エンジニアラダー

← 職種一覧

セキュリティエンジニア

Security Engineer

Product / Cloud・Infrastructure / SecOps をトラックとして内包する職種。AI Security は L3 以上の分岐として急拡大中。

別名・近接タイトル: Product Security Engineer / Application Security Engineer / Cloud Security Engineer / AI Security Engineer

トラック: Product Security / Cloud / Infrastructure Security / Security Operations / AI Security

セルフチェックをする →

レベル × 評価軸マトリクス

← 横にスクロールして各レベルを比較できます →
評価軸L1Associate / ジュニアL2Engineer / ミドルL3SeniorL4StaffL5Principal
技術力

SIEM・XDRのアラート監視、手順書に沿った一次トリアージ（真陽性・偽陽性の切り分け）、定期的な脆弱性スキャンを正確に行える。

実運用ルーブリック
推奨行動 (Do)
  • トリアージ手順書に沿ってSIEM/XDRアラートの真偽判定と初期調査を正確に行う
  • 不審なIPやドメイン、ハッシュ値のレピュテーション確認結果を漏れなく記録する
  • 定期脆弱性スキャンを決められたスケジュールで実行し、エラーなく完了させる
注意・アンチパターン (Don't)
  • 手順書をスキップし自己判断でアラートを「偽陽性」としてクローズする
  • 生ログやスクリーンショットなどの客観的エビデンスを添付せずにトリアージ結果を報告する
成果物・エビデンス例
  • トリアージ完了チケット
  • 初期インシデント調査票
  • 定期脆弱性スキャン実行・確認ログ

Tier 1からエスカレーションされたインシデントの深掘り調査（フォレンジック、パケット解析）、クラウドセキュリティ設定（IAM、セキュリティグループ）の安全な実装ができる。

実運用ルーブリック
推奨行動 (Do)
  • EDRのプロセスツリー追跡、ディスク/メモリのフォレンジック、パケット解析を行い侵入経路と影響範囲を特定する
  • AWS/GCP/AzureのIAMポリシー、S3/GCS公開設定、セキュリティグループを最小権限（Least Privilege）の原則で安全に構成・監査する
注意・アンチパターン (Don't)
  • プロセスツリーを追わずに感染端末の特定プロセスを停止しただけで調査を完了とする
  • インフラ構築でデバッグ目的のままフルアクセス（`*`）権限や全開放セキュリティグループを放置する
成果物・エビデンス例
  • インシデント深掘り調査レポート（タイムライン付き）
  • Terraform IAM/クラウド設定修正PR
  • EDR調査クエリ・分析ログ

複雑なシステムの脅威モデリング、ソースコード監査、およびCI/CDへのセキュリティツール（SAST/DAST/SCA/シークレットスキャン）の自動組み込みを設計・実装できる。

実運用ルーブリック
推奨行動 (Do)
  • CI/CDパイプラインにSAST/DAST/SCA/Secret Detectionをノイズ（偽陽性）を最小化した形で統合・運用する
  • カスタム静的解析ルール（SemgrepルールやCodeQLクエリ等）を自作し、自社特有の脆弱性パターンを自動検知する
  • 複雑な認証・認可フロー（OAuth/OIDC/SAML、RBAC/ABAC）のセキュリティ監査を自律して完遂する
注意・アンチパターン (Don't)
  • 大量の偽陽性を吐き出すスキャナーをパイプラインにそのまま導入し、開発者のビルドを頻繁にブロックして形骸化させる
  • ツールの導入だけで満足し、検知された脆弱性の修正率やMTTRを追跡しない
成果物・エビデンス例
  • CI/CDセキュリティ統合パイプライン設定（GitHub Actions/GitLab CI）
  • 自作Semgrep/CodeQLルールファイル
  • 高難度セキュリティ監査レポート

脆弱性のクラスそのものを丸ごと根絶するガードレール（Paved Road: 安全なフレームワーク、セキュアなコンポーネントライブラリ、自動修正PR）を組織に導入する。

