【セキュリティスペシャリスト / Security Specialist】CISO室_東京

募集背景

当社では自動家計簿・資産管理サービス「Money Forward ME」、ビジネス向けクラウドサービス「マネーフォワード クラウド」など多くのユーザーが利用するサービス群を展開しています。また、それらのサービスを支える「アカウントアグリゲーション」と呼ばれる技術や「マネーフォワード ID」というシングルサインオンを実装しています。これらのサービスや機能の多くは、ユーザーのお金の情報を扱うため高いセキュリティが求められています。

CISO室はマネーフォワードのサービスを開発し提供する事業部門と連携しプロダクトのセキュリティを維持向上させています。これにはAWSやGCPといった主要なクラウドの統制、可視化、WAFなどの共通セキュリティ機能の設計・実装・運用が含まれています。また社内の情報システムのセキュリティ強化もCISO室の責任範囲です。

もっと多くのユーザーにサービスを安心してご利用いただけるように、私たちは一緒に働いていただけるセキュリティスペシャリストを募集しています。

CISO室とは

「セキュリティを通じ、お客様に届ける価値を最大化する。」をミッションに、マネーフォワードグループ全体のセキュリティのあるべきを作ります。

サービスを落とさないこと。情報漏洩を起こさないこと。もちろん大切です。
しかし、それは我々が考える大切なことの要素の一つに過ぎません。

過度なセキュリティ対策で、開発の速度を落とし、お客様に届ける価値が小さくなったり、遅延したりする可能性はあります。

我々はお客様に届ける価値をどのようにしたら最大化できるか考え、セキュリティのプロフェッショナルとしてお客様にとって最適なセキュリティを実現します。

セキュリティ指針

大きく３つのテーマを持って、セキュリティの在り方や実現する組織の在り方を考えています。

Embedded security in business strategy
セキュリティは単体で考えるものではありません。今のビジネスフェーズやコスト、将来期待される売上規模、リスク発生時に想定される損害額等、ビジネス的な戦略と一緒にセキュリティ施策を考えます。

Advanced balancing between security and experience
　セキュリティは常に最高のものが正しいわけではありません。コストも増えるし、利便性を損なう可能性もあります。リスクを見定め最適なセキュリティ施策を常に考える必要があります。ただリスクを避けるだけでなく、時にはリスクを取り、最大のユーザー価値を追求することも考えます。セキュリティ施策を実施する時には利便性とセキュリティを高度に両立するために、自動化、自律化を推し進めます。

Autonomous and scalable organization of security  
マネーフォワードグループは更に大きな開発組織になり、より大きな価値をお客様に届けたいと考えています。その時、CISO室が全てのセキュリティ機能を担うとボトルネックになり、スケールしないと考えています。各開発部が自律的にセキュアなサービスを実現する必要があります。そのための仕組みの構築や支援をCISO室は実施します。

主な業務内容

このポジションは、コーディング、インフラストラクチャーなどの知識と経験を生かし、開発者や情報システム担当と連携して、マネーフォワードのセキュリティを維持・向上させます。以下の業務をCISO室のセキュリティスペシャリストで分担しながら担当します。

プロダクトセキュリティ

• AWS / GCP環境のセキュリティガードレールの整備
• In-houseセキュリティコンサルティング：自社開発者へのセキュリティに関する技術的な助言、アーキテクチャのレビュー等
• 脆弱性診断、ペネトレーションテストの実施またはサポート
• OSINTをはじめとする脆弱性情報の収集、検証
• セキュリティ関連のツール、スクリプトの開発
• NIST CSF、CIS Controls等のフレームワークの実装と展開

コーポレートセキュリティ

• マイクロソフトなど主要ベンダーの情報収集、最新技術理解、検証
• Azure AD、Bastion等を含む社内情報システムの設計運用
• EDR、CASB、MDM等のツールの運用管理

求めるスキル・経験

• ネットワーク、OS、データ構造、暗号理論等を含む情報工学に対する基本的理解
• 下記のうち何れかの知識や経験
  • 脆弱性診断
  • ペネトレーションテストまたはレッドチームの実務
  • フォレンジック、マルウェア解析、インシデントレスポンス等
  • クラウドセキュリティ
  • DevSecOpsの構築、運用に関する経験
  • WAF、IDS / IPS、SIEM等のセキュリティソリューションの構築、運用経験
  • 社内情報システムの構築、運用経験

