セキュリティエンジニア（プロダクト・データ保護／AI活用推進）

セキュリティエンジニア（プロダクト・データ保護／AI活用推進）

仕事概要

# 仕事概要
VCスタートアップ健康保険組合とそのグループ法人では、健保事務・審査業務の抜本的な自動化・AI利活用を最優先テーマとして推進しています。一方で当組合が扱うデータは、レセプト（診療報酬明細書）・健診結果・給付申請情報など、個人情報保護法上の「要配慮個人情報」や特定個人情報（マイナンバー）を多く含み、一般的な企業以上に慎重な取扱いが求められます。

本ポジションは、プロダクト開発チーム・オペレーションチームが進める自動化・AI活用を、セキュリティとデータ保護の観点から「安全に前へ進める」ことを目的に新設します。プロダクトの構造を理解したエンジニアとして開発の現場に入り、必要な場面での適切なブレーキと、前に進めるための具体的な手立て（仕組み・実装）の両方を提供していただきます。

経営陣・外部専門家と連携しながら、技術面の評価・設計・実装・検証を中心に担います。
※保険業界・健康保険業界での経験は不問です。


# ミッション
AI活用・自動化のスピードを落とさずに、医療情報を含むデータが「どこにあり、誰が、何の目的でアクセスし、どこへ流れるのか」を技術的に把握・統制できている状態をつくることを目指します。
そのために、会社・事業フェーズに応じてリスクの大きいところから優先度をつけ、自ら手を動かして対策を実装していただきます。具体的には以下のような業務を想定します。

### AI活用・自動化案件のセキュリティ／データ保護支援
・AI活用・業務自動化案件への企画段階からの参画と、データ利用のリスク評価（どのデータを、どのモデル・外部サービスに渡すか／学習利用・保存・越境の有無 等）
・LLMを組み込んだ機能・業務フローのリスク評価と対策（プロンプトインジェクション、情報漏えい、出力誤りが審査業務に与える影響の評価と人による確認工程の設計 等）
・AIサービス・SaaS・外部APIの技術的評価（データ取扱い条件、認証方式、ログ、リージョン 等）
・マスキング・仮名化・最小権限化など、AIに渡すデータを安全にする仕組みの設計・実装支援
・生成AI業務利用ガイドラインを「実際に守れる」ようにする技術的な仕組みの提供

### プロダクト・システムのセキュリティ評価と改善
・プロダクト（加入者・事業所向けサービス、社内業務システム）のアーキテクチャ・データフローの把握と、脅威モデリングに基づくリスク評価
・設計レビュー・コードレビューへのセキュリティ観点での参加、セキュアな実装方針の提示
・脆弱性診断（自社での簡易診断、外部診断の企画・発注・結果評価）と修正の優先度付け・フォロー
・依存ライブラリ等の脆弱性管理、CI/CDへのセキュリティチェックの組込み

### データ保護基盤・アクセス管理
・要配慮個人情報・特定個人情報の所在と分類の整理（データインベントリの整備）
・クラウド環境・DB・社内システムにおける権限設計、アクセスログ取得・監査の仕組みづくり
・暗号化・鍵管理・バックアップ、開発／検証環境での本番データ取扱いルールの実装
・基幹システムや専用系システムとの連携部分における接続境界の安全管理【要確認：担当範囲】

### 監視・インシデント対応（技術面）
・セキュリティログ・アラートの監視設計と検出ロジックのチューニング
・インシデント発生時の技術的な調査・封じ込め・復旧、および再発防止策の実装
・インシデント対応フローの技術手順化と訓練の実施

### ガバナンスとの連携・社内への浸透
・情報セキュリティ責任者（候補）と連携した、規程・ISMS/PMS要求事項の技術的な実装と証跡整備
・外部監査、加入事業所・委託先からのセキュリティチェックシート等への技術面の回答
・開発メンバー・オペレーションメンバー向けのセキュリティ教育、日常的な相談窓口
・技術面のセキュリティロードマップの提案と、フェーズごとの優先度の見直し

※社内IT・端末管理（MDM/EDR、ヘルプデスク等）は情報システム担当・情報セキュリティ・コーポレート部門が主担当とし、本ポジションは必要に応じて技術支援を行います。

### 使用ツール
・Slack
・Google Workspace
・ChatGPT等の生成AIツール
・基幹システム ユニバーサルビジネスソリューションズ社のKW-21、KW-21 Connect、DWF（連携・データの流れの理解）
・中間サーバー（統合専用端末）