実運用ルーブリック
推奨行動 (Do)
  • SQLインジェクションやXSS、SSRFなどの脆弱性クラスを根本から発生不能にするPaved Road（安全なデフォルトフレームワーク）を組織に確立する
  • 全社的なSBOM（ソフトウェア部品表）管理やDependabot/Renovateによる自動パッチ適用パイプラインを構築・自動化する
  • クラウドインフラのPolicy as Code（OPA/Sentinel）を整備し、安全でない設定のデプロイをCIで自動遮断する
注意・アンチパターン (Don't)
  • 個々の脆弱性のモグラ叩きに終始し、脆弱性クラスを絶滅させる仕組み作りに投資しない
  • 開発者の使い勝手を無視した厳格すぎるPaved Roadを強要し、開発者がバイパスする抜け穴を作らせる
成果物・エビデンス例
  • 全社Paved Roadフレームワーク・ライブラリ
  • Policy as Code（Rego等）ルールリポジトリ
  • 自動修正BotによるPR自動生成・マージ実績

3〜5年先を見据えた全社セキュリティアーキテクチャ戦略を描き、ゼロトラスト完全移行や不可逆な暗号基盤刷新など、全社セキュリティの賭けの成否に責任を持つ。

実運用ルーブリック
推奨行動 (Do)
  • 境界防御の完全撤廃とゼロトラストネットワークアーキテクチャ（BeyondCorpモデル等）への全社移行を完遂する
  • ポスト量子暗号（PQC）へのマイグレーション計画や、全社IDフェデレーションの刷新など不可逆な高難度アーキテクチャ刷新を設計・指揮する
注意・アンチパターン (Don't)
  • 場当たり的なセキュリティアプライアンス製品のパッチワークで複雑性を極限まで増大させ、運用破綻を招く
  • 将来の技術パラダイム（量子コンピュータ、自律型AI）を見誤った陳腐なセキュリティ基盤に莫大な投資を行う
成果物・エビデンス例
  • 全社ゼロトラストアーキテクチャグランドデザイン
  • ポスト量子暗号対応ロードマップ
  • 基幹暗号/ID基盤刷新の設計・移行完了実績
スコープと影響

個別のセキュリティアラートや従業員からの不審メール報告チケットを、SLAを守って迅速に対応・エスカレーションする。

実運用ルーブリック
推奨行動 (Do)
  • 定められたSLA（例: 高重要度アラートは15分以内一次着手）を厳守して対応する
  • 急増したフィッシングメールの文面や送信元を速やかに集約し注意喚起に繋げる
注意・アンチパターン (Don't)
  • 未トリアージのアラートを未着手のまま放置しSLAを超過させる
  • アラート数が多くなった際に上位者への連絡なしに自己判断で対応を後回しにする
成果物・エビデンス例
  • アラート対応SLA達成率ダッシュボード
  • 不審メール報告対応チケット履歴
  • 初期エスカレーション通知

1つのプロダクトやクラウド環境の脆弱性診断・リスク評価を担当し、修正ガイダンスを開発チームに提供してリスクを低減させる。

実運用ルーブリック
推奨行動 (Do)
  • 脆弱性スキャンや手動ペネトレーションテストを実施し、PoC（概念実証）とともに実効的な修正コード案を開発チームに提示する
  • CVSSスコアを機械的に適用するだけでなく、実際の攻撃経路や保護資産を考慮したリスク度を提示する
注意・アンチパターン (Don't)
  • スキャンツールの生ログや英文レポートをそのまま投げて開発チームに丸投げする
  • 重大脆弱性の指摘のみに留まり、開発チームの修正完了までフォローアップしない
成果物・エビデンス例
  • 脆弱性診断報告書（具体的な修正コード提案付き）
  • 開発チーム向け修正Issue/PR
  • 是正完了（Remediation）確認エビデンス

プロダクト・ドメイン単位のセキュリティポスチャに責任を持ち、重要リリースのセキュリティサインオフをリードする。

実運用ルーブリック
推奨行動 (Do)
  • 担当ドメインのセキュリティポスチャ（脆弱性残存数、MTTR、セキュリティカバレッジ）を継続的に改善する
  • 重要プロダクトのメジャーリリースにおいて、網羅的なセキュリティレビューとリスク評価を行いサインオフを実施する
注意・アンチパターン (Don't)
  • リリース直前の最終段階で突然現れて重大な設計問題を指摘し、リリース遅延の混乱を招く（Shift-Leftの失敗）
  • リスクの大きさを検証せずに形式的なサインオフを行い、直後に致命的な脆弱性を本番流出させる
成果物・エビデンス例
  • 重要機能のセキュリティサインオフドキュメント
  • ドメインセキュリティポスチャダッシュボード
  • 脆弱性是正期間（MTTR）短縮の実績データ

