セキュリティエンジニアという仕事自社サービスの安全を作り込む担当
自社サービスの安全を作り込む担当
プロダクトセキュリティは、自社が提供するサービスやアプリそのものの安全性を、設計・開発の段階から高める仕事です。社内のパソコンやネットワークを守る業務とは別物で、開発チームと一緒に、脆弱性(システムの欠陥や設定ミスなど、攻撃に悪用されうる弱点)を生みにくい「そもそも攻撃されにくい作り」にしていくことが中心です。開発の経験を活かして、セキュリティの専門性を乗せていく人が多い領域です。
開発経験、またはセキュリティ診断・運用の経験を求める求人が中心
月の残業は目安15〜25時間程度(求人情報などに基づく参考値)。大型リリース前や、重大な脆弱性が報告されたときは対応が集中する
情報が少なく参考程度。求人は経験者向けが中心で、上場企業や大規模サービスではさらに上振れする掲載例もある
- 業務内容
- 新機能の設計書を見て、攻撃されそうな箇所を洗い出す(脅威モデリング。例: 「決済画面なら、金額を書き換えられないか」を設計段階で考える)
- ソースコードを自動で検査して危険な書き方を見つけるツール(SAST)を、開発の流れ(CI=コードを更新するたびに自動でテストや検査を行う仕組み)に組み込む
- 外部から寄せられた脆弱性の報告を受け付け、影響を調べて修正の優先順位を決める(PSIRTとしての対応)
- 開発者向けのセキュリティ勉強会や、安全なコードの書き方のガイドラインづくり
- 具体的な業務イメージ
午前は、開発チームの定例会議に参加し、これから作る機能のセキュリティ上の注意点を伝えます。午後は、設計レビューやツールの検査結果の確認、脆弱性の報告への対応など、自分の持ち場に合わせた作業を行います。コードを読んで修正案を示したり、必要ならセキュリティ関連のコードを自分で書いたりする場面もあります。
担当するチームの数やサービスの数は、会社の規模や体制によって差が大きく、少人数のセキュリティチームで複数のプロダクトを見る場合もあります。
成果物とツールの対応では、設計レビューの指摘にはドキュメントツール(Notionなど)やExcelでのチェックリスト管理、ツールの検査結果の分析にはGitHubなどのコード管理サービスの知識、開発者向けの勉強会資料にはPowerPointでの構成力が求められます。
- この仕事のやりがい
- 自分の関わったサービスが、多くのユーザーに安全に使われていることを実感できる
- 「後から直す」ではなく「最初から安全に作る」という、上流から影響を与えられる
- 開発とセキュリティの両方の経験を活かして、活躍の場を広げやすい
- 向いている人
- 開発者の立場や事情を理解したうえで、現実的な落としどころを探せる人
- リスクの大きさを、相手に伝わる言葉で説明できる人
- コードやサービスの設計を読み解くのが苦にならない人
- 向いていない人
- 開発者とのやり取りや交渉を避けたい人
- 「ルールを守らせる」役割に徹したい人
- コードや設計の話に興味が持てない人
- つまずきやすいポイント
- 開発チームから「機能のリリースを優先したい」と言われ、セキュリティの優先度が後回しにされやすい
- 対策の効果が「事故が起きなかった」という形でしか現れず、成果が見えにくい
- 担当者が少なく、複数のサービスを同時に見る負担が大きくなりやすい
- 必要スキル
- 開発・システム設計の知識 脅威モデリング・設計レビュー力 コードを読む力 開発者との交渉・調整力 リスクを説明する力
- その後のキャリアパス例
- プロダクトセキュリティの責任者・CISO(最高情報セキュリティ責任者)候補へ
- セキュリティアーキテクト(安全な全体設計を担う専門職)へ
- セキュリティベンダー(セキュリティ対策を専門に提供する会社)でのコンサルタントへの転身も
🎮 この職種を疑似体験
開発チームから「今月は新機能のリリースを最優先したいので、セキュリティの指摘への対応は後回しにしたい」と言われました。あなたの次の一手は？
実務ではこう対応することが多いです
すべてを止める姿勢は、開発チームとの関係を悪くし、次から相談してもらえなくなる原因になりがちです。リスクの大きさに応じて、現実的に折り合いをつけるのが一般的です。
実務ではこう対応することが多いです
何も言わずに了承すると、重大な弱点がそのまま公開されるおそれがあります。優先度が後回しにされやすいからこそ、リスクを伝える役割が求められます。
◎ それが実務でも評価される対応です
影響を具体的に説明したうえで、開発チームと一緒に優先順位を決める進め方が、この仕事の基本です。開発者の事情を理解しつつ、リスクを伝わる言葉で説明して現実的な落としどころを探せる人が評価されます。
実務ではこう対応することが多いです
すべてを重大として扱うと、本当に重要な指摘が埋もれ、開発側の信頼も失いやすくなります。危険度に応じた優先順位をつけて伝えることが大切です。
この職種で転職を考えたら
相性の良い転職エージェントは人によって違います。求人の量や、担当者との相性を見るためにも、2〜3社まとめて登録しておくのがおすすめです。
セキュリティエンジニアの求人・選考ノウハウに強いタイプ
求人を見る(準備中)
自分のペースで求人を探したい人向け
求人を見る(準備中)※上記リンクの一部はアフィリエイトプログラムを経由しています。他の求人リンクは準備中で、提携が完了し次第順次差し替えます。
掲載の年収は各パターンの求人情報から算出した中央値の参考レンジです。経験・スキル・企業規模により変動します。