### ポジションの魅力
・健保事務・審査業務の自動化・AI活用という業界でも前例の少ない取り組みに、「守り」の設計者として企画段階から関わることができます。

・要配慮個人情報を扱う環境で、法令・ガイドラインの理解と技術実装の両方を磨きながら、セキュリティエンジニアとしての専門性を高めることができます。

・セキュリティの仕組みがまだ立ち上げ段階にあるため、フェーズに合わせた優先度判断から実装・運用まで、一貫して自らの手で形にできる裁量があります。

・制度・業務・システムが密接に関わる領域であるため、「機能を作ること」自体ではなく、「誰のどの課題を解決するのか」を本質的に考えながらプロダクトづくりに向き合える環境があります。

・プロダクトチームだけで閉じず、健保のオペレーションチームと日常的に連携しながら開発を進めているため、日々運用を担う現場メンバーも含めたユーザー体験の向上に携わることができます。

・健康保険という社会インフラに近い領域を扱っているため、日々の改善が、健康保険の加入者・企業の担当者・運用現場それぞれの負担軽減や安心感につながりやすく、社会的意義を実感しやすい環境です。

必須スキル

# 仕事概要
VCスタートアップ健康保険組合とそのグループ法人では、健保事務・審査業務の抜本的な自動化・AI利活用を最優先テーマとして推進しています。一方で当組合が扱うデータは、レセプト（診療報酬明細書）・健診結果・給付申請情報など、個人情報保護法上の「要配慮個人情報」や特定個人情報（マイナンバー）を多く含み、一般的な企業以上に慎重な取扱いが求められます。

本ポジションは、プロダクト開発チーム・オペレーションチームが進める自動化・AI活用を、セキュリティとデータ保護の観点から「安全に前へ進める」ことを目的に新設します。プロダクトの構造を理解したエンジニアとして開発の現場に入り、必要な場面での適切なブレーキと、前に進めるための具体的な手立て（仕組み・実装）の両方を提供していただきます。

経営陣・外部専門家と連携しながら、技術面の評価・設計・実装・検証を中心に担います。
※保険業界・健康保険業界での経験は不問です。


# ミッション
AI活用・自動化のスピードを落とさずに、医療情報を含むデータが「どこにあり、誰が、何の目的でアクセスし、どこへ流れるのか」を技術的に把握・統制できている状態をつくることを目指します。
そのために、会社・事業フェーズに応じてリスクの大きいところから優先度をつけ、自ら手を動かして対策を実装していただきます。具体的には以下のような業務を想定します。

### AI活用・自動化案件のセキュリティ／データ保護支援
・AI活用・業務自動化案件への企画段階からの参画と、データ利用のリスク評価（どのデータを、どのモデル・外部サービスに渡すか／学習利用・保存・越境の有無 等）
・LLMを組み込んだ機能・業務フローのリスク評価と対策（プロンプトインジェクション、情報漏えい、出力誤りが審査業務に与える影響の評価と人による確認工程の設計 等）
・AIサービス・SaaS・外部APIの技術的評価（データ取扱い条件、認証方式、ログ、リージョン 等）
・マスキング・仮名化・最小権限化など、AIに渡すデータを安全にする仕組みの設計・実装支援
・生成AI業務利用ガイドラインを「実際に守れる」ようにする技術的な仕組みの提供

### プロダクト・システムのセキュリティ評価と改善
・プロダクト（加入者・事業所向けサービス、社内業務システム）のアーキテクチャ・データフローの把握と、脅威モデリングに基づくリスク評価
・設計レビュー・コードレビューへのセキュリティ観点での参加、セキュアな実装方針の提示
・脆弱性診断（自社での簡易診断、外部診断の企画・発注・結果評価）と修正の優先度付け・フォロー
・依存ライブラリ等の脆弱性管理、CI/CDへのセキュリティチェックの組込み

### データ保護基盤・アクセス管理
・要配慮個人情報・特定個人情報の所在と分類の整理（データインベントリの整備）
・クラウド環境・DB・社内システムにおける権限設計、アクセスログ取得・監査の仕組みづくり
・暗号化・鍵管理・バックアップ、開発／検証環境での本番データ取扱いルールの実装
・基幹システムや専用系システムとの連携部分における接続境界の安全管理【要確認：担当範囲】

### 監視・インシデント対応（技術面）
・セキュリティログ・アラートの監視設計と検出ロジックのチューニング
・インシデント発生時の技術的な調査・封じ込め・復旧、および再発防止策の実装
・インシデント対応フローの技術手順化と訓練の実施

### ガバナンスとの連携・社内への浸透
・情報セキュリティ責任者（候補）と連携した、規程・ISMS/PMS要求事項の技術的な実装と証跡整備
・外部監査、加入事業所・委託先からのセキュリティチェックシート等への技術面の回答
・開発メンバー・オペレーションメンバー向けのセキュリティ教育、日常的な相談窓口
・技術面のセキュリティロードマップの提案と、フェーズごとの優先度の見直し