開発組織全体のSDLC（ソフトウェア開発ライフサイクル）へのセキュリティ統合を主導し、全社的な脆弱性滞留時間を劇的に短縮する。

実運用ルーブリック
推奨行動 (Do)
  • 全社数千リポジトリ規模のセキュリティヘルススコアを可視化し、全社の脆弱性滞留時間（MTTR）を数十%単位で短縮する
  • SOC 2、ISO 27001、PCI-DSSなどの全社的コンプライアンス監査対応を技術的に主導し、監査コストと是正工数を半減させる
注意・アンチパターン (Don't)
  • 指標の改善のみを追い、開発組織全体のデリバリーベロシティを著しく低下させる
  • コンプライアンスのチェックボックスを埋めるためだけの形骸化したセキュリティ施策を推進する
成果物・エビデンス例
  • 全社セキュリティヘルスダッシュボード
  • 脆弱性滞留時間（MTTR）の劇的削減レポート
  • 外部セキュリティ監査・認証取得の成功実績

会社の存続を脅かす壊滅的インシデント（大規模顧客データ流出、基幹システムのランサムウェア被害等）を構造的・多層的に排除し、事業継続性を担保する。

実運用ルーブリック
推奨行動 (Do)
  • 最悪の侵害（内部不正、特権管理者侵害、サプライチェーン全滅）を前提とした多層防衛と迅速な事業復旧能力（レジリエンス）を組織に確立する
  • 全社規模のRed Team演習（想定攻撃シナリオ）を主導し、検知から封じ込めまでの実効的な防衛体制を証明する
注意・アンチパターン (Don't)
  • 「絶対に侵入されない」という非現実的な前提に立ち、侵入後の横展開検知やデータ暗号化などの多層防御を怠る
  • 事業の成長速度を過度に阻害し、競合他社に遅れを取るような過剰規制を会社に強いる
成果物・エビデンス例
  • 全社Red Team演習結果とレジリエンス評価報告書
  • 壊滅的インシデント発生ゼロの継続実績
  • 事業継続計画（BCP）セキュリティ監査承認
自律性

定められた手順とインシデントハンドリング規程を厳格に遵守し、判断がつかない事象は速やかに上位アナリストに報告できる。

実運用ルーブリック
推奨行動 (Do)
  • 社内のインシデント対応規程と情報管理規律を厳格に遵守する
  • 手順書に記載のない未知のアラートや怪しい挙動は独断せず、即座にTier 2以上へエスカレーションする
注意・アンチパターン (Don't)
  • 「たぶん大丈夫だろう」とグレーなアラートを握りつぶす
  • 規程で定められた証跡保全（フォレンジック用メモリダンプ等）の前に端末を再起動・消去する
成果物・エビデンス例
  • Tier 2へのエスカレーション起票ログ
  • インシデント初動対応チェックリスト署名

担当システムのセキュリティアラートの重要度を自ら評価し、緊急パッチ適用やアカウント停止などの一次措置を判断できる。

実運用ルーブリック
推奨行動 (Do)
  • 重大侵害の兆候を検知した際、権限の範囲内で侵害アカウントの停止や感染端末のネットワーク隔離を迅速に判断・実行する
  • 脆弱性パッチ適用の緊急度を自ら判断し、開発チームへの緊急依頼をリードする
注意・アンチパターン (Don't)
  • 緊急措置が必要な明白な侵害において、上長承認待ちで初動を遅らせ被害を拡大させる
  • 事業への影響を全く考慮せずに無関係な基幹サービスを停止させる
成果物・エビデンス例
  • 緊急隔離・アカウント停止アクションログ
  • 緊急パッチ適用依頼チケット
  • インシデントタイムライン記録

リスクベース（脅威の現実性と事業影響度）で脆弱性対応の優先順位を主導し、セキュリティと開発生産性のトレードオフをバランスさせる。

実運用ルーブリック
推奨行動 (Do)
  • CVSSスコアに依存せず、EPSS（悪用予測スコア）や資産の公開状況、ビジネス影響度を加味した現実的なトリアージ基準を策定・運用する
  • リスク受容（Risk Acceptance）が必要な場合、緩和策と期限を明確にした上で適切な権限者の合意を取り付ける
注意・アンチパターン (Don't)
  • 「理論上存在するが実質攻撃不可能な脆弱性」に最高優先度をつけ、開発チームの重要機能デリバリーを無闇に止める
  • ビジネスの締め切りに押されてセキュリティリスクを曖昧なまま黙認・放置する
成果物・エビデンス例
  • 脆弱性トリアージ判断マトリクス
  • リスク受容申請・承認レコード
  • 優先順位付けに基づくセキュリティバックログ

