【地方フルリモート/セキュリティエンジニア/セキュリティ領域10年以上】フレックス制/グローバルに事業を展開するSaaSスタートアップ

業務内容

仕事内容
Micoではこれまで、社内リソースを再配置しながら、セキュリティ担当者の配置、ポリシー・プロセスの整備、ISMS・PrivacyMarkの運用など、
セキュリティの基盤づくりを進めてきました。経営スポンサーシップや予算の確保、全社目標への組み込みなど、セキュリティ機能を成長させるための基盤も整っています。

今後はこれまでの取り組みを、専任の「Security Engineering」機能として本格的に発展させていきます。
本ポジションには、その立ち上げから日々の運営、組織づくり、セキュリティ戦略の実行までをリードしていただきます。

これからのMicoのセキュリティは、「脆弱性をなくす」「ルールを守る」だけではありません。AIエージェントが安全に自律して動けること、
AIを活用した開発そのものが安全であること、お客様が安心してMicoを利用できること。これらをプロダクトと開発プロセスに組み込み、
セキュリティを事業成長の強みに変えていくことが、このポジションのミッションです。


Micoだからこそ取り組める3つのテーマ
① 高いセキュリティ水準が求められるお客様に選ばれるためのセキュリティ
・Micoは、LINE・SMS・RCS・Voice AI・Webを通じて企業と顧客のコミュニケーションを支えるプロダクトを、
　金融・保険・小売・不動産など、データ保護への要求水準が高い業界を含む5,500社以上に提供しています。
・顧客監査やコンプライアンス対応にとどまらず、「なぜMicoなら安心して使えるのか」を、技術と仕組みの両面からつくっていきます。

② AIエージェントの安全性を、プロダクトの中核から設計する
・Micoでは、AIエージェントがユーザーに代わって判断し、ツールを実行し、顧客とのコミュニケーションまで担うプロダクトを開発しています。
・何をどこまで実行させるのか。どのような攻撃や誤動作が起こり得るのか。どのようなガードレールや監視が必要なのか。
・まだ正解が確立されていない領域だからこそ、開発の初期段階からセキュリティの観点で関わり、安全にAIを活用できる仕組みをつくっていきます。

③ AIを前提とした開発プロセスのセキュリティ
・コーディングやテストへのAI活用が進み、開発スピードが向上する一方で、開発プロセスそのものにも新しいセキュリティ課題が生まれています。
・AI-assisted developmentを前提に、コード、依存ライブラリ、シークレット、開発環境まで含めた、新しいセキュリティのあり方を設計していきます。


具体的な業務内容
① セキュリティ戦略・組織づくり
・Engage AI、Voice AI、BizClo、Micomiiなど、全プロダクトを横断したセキュリティ戦略・ロードマップの策定と、半期ごとの全社セキュリティ目標の策定・実行
・セキュリティリスクの優先順位付け、予算・人員計画、ツール・外部ベンダーの選定（Build vs Buy、ROIの整理を含む）
・Security Engineering機能の立ち上げ・運営、セキュリティエンジニアの採用・育成・評価
・日本・インドを含むグローバルなセキュリティチームの構築と、組織拡大を見据えた体制・プロセスの設計

② Product Security / Application Security
・Security by Designの推進、脅威モデリング・セキュア設計レビューの仕組み化
・SAST / SCA / Secret DetectionのCI/CDへの組み込み、セキュリティスキャンやコードレビューの自動化
・脆弱性管理プロセスの設計・運用、内部・外部ペネトレーションテストの企画・実行

③AI / LLM Security
・AIエージェントの権限・ツール実行・データアクセスに関するガードレールの設計
・Adversarial Testing / AI Red Teamingの設計・実行、AIエージェントのリリース基準の策定
・AI-assisted developmentにおけるセキュリティポリシーの設計
・OWASP LLM Top 10、MITRE ATLASを活用した脅威分析、AIを活用したセキュリティオペレーションの高度化

