現在、GMOペパボではセキュリティ対策室で働く仲間を積極採用中です。
今回は、室長の tamon にインタビューをしました。対象は、募集中の2つの求人です。シニアセキュリティエンジニア(Web Security) と、セキュリティ企画担当（マネージャー候補）です。詳しい仕事内容や、対策室の様子や課題、今後のビジョンを聞きました。
自己紹介
熊野 多聞（くまの たもん）
あだ名：tamon
Twitter: @mod_osho
セキュリティ対策室 室長。最近ハマっていることは、コーヒー豆の焙煎とハンドドリップ、ロードバイクのFTP/PWR向上
募集の背景と実際の業務について
今回セキュリティ対策室で、採用を始めた背景を教えてください。
tamon：まず、2018年にセキュリティ対策室を設立しました。これまでの約2年間は、問題がある箇所の穴埋めをしていました。その地ならしが済んだところで、パワーアップすべく採用を開始しました。
今回、マネージャー候補と、セキュリティエンジニアの２つの募集を行っていると思いますが、それぞれどんな仕事をお願いしたいか教えてください。
tamon：まずペパボでは事業部制で、サービスごとにエンジニアが所属しています。一方、セキュリティ対策室はサービスに所属しません。横断的に、事業部を支援・リードしています。
tamon：現在、各サービスでセキュリティ専任の担当がいません。そのため対策を推進しようと思うと、各事業部の中に入る必要があります。そして、事業部のエンジニアと協力しながら進めなくてはなりません。
そのような背景から、マネージャー候補には次のような方を求めています。つまり「サービスのセキュリティ課題を洗い出し、対策の立案・計画をたて、実施を推進できる方」です。取り組む業務と役割は、情報処理安全確保支援士の説明が参考になります。その記載をご覧いただくと、イメージしやすいでしょう。
特に「SUZURI」は、今急成長しているサービスです。同じ速さで、セキュリティ対策も必要になっています。まずは、そこの舵取りをしてくださる方を募集します。
基本的には、事業部門のエンジニアメンバーに対応を進めてもらいます。ただし、ご自身も手を動かすプレイングマネージャーとしての活躍を期待します。
なるほど、ありがとうございます。では、セキュリティエンジニアはいかがでしょうか。
tamon：まず、毎日発見される脆弱性のトリアージをお願いしたいです。どのくらいの脅威や影響があるのか。僕らのサービスはどう対処すべきなのか。そういった判断を含む、一連の流れの対応をしてもらいたいというのがまず1つです。
あと、セキュリティ対策は「組織」と「人」と「システム」それぞれに必要です。その中で、主にシステムに対してのセキュリティ対策を推進してもらいたいです。
セキュリティ対策室が抱える課題とは
現状、ぺパボもしくはセキュリティ対策室の課題はありますか。
tamon：正直、セキュリティ対策室のメンバーは室長の僕を含めて3名です。人が少ないがために、各事業部の細かいところまで目が届きづらいんですよね。シフトレフトって、ご存知ですか？
わからないです。
tamon：今までのセキュリティ対策は、後追いでした。例えば機能を開発した後に、何か問題が発見されて修正や対策をする形です。シフトレフトは、対策自体を後付けにしない考え方です。できるだけ、設計・開発段階へ前倒しして検討・予防をします。
それをするためには、早い段階での検討が必要です。「こんな機能を開発しますよ」の段階で、セキュリティ要素を考えるのです。そうすると、人が入ってセキュリティ対策の検討をする必要があります。しかし、その「人」がどうしても足りてないのが課題です。
この2年、事業部のエンジニアへセキュアコーディングなどのセキュリティに対する学習の機会を、セキュリティ対策室が中心となって推進している印象があったのですが、まだお互い理解や知識が足りていない部分があるのでしょうか。
tamon：
そうですね。コーディングをする上での、ベーシックなプラクティスがあります。それに則ってセキュアに作る手法は、全員で学び取り組んでいます。しかし、そもそも設計の段階での検討が要ります。「この機能を追加するなら、この対策も検討すべき」といった意見です。これは、セキュリティ対策室のエンジニアが提案し対策を検討すべきだと思います。
また事業部の中だけだと、前提知識ありきの検討になることもあります。新たな目で俯瞰して、セキュリティ全般を見ることも必要です。だからこそ、事業部に属さないセキュリティ対策室の視点も大事だなと思っています。
チーム構成や雰囲気、ミーティングの頻度は？
現在のチームメンバーの役割分担について教えてください。
tamon：先日、Pepabo Tech Conferenceで発表をしました。テーマは3つのCo3(Communication,Completely, Continuous)です。
tamon:この3つは、「組織」「人」「システム」にわりと紐づいています。そして、組織的なところを僕が担当しています。
具体的には、ペパボの組織としてやるべきベースラインやポリシーを決めています。また、新しい法律やガイドラインが出てきたときの検討もします。「対応すべきか・出来るか・すでに出来ているか」を考えるのです。
「人」のところは、@hiboma がやっています。社内のパートナーにセキュリティの教育をしたり、コミュニケーションを取ったりします。そうして、想定外のインシデントへの対応力を上げるのです。あわせて、それを支援する対策のツールも作っています。
「システム」のところは、@mrtc0 が担当。名前の通り、技術的なセキュリティの推進です。
チームミーティング等はどのくらいの頻度で行っているんですか。
tamon：
週1回ですね。木曜日に、1時間半程度行っています。
どのような内容を話しているのでしょうか。
tamon：
それぞれ中長期的なタスクに取り組んでいるので、それについての進捗等を確認しています。
あとミーティングの中で話しているのは、大小問わずこの1週間で起こったインシデントについて「どういうインシデントだったか」というふりかえりと、今後の対応策について話し合いをしています。