全社のセキュリティプログラム（製品セキュリティ、クラウド基盤、サプライチェーン/SBOM）の優先順位を策定し、経営層に説明責任を果たす。

実運用ルーブリック
推奨行動 (Do)
  • 製品セキュリティ、インフラ、コーポレート、サプライチェーンを網羅する全社セキュリティロードマップを策定・推進する
  • セキュリティリスクの金銭的・事業的影響を定量化（FAIR手法等）し、役員会やCTOに対してセキュリティ投資の妥当性を説明する
注意・アンチパターン (Don't)
  • 抽象的な恐怖心（FUD: Fear, Uncertainty, Doubt）のみを煽って予算を獲得しようとする
  • インシデント発生時に自チームの防衛に走り、他チームへの責任転嫁を行う
成果物・エビデンス例
  • 全社セキュリティ戦略ロードマップ
  • 経営陣（Executive/Board）向けセキュリティポスチャ報告資料
  • セキュリティ年間予算・投資計画書

会社レベルの致命的セキュリティリスクと事業成長のトレードオフについて、経営陣（CEO/CTO/Board）と直接対話し、全社セキュリティの最高責任を引き受ける。

実運用ルーブリック
推奨行動 (Do)
  • 取締役会（Board of Directors）やCEOに対して、全社のサイバーリスクプロファイルを経営言語（事業継続、法的責任、企業価値）で直接報告する
  • 事業買収（M&A）やグローバル展開に伴う重大なセキュリティデューデリジェンスをリードし、会社全体のセキュリティリスクに最終責任を負う
注意・アンチパターン (Don't)
  • 重大なインシデントやリスクの存在を経営層に隠蔽・過小報告する
  • インシデント発生時に現場や開発チームに全責任を押し付け、自身のガバナンス責任を逃れる
成果物・エビデンス例
  • 取締役会向けセキュリティリスク評価報告書
  • M&Aセキュリティデューデリジェンス評価書
  • 全社セキュリティリスク受容の最終意思決定記録
協働とコミュニケーション

インシデントの初期情報（発生時刻、対象端末、通信先ログ等）を整理し、関係者に正確かつ冷静にテキストで報告できる。

実運用ルーブリック
推奨行動 (Do)
  • 5W1H（いつ、誰の端末で、何が検知され、どんな通信が発生したか）を簡潔明瞭にチャットやチケットに記載する
  • 問い合わせをしてきた従業員に対して安心感を与えつつ、丁寧かつ的確な初期指示（ネットワーク切断等）を出す
注意・アンチパターン (Don't)
  • 確定していない推測情報を事実であるかのように過度に煽って報告しチームを混乱させる
  • 専門用語を並べ立てて一般従業員とのコミュニケーションを停滞させる
成果物・エビデンス例
  • インシデント初動連絡Slack/Teamsログ
  • 従業員向け対応ガイダンス送信履歴

開発チームと密に連携し、単に危険と指摘するだけでなく、実現可能で摩擦の少ない具体的なコード修正案を提示する。

実運用ルーブリック
推奨行動 (Do)
  • 開発者の文脈（フレームワーク、開発言語、リリースサイクル）を理解した上で、最も修正コストの低いセキュアな実装方法を提案する
  • 「セキュリティゲートキーパー（警察）」ではなく「セキュリティアドバイザー」として協調的なトーンで議論する
注意・アンチパターン (Don't)
  • 「規程だから直せ」とだけ言い放ち開発者との対話を拒絶する
  • 開発者の質問に対して曖昧な回答で濁し修正を停滞させる
成果物・エビデンス例
  • GitHub PR上の建設的なセキュリティレビューコメント
  • 開発チームとのセキュリティ相談スレッド
  • RFCへのセキュリティアドバイス履歴

