【フルリモート／週5】AWSセキュリティエンジニア（クラウドセキュリティ統制・DevSecOps推進）

お任せしたいこと

自社で展開するWebサービス、および社内システムの基盤となるAWS環境において、セキュリティの統制強化と「DevSecOps」の推進をお任せします。
「開発スピードを落とすだけの厳しいルール」を押し付けるのではなく、開発チームが安全かつスピーディーにリリースを行えるよう、CI/CDパイプラインへのセキュリティチェックの組み込みや、AWSのマネージドサービスを活用した自動検知・防御の仕組み（ガードレール）を泥臭く作り上げていくポジションです。

具体的な業務内容

・AWS OrganizationsおよびService Control Policies (SCP) を利用した、マルチアカウント環境におけるセキュリティベースラインの設計・運用
・AWS Security Hub、Amazon GuardDuty、AWS Config等を活用した、脆弱性や設定ミスの継続的なモニタリングと自動修復の仕組み構築
・AWS WAF、AWS Network Firewall、AWS Shieldを利用した、外部からの攻撃（DDoSやSQLインジェクション等）に対する防御策の設計・チューニング
・IAMの権限最小化（Least Privilege）の推進、およびAWS KMSやSecrets Managerを利用したセキュアな機密情報管理
・Terraform等のIaCコードに対する静的解析（tfsec, Checkov等）の導入、およびGitHub ActionsでのCI/CDパイプラインへの統合（DevSecOps）
・インシデント発生時の初動対応、およびAWS CloudTrailやAmazon Athenaを利用したフォレンジック（ログ解析）と原因究明
・開発チームに対するセキュリティレビュー（アーキテクチャ設計時の脅威モデリング等）および啓蒙活動

必須スキル・経験

・AWSを利用したインフラストラクチャの構築・運用経験（目安として3年以上）
・AWSの主要なセキュリティサービス（IAM, Security Hub, GuardDuty, WAF, CloudTrail等）に関する深い知識と運用経験
・TCP/IP、HTTP、DNSなどのネットワークに関する基礎知識と、Webアプリケーションにおける一般的な脆弱性（OWASP Top 10等）の理解
・Terraform等を用いたIaCの実務経験
・Git / GitHubを用いた構成管理・チーム開発経験

歓迎スキル・経験

・DevSecOpsのプラクティス実践、またはCI/CDパイプラインへのセキュリティツール組み込み経験
・セキュリティインシデント（マルウェア感染、不正アクセス等）の対応、または脆弱性診断の経験
・ISMS（ISO27001）、PCI-DSS、SOC2などのコンプライアンス基準に関する知識および監査対応経験
・Python、Go等を用いた、セキュリティ運用自動化ツールの開発経験
・AWS認定セキュリティ – 専門知識（AWS Certified Security - Specialty）等の資格

開発・業務環境

クラウド・セキュリティ：AWS (Security Hub, GuardDuty, IAM, WAF, Config, CloudTrail, KMS, Macie, Organizations等)
IaC・CI/CD：Terraform, GitHub Actions
監視・解析：Datadog, Amazon Athena
セキュリティツール：Snyk (または Trivy, tfsec等)
コミュニケーション・管理：GitHub, Jira, Backlog, Slack, Zoom

プロジェクトチームについて

インフラ（SRE）チーム内の、セキュリティ専任担当（またはDevSecOps推進チーム）としての配属となります。
「セキュリティ部門が最後に検閲してNGを出す」という旧態依然としたゲートキーパー型の文化を嫌い、開発の初期段階からセキュリティを組み込む「シフトレフト」を重視する手堅いカルチャーです。開発チームがセキュリティ上のミスを犯した際にも、個人を責めるのではなく「なぜシステムで防げなかったのか」「どうすれば自動で検知・ブロックできるガードレールを作れるか」を前向きに議論し、仕組みでの解決を目指しています。

求める人物像

・「絶対に事故を起こさない」という強い責任感を持ちつつも、ビジネスのスピードや開発者の利便性とのバランスを現実的に調整できる方
・AWSのアップデート情報や最新のセキュリティ動向（新たな脆弱性など）を自発的にキャッチアップし、システムの防御策に落とし込める方
・「専門用語を並べてリスクを煽る」のではなく、開発エンジニアやビジネスサイドに対して、脅威のインパクトと具体的な対策を分かりやすく説明できる方

仕事の魅力

企業の信頼を根底から守る「最後の砦」であると同時に、開発組織全体の安全なアクセルとなる非常に重要なポジションです。クラウド特有のセキュリティ脅威に対する実践的な防御ノウハウや、DevSecOpsというモダンな開発プロセスの構築を通じて、クラウドセキュリティエンジニア（Cloud Security Architect）として極めて市場価値が高く、あらゆる企業から求められる希少なスキルを着実に磨くことができます。

働き方

リモート環境

[フルリモート] 基本的にフルリモートで働いていただけます（※重大なセキュリティアラートが発報された場合など、緊急の調査やインシデント対応をお願いする場合がありますが、自動化によってノイズを減らし、チームの負担を軽減する体制づくりを進めています）。