各事業部ともミーティングを行ったりしているのでしょうか。
tamon：
事業部とは、僕とCTOの @kentaro が参加して、セキュリティのキープアップミーティングを月1で行っています。そのミーティングでは各事業部1年を通してのセキュリティ対策の施策の進捗を部長と確認しています。
ペパボのセキュリティ対策室だからこそのメリット、求める人物像
ペパボのセキュリティ対策室で働くメリットを教えてください。
tamon：「ご自身の得意な領域を活かして、セキュリティ対策に従事できる」。これが、ペパボのセキュリティ対策室で働くメリットだと思います。
セキュリティと一口に言っても、すごく分野が広いです。そのため、専業・分業化している企業が多いです。
例えば、サーバーに侵入を試みるペネトレーションテストを得意とする方。脆弱性診断といって、一定の基準の中でセキュリティが担保されているかを見る人。あとは、社内の教育だとか制度を維持する方などですね。
一方ペパボでは、提供しているサービス数も多いので、幅広く関われるのが特徴です。全部をまんべんなく担当するというよりは、いろんな活躍の場があります。フィットする場所を見つけて、力を伸ばせると思っています。
また、一緒に働く事になる @hiboma はインフラや低レイヤーの知識が豊富です。@mrtc0 は、Webアプリケーション全般のセキュリティに詳しいです。2人とも非常に優秀なので、刺激を受けながら働ける点も魅力だと思います。
こんな人に入ってきて欲しいといった、求める人物像を教えてください。
tamon：スキル面では、事業にフィットした対策を考えて作れる方。もしくは、既存のツールと組み合わせて新しい仕組みを作れる人と働きたいです。
世の中にはセキュリティに特化したツールが様々あります。攻撃を擬似的に行って、脆弱性があるかを試すツールがあります。また、WAFという防御をするためのツールもあります。どちらもエンタープライズ向けの製品だと、けっこう使い方が難しかったりします。それを専門的に扱ってるスペシャリストもいます。しかし、そういったことも知りながらツールの開発ができる方が親和性が高いと思います。
なるほど。それはマネージャー候補の方にも必要なスキルなのでしょうか。
tamon：はい、マネージャー候補の方も同じです。「この製品がいいので、これで」というよりは、広い視野が必要だと思います。各事業部を横断した、セキュリティ対策を行うためです。
他には何かありますか。
tamon：
後はやっぱり、コミュニケーション力のある方です。
僕が以前、取材を受けた時にも話したことがあります。事業や開発現場に寄り添った、セキュリティ対策を提案できる人がいいなと思います。
セキュリティって、「これをやったらできる」というフォーマットはあります。しかし、スケジュールやリソースの問題で出来ないこともあります。でも「やらなきゃダメだ」じゃなくて、「やれないなら、こうしませんか」と言える方。サービスに寄り添った提案ができる方に、ぜひ来ていただきたいです。
すでに既存のセキュリティ対策室のメンバーも「ペパボにあったツールの開発」に力を入れていると思うのですが、具体的なエピソードなどあれば教えてください。
tamon：
一番は sssbot ですよね。障害が起こった際に 「@sssbot 」と発言すると自動でチャンネルが作られます。事象の共有と関係者の召集、対応マニュアルの表示などインシデント対応の初手がツールで完結します。
年に一度、全てのサービス部門で情報セキュリティインシデントの対応訓練を実施。初動では、必ずsssbotが利用されます。身近なツールとして、認知してもらいたい。ツール自体が形骸化しないように、botにある種の人格を持たせる工夫もあります。人とツールの、コミュニケーションをデザインする。そこには、ペパボっぽさがあるように感じます。先日のイベントでも、@hiboma から紹介させていただきました。気になる方は、見てみてください。（Co3で支えるペパボのセキュリティ対策 ~Communication Completely Continuous~ 32p)
絵文字リアクションで気軽に共有
tamon:また、Slackで「sss」の絵文字リアクションをすると通知が飛びます。セキュリティ対策室のメンバーが参加している、チャンネルに届く仕組みです。
インシデントの初期対応として、「情報共有」が大切になってくると考えました。そこで、リアクションで気軽に共有できる仕組みを作りました。このような気軽なアクションによって、成果が得られました。事故に繋がりそうな小さい芽を、早い段階で摘むなどです。
tamon：今取り組んでいる事例としては、「Wazuh」というシステムがあります。全サービスを横断して、それぞれのサーバーの状態を監視できるものです。これはOSSを利用するだけでなく、本体にコントリビュートもしています。OSSと、自分たちが新しく作ってる仕組みとを掛け合わせる取り組みです。
これは、事業部の方の要望を引き出しながら実装しています。「こういうことに困っているんだよね」という声です。
セキュリティ対策室の、「こうしたらいいんじゃないか」という一方的な提案ではありません。「あると嬉しい」「困っている」を、コミュニケーションで引き出して実装しています。
ありがとうございます、最後に応募者の方へメッセージお願いします。
tamon：ペパボのセキュリティ対策室は、いい意味で役割が固定化されていません。そのため、セキュリティエンジニアとして柔軟な働き方ができると思います。
僕も、「これをやりなさい」ということは全然ないです。チームメンバー等も「これが今必要だからこういうツールを作るんです」という感じ。あるいは、「これから必要になるのでこういう取り組みをするんです」という姿勢です。どんどん考えながら手を動かして、ペパボのセキュリティ対策を進めてくれています。
リアクティブなセキュリティ対策じゃなくて、プロアクティブに自分自身でセキュリティの定義を考えながら進められるところが、面白さに繋がると思うので、そこに面白さを感じる方からの応募をお待ちしています。