開発チームと設計段階から協働（Shift-Left）し、セキュリティ要件をプロダクト要求仕様書に組み込ませる合意形成をリードする。

実運用ルーブリック
推奨行動 (Do)
  • PRDやRFCの策定初期フェーズからプロダクトマネージャーやテックリードと協働し、セキュリティ非機能要件を自然に要件に組み込む
  • セキュリティレビューを開発プロセスの標準ステップとして開発チームに歓迎される形で定着させる
注意・アンチパターン (Don't)
  • 開発プロセスから孤立し、外部の監査機関のように振る舞って開発チームから敬遠される
  • 開発者からのセキュリティ相談を放置し、相談しづらい雰囲気を作る
成果物・エビデンス例
  • プロダクトRFCへの共同執筆・レビュー履歴
  • Shift-Leftセキュリティ推進ガイドライン
  • 開発チームからのピアフィードバック

プラットフォーム、プロダクト開発、法務、コンプライアンスの各部門を横断してセキュリティアーキテクチャの全社合意を形成する。

実運用ルーブリック
推奨行動 (Do)
  • 開発、プラットフォーム、法務、情シス、監査部門のステークホルダーを巻き込んだセキュリティ委員会をリードし、全社規程・アーキテクチャの合意を形成する
  • 「セキュリティチャンピオン制度」を全社展開し、各プロダクトチームに自律的なセキュリティアンバサダーを育成・配置する
注意・アンチパターン (Don't)
  • 他部門の業務実態や制約を無視した一方的なポリシー策定を行い、組織的な反発やシャドーITの横行を招く
  • 情報共有を秘密主義にし、他部門からの相談窓口を閉ざす
成果物・エビデンス例
  • 全社セキュリティポリシー・スタンダード文書
  • 全社セキュリティチャンピオンプログラム運用実績
  • 部門横断セキュリティイニシアチブの合意文書

経営陣のセキュリティ参謀として対話し、重大インシデント発生時には経営・広報・法務と一体となって対外説明と収束を指揮する。

実運用ルーブリック
推奨行動 (Do)
  • 重大インシデント発生時（クライシス時）において、CEO、法務、広報、規制当局と一体となり、技術調査・対外説明・被害者対応を最高指揮官として統率する
  • 平時より公的機関（JPCERT/CC、IPA等）や業界セキュリティアライアンスとの強力なリレーションを構築・維持する
注意・アンチパターン (Don't)
  • クライシス対応において技術的詳細に閉じこもり、社会的・法的責任や株主・顧客への影響を軽視した言動を取る
  • 対外開示において不正確な情報を発信し、企業の信用をさらに失墜させる
成果物・エビデンス例
  • 全社クライシスマネジメント規程・演習記録
  • 重大インシデント対外開示レビュー・指揮実績
  • 業界セキュリティ連携・コミュニティ貢献記録
人を伸ばす

日々の運用で見つけた誤検知パターンやログの不備をチームに共有し、監視ルールのチューニングに貢献する。

実運用ルーブリック
推奨行動 (Do)
  • SIEMアラート監視で頻発する誤検知（FP）の根本原因を調査し、除外条件やチューニング案をチームに提案する
  • ログの欠落やフォーマット異常を発見し、ログ収集パイプラインの改善に繋げる
注意・アンチパターン (Don't)
  • 誤検知アラートを黙ってクローズするだけで、ルール改善のフィードバックを行わない
  • 不備のあるログを放置し、いざという時のフォレンジックを不可能にする
成果物・エビデンス例
  • SIEM検知ルール改善提案チケット
  • 誤検知パターン分析メモ
  • ログ収集設定改善PR

開発者向けのセキュアコーディングガイドラインの作成や、新メンバーへのトリアージ手順の指導を担当する。

実運用ルーブリック
推奨行動 (Do)
  • 自社プロダクトの言語・フレームワークに合わせた実践的なセキュアコーディングガイドを執筆・更新する
  • 新任のセキュリティアナリストに対してアラートトリアージや初動対応の手順を実践形式で教える
注意・アンチパターン (Don't)
  • 一般的なOWASPガイドをそのまま転載するだけで、自社固有の実装例を示さない
  • 新メンバーに手順の背景を教えず、マニュアル通りの機械的作業だけを強いる
成果物・エビデンス例
  • 社内セキュアコーディングガイドライン
  • 新任セキュリティアナリストOJTチェックリスト
  • 社内セキュリティ勉強会マテリアル

