティインシデント対策を行い、CARTA HOLDINGSの企業価値向上に貢献したいという志を持つ、高度なセキュリティエンジニアを募集します。
【直面している課題】
・事業成長のための柔軟さやスピード感を重視した体制を特色とする CARTA HOLDINGS グループにおいて、セキュリティリスクマネジメントや全社統制の課題が表出してきている
・事業子会社やコーポレート本部が各自で取り組むセキュリティリスクマネジメント体制は、その品質や成熟度合いにばらつきがある
・コーポレート全体にわたるセキュリティ施策の展開と運用、組織間の連携
【目指す方向性】
・セキュリティ技術の専門性や経験に基づいて、事業子会社自身によって日々行われているセキュリティリスクマネジメントを支援する
・セキュリティリスクマネジメント支援を通じて、全社のリスク判断の質と再現性を高めることにより、経営の持続性や安定性を向上させる
・セキュリティエンジニアリング活動の目標・目的として、「CARTA HOLDINGS の企業価値の向上」に主眼を置く
【業務内容】
各事業子会社やバックオフィスの担当者とコミュニケーションをとりながら、セキュリティリスクに立ち向かうための総合的なサポートをします。
サポートの内容については特定の手法に限ることはなく、担当者個人のセキュリティ専門性の強みを活かした方法を選択していただいて構いません。
総合力を問われることは前提にありつつも、原則としては、セキュリティ技術の専門性や実務経験を基にした活動が求められます。
各現場のセキュリティリスクに立ち向かう上で、ICT本部やCTO室によって管理・運用され全社に提供されている基盤や、過去にセキュリティチームが取り組んだ施策とその成果物などを利用できます。
例えば、以下のような基盤や情報が存在します。
・認証基盤とシングルサインオン(SSO)：Microsoft Entra ID
・端末管理基盤：Microsoft Intune
・社内貸与端末のエンドポイント監視：Microsoft Defender for Endpoint/Cloud Apps
・基本的な業務基盤：Google Workspace アプリケーション
・IaaS：Amazon Web Services, Google Cloud Platform
・コミュニケーションプラットフォーム：Slack
・ログ管理基盤：Sumo Logic
・プロダクト開発の中でのセキュリティ脆弱性検知ツール組み込み支援
┗Dependabot
┗Baseline(IssueHunt社)
など
一連のセキュリティ関連業務には、時に技術以外の面で調整が必要な状況に直面する可能性があります。
そのような状況においてはセキュリティチームマネージャーが全力でサポートいたします。
また、ICT本部本部長やICT本部担当役員を通じて、経営陣や外部チームとのコミュニケーションをとることで何らかの調整ができる場合もあります。
応募資格
・アプリケーション開発、ネットワーク、 OS (Windows もしくは macOS) 、クラウドサービスのすべてに関する基礎知識と、いずれかひとつ以上における主体的な業務経験および専門性
・セキュリティ分野に関する活動を行ってきた方（業務内外問わず）
【例】
・バグバウンティ（脆弱性報奨金制度）への参加: 公開されているプログラムを通じて他社サービスの脆弱性を発見・報告する
・CTF（Capture The Flag）への出場：SECCON等のセキュリティ競技会に参加し、暗号解読やバイナリ解析の技術を磨く
・最新の脅威情報の収集（OSINT）：CVEやセキュリティブログから最新の攻撃手法をキャッチアップし、社内へ展開する
・セキュリティ系資格の取得：情報処理安全確保支援士やOSCP、CISSP等の専門資格を取得し、体系的な知識を証明する
・技術ブログでの発信：自身が学んだセキュリティ技術や、検証した脆弱性対策について積極的に記事を書く