Greenでセキュリティエンジニアを採る｜守る範囲と権限を書く

セキュリティエンジニアの求人は、「セキュリティ全般をお任せします」と書かれていることが少なくありません。しかし経験のある候補者にとって、この一文は守る範囲も、決める権限も分からないことを意味します。セキュリティの仕事は、何を守るのかによって必要な経験がまったく違い、さらに、対策を決めても実行させる権限がなければ成果が出ません。この記事では、Greenで中途のセキュリティエンジニアを採るときに、守る範囲と権限をどう求人票に書き、スカウトと選考にどうつなげるかを整理します。Greenは株式会社アトラエの運営する中途採用の求人サイトで、IT・Web業界の求人が多く集まります。

「セキュリティ」の中身を4つに分ける

セキュリティエンジニアと呼ばれる仕事は、守る対象によって大きく次の4つに分かれます。

一人で全部を担える人は多くありません。求人票では、中心となる領域を一つか二つに絞り、ほかの領域は「誰が担っているか」を書きます。「社内システムは情報システム部が担当し、本ポジションはプロダクト側に集中してもらう」と書けば、候補者は自分の仕事の輪郭をつかめます。

権限を書くと、候補者の判断が変わる

セキュリティの経験者が転職先を選ぶとき、守る範囲と同じくらい気にするのが権限です。指摘をしても開発の予定が優先されて対策が後回しになる、という経験を持つ人は少なくありません。求人票には、次のような点を書けると具体的になります。

• 報告先：CTO直下か、情報システム部の中か、経営直下か
• リリースへの関与：重大な脆弱性が見つかったとき、公開を止める判断に加われるか
• 予算：ツールや外部の診断を導入するとき、誰が決めるか
• 社内ルールの決定：アクセス権やパスワードの方針を、誰の承認で変えられるか

すべてを決めきれていない場合は、「入社後に一緒に決めていきたい」と書いても構いません。決めていないことを決めたように書くより、正直に書くほうが、入社後のずれが小さくなります。

エージェントベストの見解

セキュリティエンジニアの採用で、自社で持つべきなのは「何を守るか」と「誰が決めるか」の二つまでです。ここは経営と開発責任者が話し合って決めることで、外部には任せられません。一方で、それを求人票の文章にする作業、候補者を探して声をかける作業、応募が来たあとの連絡や日程の調整は、外に出せる部分です。当社がGreenの運用を代行するとき、最初の打ち合わせで守る範囲と権限について経営側の考えを聞き、それを候補者が読める言葉に直します。逆に、ここが社内で決まっていない状態で運用だけを外に出すと、求人票が「セキュリティ全般」から抜け出せず、どれだけ声をかけても話がかみ合いません。外に出す前に、社内で一時間でも話し合う時間を取ることを勧めています。

候補者を探すときの考え方

Greenには、企業と候補者が互いに「気になる」を送り合える機能や、企業から送るスカウトがあります。セキュリティを専任で担ってきた経験者は限られているため、対象を少し広げて考えることが多くなります。

1. 専任経験者：自社の中心領域と同じ領域の経験がある人。最優先で声をかける
2. 隣接職種の経験者：インフラエンジニア、バックエンドエンジニア、情報システム担当で、セキュリティ対策を兼務してきた人
3. 領域を移りたい人：運用・監視の経験者で、プロダクト側に移りたい人など

隣接職種の経験者に声をかけるときは、スカウト文面に「専任の経験がなくても、これまでの〇〇の経験を活かしてほしい」と明記します。そうしないと、候補者は「専任経験者向けの求人だ」と考えて返信を見送ります。

候補者の経歴を読むときは、資格の有無だけで判断しないようにします。資格は知識の目安にはなりますが、実際に社内の仕組みを変えた経験があるかどうかは、職務経歴の記述から読み取るほうが確かです。「アクセス権の見直しを主導した」「脆弱性の報告を受けて開発チームと修正を進めた」といった記述に注目します。

文面では、自社が今どんな状態にあるかを短く書きます。「外部認証の取得を予定している」「サービスの利用企業から確認の依頼が増えている」など、セキュリティの仕事が必要になった背景を示すと、候補者は求められている役割を想像しやすくなります。

選考の進め方

セキュリティの選考では、技術の知識に加えて、社内の人を動かしてきた経験を確かめます。セキュリティの対策は、開発者や社員に手間をかけてもらうことが多く、説明の仕方で結果が変わるからです。

• 対策を提案して、反対されたときにどう進めたか
• 事故やその兆しに対応したとき、誰とどう連携したか
• 経営層に、リスクをどう説明したか

技術面の確認では、自社に近い状況を想定した問いを一つ用意しておくと話が深まります。たとえば「新しい外部サービスを社内で使いたいと相談されたら、何を確かめてから許可するか」という問いです。確認の順番、社員の使いやすさとの折り合い、断る場合の伝え方まで聞くと、知識だけでなく、日々の判断の仕方が見えてきます。

面接にはCTOや開発責任者が入ると、権限について候補者から具体的な質問が出たときに、その場で答えられます。セキュリティの候補者は、面接官の答え方から会社の本気度を測っています。

エージェントベストの見解

求人型の媒体の運用と紹介を並行していると見えてくるのですが、セキュリティエンジニアについては、領域と立場で採り方を分けて考えることを勧めています。プロダクトセキュリティや運用・監視の担当者で、守る範囲がはっきりしている場合は、Greenのような求人型でも、隣接職種の人を含めて声をかけることで候補者に会えることがあります。一方、セキュリティ部門の責任者や、ガバナンスを一から作る立場の人は、候補者の側も慎重で、求人票では書けない社内の事情を聞いたうえで判断したいと考えます。そうした場合は、紹介で背景を口頭で伝えながら会うほうが進みやすい傾向があります。どちらか一方に決めるより、担当者は求人型、責任者は紹介、と分けて並行するのが現実的です。

まとめ

• セキュリティの仕事は、プロダクト・社内環境・運用監視・ガバナンスで中身が違う。中心領域を絞って書く
• 報告先、リリースへの関与、予算、社内ルールの決定権など、権限を書くと候補者の判断が変わる
• 守る範囲と権限は社内で決め、文章化や候補者探しは外に出せる
• 専任経験者に加え、インフラや情報システムで兼務してきた人にも声をかける
• 選考では、社内の人を動かしてきた経験を確かめる

よくある質問

セキュリティの経験が浅い人を採って育てることはできますか

社内に指導できる人がいれば可能です。一人目の担当者を経験の浅い人にする場合は、外部の診断会社や相談先を確保しておくと、本人が孤立しにくくなります。求人票にもその体制を書いておくと、候補者が安心して応募できます。

情報システム担当とセキュリティ担当を一人に兼ねてもらうのは無理がありますか

会社の規模によっては現実的な選択です。その場合は、時間の配分の目安を求人票に書きます。兼務の比重が分からないと、どちらの経験者からも「自分が主に何をするのか」が読み取れません。

守秘の観点から、求人票に社内の状況をどこまで書いてよいですか

具体的な構成や弱点は書かず、「外部認証の取得を予定している」「開発チームへの助言の体制を整えたい」といった方向性にとどめます。詳しい状況は面接の場で、必要に応じて秘密保持の取り決めをしたうえで伝えます。