セキュリティチャンピオン制度の運営や開発者向けトレーニングを通じて、開発組織全体のセキュリティリテラシーを引き上げる。

実運用ルーブリック
推奨行動 (Do)
  • 各開発チームのセキュリティチャンピオン向けに月次ワークショップやハンズオン演習（CTF等）を企画・運営する
  • 開発者がセキュリティ上の疑問を気軽に相談できるオープンなOffice Hoursを主催する
注意・アンチパターン (Don't)
  • セキュリティチャンピオンに名ばかりの肩書きと重責だけを与え、適切な教育や評価を行わない
  • セキュリティを秘密主義にし、開発組織との間に壁を作る
成果物・エビデンス例
  • セキュリティチャンピオン制度運営記録・教材
  • 社内CTFイベント開催実績
  • セキュリティOffice Hours相談ログ

複数チームのセキュリティエンジニアをメンタリングし、組織のセキュリティ人材採用基準やキャリア形成をリードする。

実運用ルーブリック
推奨行動 (Do)
  • 複数チームのセキュリティエンジニアをメンタリングし、高度な技術領域（クラウドセキュリティ、AppSec、レッドチーム等）の専門性を伸長させる
  • 全社のセキュリティ人材採用基準や技術課題を策定し、競争力のあるセキュリティチームを構築する
注意・アンチパターン (Don't)
  • 特定個人にセキュリティ業務が依存する属人化（単一障害点）を放置する
  • 採用において単なる資格保有のみを重視し、実践的な防衛・攻撃能力の評価を怠る
成果物・エビデンス例
  • セキュリティエンジニア採用基準・コーディング課題
  • セキュリティギルド運営資料
  • シニアセキュリティエンジニア育成・昇格実績

業界最高水準のセキュリティ組織文化と倫理基準を確立し、次世代のStaff/Principalセキュリティエンジニアを育成・輩出する。

実運用ルーブリック
推奨行動 (Do)
  • 「セキュリティはビジネスのイネーブラー（推進力）である」という組織カルチャーを全社に定着させる
  • 次世代のStaff/Principalセキュリティアーキテクトをスポンサーし、業界をリードする最高峰のサイバー防衛リーダーを育成する
注意・アンチパターン (Don't)
  • 恐怖心と処罰で人を動かす権威主義的なセキュリティ文化を作り、インシデントの報告を萎縮・隠蔽させる
  • 社内のセキュリティだけに閉じ、業界全体のサイバー脅威耐性の向上に貢献しない
成果物・エビデンス例
  • 全社セキュリティ文化変革プログラム実績
  • Staff/Principalセキュリティエンジニア育成・輩出実績
  • 業界セキュリティアライアンス・標準化団体でのリーダーシップ実績
脅威モデリングとガードレール

既知の攻撃パターン（マルウェア、フィッシング、基本CVE）を理解し、Tier 1 SOCとして初期切り分け基準に沿って判断できる。

実運用ルーブリック
推奨行動 (Do)
  • MITRE ATT&CKフレームワークの初期アクセス・実行フェーズの基礎手口を理解してアラートを分析する
  • 一般的なマルウェア（ランサムウェア、インフォスティーラー）の特徴的な痕跡を識別する
注意・アンチパターン (Don't)
  • 検知ルール名やシグネチャ名だけを見て背後の脅威メカニズムを理解しようとしない
  • 既知の安全なツール（管理ツール等）の正規利用と攻撃者によるLiving off the Land（LOLBins）を混同して誤判定する
成果物・エビデンス例
  • トリアージ判断根拠記述メモ
  • セキュリティ研修・資格（CompTIA Security+等）受講記録

アプリケーションやクラウドインフラの基本設計に対する脅威モデリングを実施し、潜在的な脆弱性を特定できる。

実運用ルーブリック
推奨行動 (Do)
  • STRIDE等の脅威モデリング手法を用い、データフロー図（DFD）と信頼境界（Trust Boundary）を描いて脅威を洗い出す
  • なりすまし、改ざん、情報漏洩などのリスクに対する具体的な緩和策（Mitigation）を設計に盛り込む
注意・アンチパターン (Don't)
  • 稼働後のテストだけに依存し、アーキテクチャ設計段階の脆弱性（認証バイパス等）を見逃す
  • 網羅性のない思いつきのチェックリストで脅威モデリングを済ませる
成果物・エビデンス例
  • 脅威モデリングシート（DFD・STRIDE分析付き）
  • アーキテクチャレビュー記録
  • 設計改善提案書