※社内IT・端末管理（MDM/EDR、ヘルプデスク等）は情報システム担当・情報セキュリティ・コーポレート部門が主担当とし、本ポジションは必要に応じて技術支援を行います。

### 使用ツール
・Slack
・Google Workspace
・ChatGPT等の生成AIツール
・基幹システム ユニバーサルビジネスソリューションズ社のKW-21、KW-21 Connect、DWF（連携・データの流れの理解）
・中間サーバー（統合専用端末）

### ポジションの魅力
・健保事務・審査業務の自動化・AI活用という業界でも前例の少ない取り組みに、「守り」の設計者として企画段階から関わることができます。

・要配慮個人情報を扱う環境で、法令・ガイドラインの理解と技術実装の両方を磨きながら、セキュリティエンジニアとしての専門性を高めることができます。

・セキュリティの仕組みがまだ立ち上げ段階にあるため、フェーズに合わせた優先度判断から実装・運用まで、一貫して自らの手で形にできる裁量があります。

・制度・業務・システムが密接に関わる領域であるため、「機能を作ること」自体ではなく、「誰のどの課題を解決するのか」を本質的に考えながらプロダクトづくりに向き合える環境があります。

・プロダクトチームだけで閉じず、健保のオペレーションチームと日常的に連携しながら開発を進めているため、日々運用を担う現場メンバーも含めたユーザー体験の向上に携わることができます。

・健康保険という社会インフラに近い領域を扱っているため、日々の改善が、健康保険の加入者・企業の担当者・運用現場それぞれの負担軽減や安心感につながりやすく、社会的意義を実感しやすい環境です。

歓迎スキル

・OWASP Top 10 等の代表的な脆弱性の仕組みを理解し、コードや設計を読んでリスクを指摘・改善提案できる方
・脆弱性診断・ペネトレーションテストの実務経験、またはCTF・バグバウンティ等での実績
・LLM・生成AIを組み込んだアプリケーションの開発経験、またはそのセキュリティ評価経験（OWASP Top 10 for LLM Applications 等の知見）
・医療・金融・公共など、規制の厳しい領域でのシステム開発・運用経験
・個人情報保護法（要配慮個人情報、仮名加工情報等）や、医療情報の安全管理に関する各種ガイドライン（厚生労働省「医療情報システムの安全管理に関するガイドライン」等）の知識
・匿名化・仮名化などのプライバシー保護技術の知見
・SIEM・ログ基盤の構築、検出ルール作成、脅威分析やハンティングの経験
・IaC（Terraform等）や、CI/CDへのセキュリティツール（SAST/DAST/SCA等）組込みの経験
・ISMS/PMS等の認証取得・運用における技術面の対応経験
・情報処理安全確保支援士、OSCP、クラウド事業者のセキュリティ系資格等
・スタートアップに関心のある方

求める人物像

・AI活用を「止める人」ではなく、「安全に進めるために必要なことを示し、自ら実現できる人」
・実行者の意図や背景を理解したうえで、必要な場面では根拠をもって適切にブレーキをかけられる方
・完璧さよりもリスクの大きさを基準に、会社・事業のフェーズに応じた優先度判断ができる方
・未経験の領域でも自ら手を動かして学び、キャッチアップできる基礎学力と主体性をお持ちの方
・個人情報の保護や医療・健康の領域に関心があり、加入者の信頼を守ることにやりがいを感じる方
・医療財源の課題を解決し、社会へ貢献することにやりがいを感じる方

応募概要

給与

700~1,500万円
その他、経験に応じて応相談。

・給与改定：年2回（4月と10月）
・賞与：年2回（1回1か月分：4月と10月）
・通勤手当：実費支給（月4万円上限）

勤務地

在宅勤務でも問題ありませんが、出社が必要な際には出社をお願いしています。

・所在地：東京都港区三田1-4-28 三田国際ビル6階
・最寄駅：
　都営大江戸線「赤羽橋駅」徒歩3分
　都営三田線「芝公園駅」徒歩7分

※勤務地の変更範囲の制限なし

雇用形態

正社員

勤務体系

■勤務時間
・固定時間制：平日 9時～18時（うち1時間休憩）
・休日：完全週休2日制（土日祝）

■休暇・休日
・有給休暇（法定通り）
・土日祝休み
・年末年始休暇（12/29～1/3）
・夏季休暇（3日間）
・慶弔休暇

試用期間

あり/3か月（試用期間中の労働条件：同条件）

福利厚生

・社会保険完備（健康保険・厚生年金保険・雇用保険・労災保険）
・研修・スキルアップ支援制度
・スタートアップ・VC業界のネットワーキング機会
・健康保険組合が提供する、不妊治療補助やジム割引、保養所利用など