GMOペパボでセキュリティ対策を「もっとおもしろく」する仲間を募集!求める人物像について室長にきいてみた!!1ペパボHRブログメニューを開くペパボ採用情報インタビューGMOペパボでセキュリティ対策を「もっとおもしろく」する仲間を募集!求める人物像について室長にきいてみた!!12021.4.28エンジニア求人あり現在、GMOペパボではセキュリティ対策室で働く仲間の採用を積極的に行っています。インタビューをしました。募集の背景と実際の業務についてー今回セキュリティ対策室で、採用を始めた背景を教えてください。tamon:まず2018年にセキュリティ対策室を設立し、これまでの約2年間は既存のセキュリティで問題がある箇所の穴埋めをしていました。その地ならしが済んだというところで、さらにパワーアップしていくべく採用を開始しました。ー今回、マネージャー候補と、セキュリティエンジニアの2つの募集を行っていると思いますが、それぞれどんな仕事をお願いしたいか教えてください。tamon:まずペパボでは事業部制とっていて、サービスごとにエンジニアが所属しています。セキュリティ対策室はサービスに所属せず、横断的に事業部を支援・リードしています。夏tamon:現在各サービスでセキュリティ専任の担当がいないため、セキュリティ対策を推進しようと思うと、各事業部の中に入って、事業部のエンジニアと協力しながら進めなくてはなりません。そのような背景から、マネージャー候補の方においては「サービスのセキュリティ課題を洗い出し、対策の立案・計画をたて、実施を推進できる方」を求めています。業務と役割を説明した記載をご覧いただくとイメージしやすいでしょう。「SUZURI」は今急成長しているサービスで、それと同じ速さでセキュリティ対策も必要になっているので、まずはそこの舵取りをしてくださる方を募集します。基本的には事業部門のエンジニアメンバーに対応を進めてもらいますが、ご自身も手を動かしながらプレイングマネージャーとして活躍されることを期待します。ーなるほど、ありがとうございます。セキュリティエンジニアはいかがでしょうか。tamon:セキュリティエンジニアの方には、まず毎日発見される脆弱性のトリアージをお願いしたいです。どのくらいの脅威や影響があり、僕らの提供しているサービスはどう対処しなくてはいけないかを判断するという、一連の流れの対応をしてもらいたいというのがまず1つです。あと、セキュリティ対策においては「組織」と「人」と「システム」に対して、それぞれ対策をする必要があるのですが、主にシステムに対してのセキュリティ対策を推進してもらいたいです。セキュリティ対策室が抱える課題とはー現状、ぺパボもしくはセキュリティ対策室の課題はありますか。tamon:正直セキュリティ対策室のメンバーは室長の僕を含めて3名で、人が少ないがために各事業部の細かいところまで目が届きづらいんですよね。シフトレフトって、ご存知ですか?ーわからないです。tamon:今までのセキュリティ対策は、例えば機能を開発した後に、何か問題が発見されてそれに対して修正を行ったり、何かしら対策をしていました。シフトレフトは、セキュリティの対策自体を、後付けではなくできるだけ設計・開発段階へ前倒しするタイミングで検討・予防をする考え方です。それをするためには、各事業部が「こんな機能を開発しますよ」といった段階でセキュリティの要素を検討しなくてはいけないです。すると人が入ってセキュリティ対策の検討をする必要があるですが、その「人」がどうしても足りてないっていうのが課題です。ーこの2年、事業部のエンジニアへセキュアコーディングなどのセキュリティに対する学習の機会を、セキュリティ対策室が中心となって推進している印象があったのですが、まだお互い理解や知識が足りていない部分があるのでしょうか。tamon:そうですね。コーディングをする上でのベーシックなプラクティスがあって、それに則ってセキュアに作る手法については全員で学び、取り組んでいるのですが、そもそも設計の段階で「この機能を追加するならば、こういうセキュリティ要素についても対策も検討しなくてはいけない」といった意見はセキュリティ対策室のエンジニアが提案し、対策を検討すべきだと思います。事業部の中だけだと、「これって当たり前だよね」といった前提知識があった上での検討が行われることもあるため、新たな目で俯瞰してセキュリティ全般を見るためにも、事業部に属さないセキュリティ対策室の視点も大事だなと思っています。チーム構成や雰囲気、ミーティングの頻度は?ー現在のチームメンバーの役割分担について教えてください。Continuous)についての発表をしました。Continuous~tamon:この3つが先ほど話をした「組織」と「人」と「システム」にわりと紐づいていて、組織的なところを僕が担当しています。具体的には、ペパボの組織としてやらなくてはいけないベースラインやポリシーを決めたり、新しい法律やガイドラインが出てきたときに、会社や各サービスは「対応しなくてはいけないのか・対応出来るのか・すでに出来ているのか」といった検討をしています。