あると望ましいスキル・経験

• いずれかのプログラミング言語での開発経験
• CTFの経験
• バグハンティング、CVE取得の経験
• CISSP、CISM、OSCP、GCIH等の資格
• 認証認可、OIDC、OAuthに対する深い理解
• FISC等、金融、Fintech業界におけるセキュリティ関連業務の経験
• 業務上での英語でのコミュニケーション

本ポジションの魅力

• AWS Summit、CODE BLUE、DEFCON、Black Hatなど、国内外のセキュリティカンファレンスへの参加を会社が支援します。
• ハイスペックMacを標準支給します（Windowsもご要望に応じて支給可能です）。
• グローバルな開発体制を強化している中、多国籍のメンバーと仕事、コミュニケーションができます。
• Slack、Github、CircleCI、Terraform、Cloudflare、Burp Suite等、モダンな技術スタックを採用しています。

求める語学力

• ビジネス基礎レベルの英語力（TOEIC700点相当以上）

※ TOEIC 以外にも英語力がわかる資格や経験をお持ちの方はご相談ください
例：英検準1級、英検2級（英検CSEスコア1950以上）、TOEFL iBT 60以上、IELTS 5.0以上、ケンブリッジ英語検定 FCE など。

※その他、英語力がわかる資格や経験については応相談
※TOEIC700点相当以上の資格をお持ちでない方については選考の過程で弊社指定の試験を受験いただきます。（原則、一次面接後を想定）

こんな方に仲間になってほしい

・マネーフォワードの理念・ビジネスを守りたい方
・自らが自社サービスのファンであり、その成長に情熱を込められる方
・サービスを育てることを楽しみ、主体性を持って取り組める方
・チームメンバーと積極的にコミュニケーションを取り、ナレッジをシェアし、
・周りに良い影響を与える方
・チャレンジ精神にあふれ、新しい時代のサービス作りにチャレンジしたい方

CISOメッセージ

マネーフォワードCISOが考える、世界で戦うための情報セキュリティとグローバル化

技術スタック

・Webサーバーサイド：Rails, Go
・Webフロントエンド：React, Redux, webpack, TypeScript, Mocha, Jest
・データベース：MySQL(Aurora)
・インフラ・ミドルウェア
AWS(ALB, EC2, RDS, S3, SQS, ElastiCache, EKS...), sendgrid, kinsta
GCP (BigQuery, Firebase, GKE)
nginx, squid, memcached, kafka, logstash, filebeat, maxwell, kibana, elasticsearch,Fulentd envoy, Passenger, Puma, Unicorn, HAProxy, Docker, Redis, Memcached

使用ツール

・Biz基盤：Marketo, SalesForce
・リポジトリ管理：GitHub
・CI/CD：CircleCI, bitrise, ArgoCD, CodeBuild, Github Action
・開発環境:Vagrant, Docker, Terraform Enterprise
・監視：DataDog, Rollbar, Bugsnag, Sently, New Relic
・コミュニケーション：Slack
・チケット管理:Jira, asana, trello, backlog
・セキュリティ・自動化: OWASP ZAP, Burp Suite, Sider (Brakeman), Snyk, VAddy, Dockle, Trivy

環境

マネーフォワードでは、共に世界に通じるサービスを創っていく環境を用意し、皆様をお待ちしています。

• 支給PCスペック：最新CPU搭載PC（MacOS or Windows）を支給。業務要件に応じたPCオーダーメイドや、最新OCへのリプレイスも可能
• 開発環境向上のための制度：業務上必要な周辺機器（ディスプレイ・マウス・キーボードなど）を、備品として購入可能。基本的には標準製品（カタログ）内から選択いただき、標準製品以外でも条件を満たす場合は申請可。
• マネーフォワード図書館：技術書から経営本まで、貸し出し自由の図書館制度があります。欲しい本は会社費用で購入できます。
• リファラルドリブン：採用会食費の負担。リファラル謝礼金制度。
• カンファレンス参加支援：RubyKaigiやGoogle I/Oなど、国内外のカンファレンスへの参加を一部会社が負担します。