09．情報セキュリティスペシャリスト

プロダクトセキュリティの専門組織を新設し、フィンテック事業の安全な開発・運用体制をリードする 仕事概要 ◆概要 当社が開発・運用するプロダクト（会員向けアプリ/Web、決済基盤、オーソリ・クリアリングシステム、API、カード発行システム等）のセキュリティを担っていただき、将来的な丸井グループにおけるセキュリティ組織の在り方やセキュリティの構築について牽引していただきます。 ◆仕事内容（一例） ○技術・開発リード - 脅威モデリング、SAST/DAST/SCA結果のトリアージ方針策定 - 脆弱性傾向分析にもとづく設計ガイドライン・セキュアコーディング規約へのフィードバック - 開発者向けセキュリティトレーニングおよびセキュリティチャンピオン制度の企画・運営 - 開発組織との定例レビューを通じたプロダクトリスクの可視化 ○組織・マネジメント - PSIRTのミッション・スコープ・KPI/KRIの設計と経営層への提案 - 組織設計、要員計画、採用、評価、育成、チームビルディング - 年次予算策定およびツール（脆弱性管理PF・SBOM管理・脅威インテリ等）の選定・投資判断 - ポリシー、規程、標準手順書、プレイブックの整備と定期見直し ○ステークホルダー連携 - 関連会社との連携設計・運用の構築（情報共有協定・エスカレーションパス・RACI策定） - カードブランド（Visa）・アクワイアラ・PFI・金融庁・経産省・個人情報保護委員会への報告・届出統括 - グループ横断の合同インシデント訓練の企画・主催 ○規制・コンプライアンス対応 - PCI DSS要件6・11・12を中心としたPSIRT関連統制の整備・維持、QSA監査対応 - 経営層・リスク委員会・監査法人・規制当局向けレポートの統括 - カードブランド発出アラート・ベンダーアドバイザリ等への組織的対応フロー整備 ◆利用技術 セキュリティ：脆弱性管理プラットフォーム、SBOM管理、脅威インテリジェンス、SAST/DAST/SCA、CVSS v3.1/v4.0 フレームワーク：PCI DSS、FIRST PSIRT Services Framework、ISO/IEC 30111・29147、OWASP ツール：GitHub、Slack、Notion、Jira 必須スキル ◆概要 当社が開発・運用するプロダクト（会員向けアプリ/Web、決済基盤、オーソリ・クリアリングシステム、API、カード発行システム等）のセキュリティを担っていただき、将来的な丸井グループにおけるセキュリティ組織の在り方やセキュリティの構築について牽引していただきます。 ◆仕事内容（一例） ○技術・開発リード - 脅威モデリング、SAST/DAST/SCA結果のトリアージ方針策定 - 脆弱性傾向分析にもとづく設計ガイドライン・セキュアコーディング規約へのフィードバック - 開発者向けセキュリティトレーニングおよびセキュリティチャンピオン制度の企画・運営 - 開発組織との定例レビューを通じたプロダクトリスクの可視化 ○組織・マネジメント - PSIRTのミッション・スコープ・KPI/KRIの設計と経営層への提案 - 組織設計、要員計画、採用、評価、育成、チームビルディング - 年次予算策定およびツール（脆弱性管理PF・SBOM管理・脅威インテリ等）の選定・投資判断 - ポリシー、規程、標準手順書、プレイブックの整備と定期見直し ○ステークホルダー連携 - 関連会社との連携設計・運用の構築（情報共有協定・エスカレーションパス・RACI策定） - カードブランド（Visa）・アクワイアラ・PFI・金融庁・経産省・個人情報保護委員会への報告・届出統括 - グループ横断の合同インシデント訓練の企画・主催 ○規制・コンプライアンス対応 - PCI DSS要件6・11・12を中心としたPSIRT関連統制の整備・維持、QSA監査対応 - 経営層・リスク委員会・監査法人・規制当局向けレポートの統括 - カードブランド発出アラート・ベンダーアドバイザリ等への組織的対応フロー整備 ◆利用技術 セキュリティ：脆弱性管理プラットフォーム、SBOM管理、脅威インテリジェンス、SAST/DAST/SCA、CVSS v3.1/v4.0 フレームワーク：PCI DSS、FIRST PSIRT Services Framework、ISO/IEC 30111・29147、OWASP ツール：GitHub、Slack、Notion、Jira 歓迎スキル - PSIRTまたはCSIRTの立ち上げ経験などゼロからの組織設計経験 - クレジットカード・決済・銀行・FinTechいずれかでの勤務経験 - ペネトレーションテスト・脆弱性診断・レッドチーム演習の実施または統括経験 - カード会員データ漏洩または不正利用インシデントの対応経験 - グループ会社CSIRT・SOCとの連携や,会社境界を跨いだインシデント対応の経験 - 日本シーサート協議会・FIRST等の外部コミュニティ活動経験 - FIRST PSIRT Services Framework・ISO/IEC 30111・29147に基づく運用設計経験 - FISC安全対策基準・割賦販売法・改正個人情報保護法・EMV/3-D Secure関連仕様への理解 - CISSP・CISM・CISA・GCIH・GCFR・情報処理安全確保支援士・PCI ISA等の資格 求める人物像 - 規制業界における文書化・証跡化の重要性を理解し、ガバナンスとスピードを両立できる - 高ストレス下でも冷静に判断し、経営層・規制当局・カードブランド・メディアに対して適切に説明できる - 技術的深さと組織マネジメント・経営コミュニケーションを高いレベルで両立できる - 「できない理由」ではなく「どうすれば安全に成立させられるか」を設計し、組織を動かせる - 関連会社を含むステークホルダーの利害を調整し,合意形成を進められる 応募概要 給与 想定年収：12,000,000円～ 給与形態：月給制 基本給：1,000,000円～ 時間外手当：なし ※管理監督者（労基法第41条第2号）に該当するため 賞与：なし 勤務地 丸井グループ本社 東京都中野区中野4-3-2 マルイユナイト新宿オフィス 東京都新宿区新宿3-17-19 中野ビル 2F、3F 【就業場所の変更の範囲】 会社の定める場所（丸井グループ本社・テレワークを行う場所等） 雇用形態 正社員 勤務体系 ◆勤務時間 - 始業・終業の時刻等 始業（10時00分）　終業（19時00分）※一例 1か月単位のﾌﾚｯｸｽﾀｲﾑ制；始業及び終業の時刻は労働者の決定に委ねる （ただし、ﾌﾚｷｼﾌﾞﾙﾀｲﾑ（始業）　8時00分から （終業）22時00分、ｺｱﾀｲﾑなし） ※ 在宅勤務併用可 - 休憩時間　60分　※1日あたりの労働時間による ◆休日 - 定例日：毎週土曜日・日曜日（振替可） - 非定例日：みなし年休12日間×年2回 ◆休暇 - 年次有給休暇　入社日に10日付与 入社後、継続勤務1年ごとに追加付与 - 時間単位年休：有 - 代替休暇：無 - その他特別休暇 産前産後休暇、育児休暇、その他特別休暇（有給・無給）など 試用期間 あり（3か月） 福利厚生 ◆社会保険完備（健康保険、厚生年金保険、雇用保険、労災保険） ◆結婚休暇、産前産後休暇、出産育児休職、介護休職、短時間勤務制度、社員商品購入割引制度、定年再雇用制度 ◆入社時PC貸与（Mac） ◆副業申請可能 ◆交通費支給など ※ 新たな制度も随時導入予定