セキュリティは"守るだけ"じゃない。開発とともに最適解をつくる仕事

最前線でセキュリティに向き合える環境と、決め手となったチームの温かさ

学生時代はどのようなことをしていましたか？

学部では経済学を専攻していましたが、サークルやアルバイトをきっかけにプログラミングやセキュリティに興味を持つようになりました。
大学院では情報系の研究室に進み、セキュリティを専門に学びました。
研究テーマは認証・認可で、修士論文ではOpenID Connectをテーマに、OpenID Connect利用時の安全性強化についての提案を行いました。

就職活動ではどのような軸で会社を探していましたか？

セキュリティエンジニアとして働けることを前提に、事業会社を中心に探していました。
攻撃者が実際に狙うプロダクトの現場で、その最前線で、開発者に近い距離でセキュリティに関わりたいと考えていたからです。
実際のサービスに対して脆弱性診断や対応ができる環境を重視していました。また、地元の徳島で働きたい思いがあり、フルリモートで働ける点も重要でした。

サイボウズを知ったきっかけと、応募理由を教えてください

中学生の頃に「100人いれば100通りの働き方（※現在は「100人100通りのマッチングに変更済み）」という取り組みを知り、自由な働き方ができる会社という印象を持ちました。
その後、セキュリティ・キャンプなどを通じてサイボウズのセキュリティチーム（CSIRTやPSIRT）の存在を知り、脆弱性報奨金制度を早い段階から運用しているなど、事業会社としてのセキュリティへの取り組みが非常に先進的だと感じました。セキュリティエンジニアとして成長できる環境だと思い、サマーインターンに応募しました。
サマーインターンで感じた、チームの雰囲気が選考に参加する決め手でした。PSIRTのメンバーの方々の雰囲気がとても温かくて、「このチームなら安心して働ける」と感じたんです。人間関係で悩まずに、仕事に集中できそうだと思えたのが大きかったです。

プロダクトの最前線で、判断し続けるセキュリティ

入社後に感じたギャップはありましたか？

一番大きかったのは、開発者がセキュリティにとても前向きだったことです。学生時代は「開発チームとセキュリティチームは対立するもの」というイメージを持っていました。でも実際には、同じ方向を向いて一緒に課題に取り組む関係でした。

入社後、印象に残っている仕事を教えてください

いくつかありますが、ひとつはLLMを使った機能の脆弱性診断です。当時はチーム内でも知見が十分にまとまっていなかったので、まずは外部の情報をキャッチアップするところから始めました。新しい領域だったこともあり、「どういう観点でリスクを見るか」を自分で考える必要がありました。

もうひとつは、脅威モデリングワークショップの開催です。セキュリティ部門だけでなく、他部署のメンバーも巻き込んで進めたのは初めての経験でした。どう説明すると伝わるのか、どうすれば議論が進むのかを試行錯誤したのが印象に残っています。

仕事の面白さ・大変さを感じる場面を教えてください。

自分の行動が誰かの役に立ったときに面白さを感じます。実際にお礼を言ってもらえたときは素直に嬉しいですね。また、セキュリティの仕事は正解が決まっていないことも多く、「どう判断するか」を自分で考える場面が多いのも面白さのひとつだと思います。

大変さを感じるのは、緊急度の高い事案が発生したときです。
例えば、ソフトウェアサプライチェーン侵害のようなケースでは、情報を素早く集めて、その上で判断しないといけません。スピードと正確性の両方が求められるので、責任感があります。

入社してから、ご自身の中で変化はありましたか？

入社前は「セキュリティエンジニアは技術力がすべて」だと思っていました。
でも実際に働いてみると、コミュニケーションなどのソフトスキルが同じくらい重要だと気づきました。むしろ状況によっては、それ以上に大切だと感じることもあります。脆弱性を見つけても、開発チームに納得してもらって修正してもらえないと意味がありません。相手の立場を理解しながら話すことの重要性を実感しました。

改めて、事業会社で働く面白さや魅力を教えてください

一番面白いのは、設計段階から修正まで開発チームと一緒に伴走できることです。新しい技術要素やアーキテクチャが導入される際には、脆弱性診断のみではなく、設計段階でアーキテクチャ図をもとに脅威分析をして脅威やそのリスクを開発チームに伝えることもあります。また、脆弱性診断ではソースコードや仕様書がある状態で深いところまで踏み込んで調査することができ、最近ではLLMを活用した診断の効率化や精度向上にも取り組んでいます。診断して報告するだけではなく設計段階から関われるのは事業会社ならではだと感じています。また脆弱性診断のみならず、CI/CDやインフラ周りのセキュリティに関わることがあるなど、当初思っていたより守備範囲が広いのも面白いです。

フラットな文化の中で、対話しながらセキュリティをつくる

チームで働くうえで意識していることはありますか？

テキストコミュニケーションが中心なので、相手の意図を決めつけないことを意識しています。「なぜそう言っているんだろう」と一度考えてから受け止めるようにしています。言葉だけだとニュアンスが伝わりにくいこともあるので、相手の立場に立って解釈することを大切にしています。細かいところですが、サイボウズではテキストでのコミュニケーションも多いため、メッセージに「！」をつけるようにしていて、少しでも柔らかく伝わるようにしています。

サイボウズの魅力はどんなところにあると思いますか？

フラットに意見が言える文化ですね。
立場に関係なく、自分の考えを伝えられる環境があります。また、リモートワークが中心でも、雑談の時間が意識的に設けられているのも特徴的です。最初は驚きましたが、こうした時間があることで関係性が築きやすくなっていると感じています。
また、失敗を責めない文化があるのは印象的です。定期的に振り返り、建設的に議論をすることで、新しいチャレンジをしやすい環境になっていると感じています。

これから挑戦していきたいことを教えてください

AIの進化によって、セキュリティの仕事も大きく変わっていくと思っています。ただ、どんな時代でも「何かおかしい」と気づける人間の感覚は重要だと思っています。技術の変化を追いながら、自分なりの判断軸を磨いていきたいです。

対話を楽しみ、チームでより良い関係性を築ける人と働きたい

どんな人と一緒に働きたいですか？

コミュニケーションを大切にできる人ですね。
業務上のやり取りだけでなく、雑談も含めて関係性を築ける人。意見が違っても対話できるバランス感覚を持った人は、この環境で活躍できると思います。

応募を考えている方へのメッセージをお願いします

迷っているなら、ぜひインターンや会社説明会、社員面談に参加してみてください。
制度や技術の話は調べればわかりますが、チームの雰囲気や人の良さは実際に触れてみないとわからないと思います。一度体験してみるのがおすすめです。

私のオフタイム

• インタビュー内容は取材時点のものです。ご了承ください。

他の先輩社員について知る