④ GRC / Data Protection
・ISMS（ISO 27001）・PrivacyMarkの運用・高度化、SOC 2など新たなフレームワークへの対応
・セキュリティポリシー・基準の策定、リスクアセスメント・リスク管理
・データ分類、最小権限アクセス、マスキング・トークン化など、APPI / GDPRを踏まえたデータ保護の仕組みづくり（法務・コンプライアンスと連携）

⑤ Customer Trust
・お客様からのセキュリティチェック・監査・質問票への対応、セキュリティ資料の整備
・Trust Centerなど、Micoのセキュリティを対外的に伝える仕組みの構築
・大手企業・規制産業のお客様、監査法人、必要に応じて規制当局とのコミュニケーション

⑥ Incident Response
・インシデント対応体制・プロセスの構築・訓練、検知・監視体制の整備
・全社的なセキュリティベースラインの策定、インシデント発生時の技術的な判断・指揮


組織・働き方
・まずは2名体制からスタート：本ポジションと、インドで採用予定のシニア〜リードクラスのセキュリティエンジニアの2名を中心に
　Security Engineering機能を立ち上げ、事業の成長に合わせて拡大していきます。
・VPoEに直接レポート：セキュリティ戦略・組織・予算・ロードマップについてVPoEと密に連携しながら推進します。
　経営層やお客様、必要に応じて規制当局との対話にもVPoEとともに臨みます。
・各開発チームと連携：各チームにセキュリティ担当者を置き、セキュリティチームと連携しながら開発プロセスにセキュリティを組み込みます。
　本ポジションには、仕組み・基準・優先順位・タイムラインを設計し、各チームが自律的にセキュリティを高められる状態をつくることを期待しています。
・プレイングリーダー：マネジメントに加え、脅威モデルのレビュー、AIエージェントやセキュリティ基盤の内製開発、第三者ソリューションの技術評価、
　テナント分離設計、AI Red Teamingの結果レビューなど、技術的なテーマにも自ら関わります。

※本ポジションの範囲外：会社全体の最終的なセキュリティ責任を一人で負うこと（最終的な責任はVPoEとともに担います）、
　社内IT・情シス業務、監査・コンプライアンス対応だけを行う役割ではありません。
　「セキュリティを実際につくり、動かし、組織として継続できる状態にする人」であることを期待しています。


本ポジションに期待すること
・技術と経営をつなぐ：AppSec、Infrastructure Security、GRCを横断して理解し、技術的な判断を経営・事業・顧客の言葉に変換する
・ゼロから組織をつくる：何が必要かを自ら考え、組織・役割・プロセス・採用を設計し、形にする
・正解のない領域で判断する：AIエージェントやAIを活用した開発について、技術とリスクの両面から判断する
・小さなチームで大きなインパクトを出す：AI・自動化・開発チームとの連携を活用し、少人数でもセキュリティのカバレッジを最大化する


このポジションで得られること
・セキュリティ組織を「つくる側」に回れる：組織、採用、予算、ロードマップ、技術基盤、開発プロセスまで、裁量を持ってゼロから設計できます。
・AI時代のセキュリティに真正面から向き合える：自律的に動くAIエージェントやAIを前提とした開発プロセスなど、これから確立されていく領域の中心で取り組めます。
・経営・事業と近い距離で動かせる：VPoEと直接連携し、セキュリティを事業・顧客・経営のテーマとして推進できます。
・大きなインパクト：規制業界を含む5,500社以上が利用するプロダクトと、その先にいるエンドユーザーを守ります。
・グローバルな環境：インド・フィリピン・台湾など多国籍のメンバーと協働し、グローバルなセキュリティ組織へと発展させていきます。


目指せるキャリア
セキュリティ技術だけでなく、組織・予算・経営・事業・顧客を含めた会社全体のセキュリティをリードする経験を積めます。
Security Engineering機能の成長とともに、将来的にはグローバルなセキュリティ組織の統括や、CISOとして経営に直接関わるキャリアを目指すこともできます。

【業務の変更の範囲】
会社の定める範囲