Security Manager

Frictio は「営業活動の摩擦をゼロにする」をミッションに掲げる AI-Native CRM を開発しています。商談の録音・文字起こしという、顧客企業にとって最も機微な情報をお預かりするプロダクトであり、セキュリティは付加機能ではなく事業そのものの前提条件です。個人情報保護・情報セキュリティ・サイバーセキュリティを統括し、将来的には CISO として全社のセキュリティを担っていただける方を募集しています。 Frictio は SOC 2のレポート受領済み、ISO/IEC 27001:2022 の認証取得済みで、情報セキュリティ方針の制定、SSO / MFA / RBAC・通信および保存時の暗号化・監査ログといった技術統制も実装済みです。一方で約200社を超える導入が進み、セキュリティ質問票・監査要請は増え続けています。また。継続的な統制運用、認証範囲の拡大、全社のルール整備・教育・インシデント対応体制を、さらに引き上げていくフィーズです。 当社は社員だけでなく AI エージェントが業務システムに日常的にアクセスし、書き込みまで行う組織です。「誰が・何に・どこまでアクセスしてよいか」を、人間だけでなく AI エージェントを含めて定義し直す必要があり、既存のセキュリティマネジメントの型がそのままでは通用しません。 このポジションに最も期待するのは、台帳・スクリーンショット・年次点検に依存した従来型の運用ではなく、統制をコードとして表現し、継続的に自動検証し、逸脱を検知したら是正まで自動で回す SRE 的なアプローチです。何を人が判断し、何を仕組みと AI に委ねるかを設計し、少人数でもエンタープライズ水準の統制を維持できる「AI 時代のセキュリティ運用」を考え抜いていただきます。 方針の策定から実装・運用・監査対応までを一気通貫で担い、将来的には CISO として経営に対しセキュリティの意思決定を担う、事業の信頼を支える中核を担えます 【AI 自律稼働環境の整備（全エンジニア共通）】 AI エージェントが自律的に高品質な成果を出し続けるための環境を整備します。AI 自律稼働環境の整備は専門領域にかかわらず、全エンジニアポジション共通の責務です。 ・AI エージェントの出力品質を構造的に担保する仕組みの設計・構築（プロンプト・ルール・ガイドライン・自動チェック等） ・変更リスクの自動評価とガードレール設計により、人間の介入を最小化するレビューワークフローの構築 ・AI エージェントが自律的にテスト・検証できる QA 環境の整備 ・セキュリティ・コンプライアンス・ポリシー準拠の自動検証 ・施策の妨げとなる技術負債の把握・可視化 【情報セキュリティ統括・ガバナンス】 ・個人情報保護・特定個人情報・情報セキュリティ・サイバーセキュリティの統括管理 ・個人情報保護方針・情報セキュリティ方針・社内規程・運用ルールの策定と継続的な更新 ・各部門（プロダクト開発 / セールス / カスタマーサクセス / コーポレート）の業務実態の調査、要件整理、ステークホルダーとの合意形成 ・ISMS（ISO/IEC 27001）・SOC 2 の運用管理責任者として、統制の設計・証跡運用・内部監査・外部監査対応をリード ・継続的な統制運用と、認証・適用範囲の拡大の推進 ・エンタープライズ顧客のセキュリティ質問票・顧客監査・DPA / 個人情報保護覚書への対応と、回答の標準化 ・リスクアセスメント、委託先（サブプロセッサ）管理、全社セキュリティ教育・訓練の設計と実施 ・インシデント対応体制（CSIRT 的機能）の整備と、発生時の指揮・顧客影響の判断 ・脆弱性管理、脆弱性診断・ペネトレーションテストの計画と是正のトラッキング 【SRE 的アプローチによる統制の実装・運用・保守】 ・統制要件をコード化し、継続的に自動検証する仕組み（Policy as Code / Compliance as Code）の設計・実装 ・証跡の自動収集・自動更新（人手のスクリーンショット収集・年次棚卸しからの脱却） ・ID・権限・デバイス・ログの棚卸しの自動化と、逸脱の自動検知・自動是正 ・セキュリティの状態を継続的に可視化する指標（統制の逸脱率・是正リードタイム・脆弱性の滞留時間等）の定義と計測 ・ログ・監査証跡の集約、アラート設計、検知から対応までのランブック整備と訓練 ・AI エージェントに対するアクセス制御・承認フロー・監査ログの設計（何を任せ、どこで人が承認するかの境界定義） ・AI / LLM 固有のリスク（Prompt Injection、データ漏洩、過剰権限）への技術的対策の設計 ・プラットフォームエンジニア・コーポレートエンジニアと連携した、セキュリティ統制の実装・運用・保守

