Corporate Security Engineer

一言でいうと

従業員が業務で使う端末・ネットワーク・社内システム・SaaSの安全性に責任を持ち、事業を止めずに情報資産を守る仕組みを設計して運用する職種です。

この職種の出自と登場時期

社内のIT環境を守る実務は情報システム部門が長く担当してきましたが、専任のセキュリティ職として切り出されたのは2010年代半ばです。境界防御を前提としない設計が広まったことが転機で、2014年に Google が BeyondCorp の考え方を公開して以降、社内ネットワークの内側を安全とみなさない設計が業界標準の議論になりました。米国の NICE Framework も、セキュリティの業務を役割単位で分類し、社内環境の防護を独立した職務として扱っています。

国内でこの呼称が求人票に現れたのは2021年前後です。リモートワークの常態化で守る対象が社内ネットワークからSaaSと個人端末へ広がり、情報システム部門の運用だけでは扱えない設計判断が増えたことが背景にあります。プロダクトセキュリティとの違いが国内で繰り返し解説されているのも同じ時期です。

なお、この職務は情報システム部門と重なる場合があります。求人票では、IT運用（アカウント発行、機器の調達）まで含むのか、セキュリティ設計に専念するのかを確認する必要があります。

ミッション

責任範囲は、従業員の業務を止めずに情報資産を守ることです。強い制限をかければ安全になりますが、業務が回らなくなれば現場は回避策を探し始め、その時点で対策が機能しなくなります。

そのため、成果は導入した対策の数では測れません。インシデントの検知と対応の速さ、監査指摘の件数、従業員からの申請と例外承認の件数といった、運用の実態を表す指標で見ることになります。

主な業務範囲

• 端末とアカウントの管理。MDM、ID管理基盤、多要素認証、権限の棚卸しを設計して運用する
• SaaSの管理。利用しているサービスの把握、権限設定、外部共有の統制を行う
• ネットワークとアクセス制御の設計。ゼロトラストを前提とした接続経路を整える
• ログ監視とインシデント対応。検知の仕組みを整え、発生時の初動から復旧までを担当する
• 規程と監査対応。社内ルールの整備、従業員教育、ISMSやPマークなど認証の維持を行う

求められる能力

まず求められるのは、ID管理・端末管理・ネットワーク・クラウドの権限設計です。SaaSのAPIを使った棚卸しの自動化など、スクリプトを書ける人材の需要が高まっています。

技術以外では、全社の業務を理解したうえで例外を判断できるかどうかが重く見られます。部門ごとに事情が異なるため、一律の禁止ではなく、代替手段を用意して合意する進め方が求められます。経営に対してリスクと費用を説明する力も欠かせません。

この職種に就く人のキャリア経路

多いのは情報システム部門・社内SEからの移行です。IT運用の実務を経て、セキュリティの設計側へ軸足を移す流れが一般的です。インフラエンジニアやSOC運用の経験者が事業会社の社内側へ移るケースもあります。

その後は、情報システム部門の責任者、セキュリティ組織の責任者、CISOへ進む道が中心です。監査やガバナンスの領域へ広げる経路もあります。

隣接職種との違い

採用担当の見極めポイント

• 求人票では、情報システム部門の運用業務を含むかどうかを明記してください。設計に専念できると思って入社した候補者に運用を任せると、早期離職につながります
• 職務経歴書を見るときは、社内の制度を実際に変えた経験を確認してください。ツールを導入した経験と、全社の運用として定着させた経験は別に評価する必要があります
• 経営が例外の判断に関与する体制かを確認してください。担当者だけで禁止を決める運用は、部門から回避されて形だけになります

求人・市場の傾向

母集団は情報システム部門の経験者が中心で、セキュリティ設計まで担当してきた層は限られます。プロダクトセキュリティより候補者の裾野は広いものの、事業会社での設計経験を求めると急に狭くなります。

従業員数、利用しているSaaSの規模、認証の取得状況を載せてください。この職種の仕事量は、この3つでほぼ決まります。

関連キーワード

ゼロトラスト / IDaaS / MDM / SaaS管理 / ISMS / Pマーク / 権限棚卸し / インシデント対応 / 情報システム部門