自社プロダクト（P3／Work3）と全社のIT環境の両方について、実効性のある情報セキュリティ体制を設計・構築し、運用に乗せること。

これまで積み上げてきた守りの規律を土台に、プロダクトと事業を伸ばすためのセキュリティを設計する役割です。専任組織はこれから作っていく段階のため、体制の設計そのものから関わっていただけます。

初年度は、戦略の策定と実行の両方に携わっていただきます。方針の決定から現場での実装まで、一貫してご自身の判断で進められる環境です。 その分、ご自身で手を動かす場面も含まれます。


最初の1年でやっていただきたいこと（優先度順）

当社として優先順位を明確にしています。すべてを同時にやってほしいという募集ではありません。

第1優先：プロダクトセキュリティ（P3／Work3）

・自社SaaSプロダクトのセキュリティ戦略の策定
・セキュアな開発プロセスの設計と導入（セキュアSDLC／DevSecOps）
・脆弱性診断・脅威モデリングの仕組み化
・クラウド環境のセキュリティ設計と構成管理
・100名を超える開発組織への標準の浸透

第2優先：従業員・コーポレートITのセキュリティ

・従業員が利用するIT環境のセキュリティ設計と改善
・クラウド／SaaS利用に伴うリスクの評価とコントロール設計
・生成AIツールの安全な活用ルールの発展と運用
・社内ポリシー・基準・ガイドラインの整備
・セキュリティ教育・啓発施策の企画と実行

第3優先：顧客セキュリティ要求への対応

・お客様からのセキュリティチェックシート・監査・RFPへの対応
・対応の標準化と、営業・カスタマーサクセスが自走できる仕組みづくり

※ この領域は現在、別部門が対応しており、業務を引き継いでいただくものではありません。 技術的な判断が必要な部分に限って関与いただき、あわせて標準化によって現場の負荷を下げることを期待しています。初年度の工数配分としては小さく見積もっています。

第4優先：インシデント対応体制（CSIRT）

・インシデント発生時の対応フローと指揮系統の整備
・中期的なCSIRT体制の構築

※ 1年目は最低限の対応フロー整備までを想定しています。 本格的な体制構築は2年目以降の課題と位置づけており、初年度の評価対象には含めません。

担当範囲外・限定的な関与に留まる領域

期待値を明確にするため、担当いただかない範囲も記載します。

ISMS・PMS等の外部認証 主管は内部統制部門です。認証の取得・維持に関わる事務局業務は担当範囲外です。ただし、システム側の責任者として審査対応にはご協力いただきます。認証対応の実務に追われるポジションではありません。

ヘルプデスク、IT資産管理、アカウント発行等の日常運用 情報システム部門が担当します。