・セキュリティマネージャー（情報セキュリティ管理責任者・推進リーダー等）としての経験 3年以上 ・情報セキュリティマネジメントの実務経験（方針・規程の策定、リスクアセスメント、教育、監査対応） ・ISMS（ISO/IEC 27001）または SOC 2 の運用管理責任者としての経験 ・情シス・インフラ・ソフトウェアエンジニア等の役割を通じた、基礎的なシステム運用経験 ・個人情報保護法・特定個人情報の取扱いに関する実務知識 ・各部門の業務実態を調査し、要件を整理してステークホルダーと合意形成した経験 ・クラウド環境（Azure 推奨、AWS / GCP も可）におけるセキュリティ統制への理解 ・スクリプト・IaC・SaaS の API 等を用いて、運用を自動化した経験（規模・言語は問わない） ・AI コーディングエージェント（Claude Code, Codex 等）を活用した開発環境の設計・運用経験 ・職能の境界にとらわれず、課題解決のためにフルスタックで動ける姿勢 ・AI の進化に応じて「人がやるべきこと」の範囲を自ら見直し、働き方を柔軟に変えていける方

・CISO・セキュリティ部門責任者、またはそれに準ずる役割の経験 ・SOC 2 Type 2 の統制設計・監査対応の経験 ・ISMAP / CASA / OWASP ASVS 等、他のセキュリティ枠組みへの対応経験 ・B2B SaaS におけるセキュリティチェックシート・顧客監査対応の経験 ・Vanta 等のコンプライアンス自動化ツールの導入・運用経験 ・Policy as Code / Compliance as Code（OPA 等）の実践経験 ・SIEM・ログ基盤の設計・運用、セキュリティ監視（SOC）の実務経験 ・CSIRT の立ち上げ・インシデント対応の指揮経験 ・脆弱性診断・ペネトレーションテストの計画・実施・是正推進の経験 ・DevSecOps・セキュア開発ライフサイクル（SSDLC）の推進経験 ・IdP（Entra ID / Google Workspace / Okta 等）・MDM を用いた ID / デバイス統制の設計・運用経験 ・AI / LLM のセキュリティリスク（Prompt Injection、Data Leakage 等）に関する知見 ・情報処理安全確保支援士 / CISSP / CISM / CISA 等の資格 ・上場準備企業における IT 統制（IT 全般統制）対応の経験 ・リーダー経験

・セキュリティを「守り」だけでなく、事業を前に進めるための機能として捉えられる方 ・将来的に CISO として、経営に対してセキュリティの意思決定を担う意志のある方 ・「開発する人」ではなく「AI が正しく自律稼働する環境を作る人」としてのアイデンティティを持てる方 ・AI ツールを「使う」だけでなく、環境を設計して AI の品質を構造的に担保できる方 ・少人数チームで、曖昧な課題に対して自律的に仮説を立てて実行できる方 ・B2B SaaS の信頼性（セキュリティ・正確性・コンプライアンス）の重要性を理解している方 ・施策からデリバリーまでの「人間の介在」を減らすことに執着できる方 ・AI の進化に合わせて自分の働き方を常にアップデートし続け、変化そのものを楽しめる方 ・台帳・点検・スクリーンショットに依存した運用を、仕組みで置き換えることに執着できる方 ・現場に足を運んで業務実態を掴み、実行可能なルールに落とし込める方 ・インシデント対応時にも冷静に判断し、事後の学習を再発防止の仕組みに反映できる方 ・過度に保守的にならず、リスクとスピードのバランスを取って意思決定できる方