個別のバグ潰しにとどまらず、重要機能（認証・認可、暗号化、データ保護）において安全なデフォルト実装を提供する。

実運用ルーブリック
推奨行動 (Do)
  • 認証トークン検証やデータ暗号化、入力サニタイズなど、共通で使われるセキュアな内部ライブラリやミドルウェアを開発し提供する
  • 開発者が意識せずに使っても自然とセキュアになる「セキュア・バイ・デフォルト（Secure by Default）」な設計を推進する
注意・アンチパターン (Don't)
  • 各開発チームが個別に独自の暗号化やトークン検証ロジックを独自実装している状況を野放しにする
  • セキュアライブラリのドキュメントや使用例を整備せず、利用のハードルを高くする
成果物・エビデンス例
  • セキュア共通ライブラリ・ミドルウェアのコード
  • ライブラリ利用ガイド・サンプルコード
  • 社内利用普及率メトリクス

AIエージェントやLLMアプリケーション、サプライチェーン攻撃など新領域の脅威タクソノミーを整備し、組織全体の防衛基準を先回りして確立する。

実運用ルーブリック
推奨行動 (Do)
  • LLMアプリケーションに対するプロンプトインジェクション、データ漏洩、エージェントの自律実行権限逸脱などの脅威モデル（OWASP Top 10 for LLM）を策定する
  • AIガードレール（入出力バリデーション、モデルサンドボックス、権限制御）を全社のAI基盤に標準実装する
注意・アンチパターン (Don't)
  • 「危険だから」という理由だけで新技術（生成AI等）の業務利用を一律禁止し、事業競争力を損なわせる
  • 従来のWebアプリの脅威モデルだけでAIや複雑なサプライチェーンのリスクを評価した気になり、重大盲点を見過ごす
成果物・エビデンス例
  • AI/LLMセキュリティガードレールアーキテクチャ仕様書
  • サプライチェーンセキュリティ（SLSA等）基準文書
  • 新領域脅威タクソノミー定義書

次世代のサイバー脅威（AI自律エージェントの兵器化、ポスト量子暗号等）に対する先制的な防衛戦略を描き、業界標準の策定に関与する。

実運用ルーブリック
推奨行動 (Do)
  • AI自律エージェントによる攻撃・防御、ポスト量子暗号、分散IDなど次世代の脅威環境を予測し、先制的な防衛アーキテクチャを社会実装する
  • FIRST、OWASP、NIST等の国際的なセキュリティ標準化活動やトップセキュリティカンファレンス（Black Hat, DEF CON等）で業界の標準策定をリードする
注意・アンチパターン (Don't)
  • 既存のセキュリティパラダイムに安住し、次世代技術の破壊的変化によるセキュリティ崩壊を座視する
  • 自社内の防衛だけに閉じ、エコシステム全体への貢献や知見の還元を怠る
成果物・エビデンス例
  • Black Hat / DEF CON等での基調講演・発表実績
  • 国際セキュリティ標準化文書への寄稿・策定関与
  • 次世代セキュリティ特許またはオープンソースセキュリティ基盤の公開

隣のレベルで変わること

L1 (Associate / ジュニア) → L2 (Engineer / ミドル)
評価軸L1 での行動L2 で加わる・変わる行動
技術力SIEM・XDRのアラート監視、手順書に沿った一次トリアージ（真陽性・偽陽性の切り分け）、定期的な脆弱性スキャンを正確に行える。Tier 1からエスカレーションされたインシデントの深掘り調査（フォレンジック、パケット解析）、クラウドセキュリティ設定（IAM、セキュリティグループ）の安全な実装ができる。
スコープと影響個別のセキュリティアラートや従業員からの不審メール報告チケットを、SLAを守って迅速に対応・エスカレーションする。1つのプロダクトやクラウド環境の脆弱性診断・リスク評価を担当し、修正ガイダンスを開発チームに提供してリスクを低減させる。
自律性定められた手順とインシデントハンドリング規程を厳格に遵守し、判断がつかない事象は速やかに上位アナリストに報告できる。担当システムのセキュリティアラートの重要度を自ら評価し、緊急パッチ適用やアカウント停止などの一次措置を判断できる。
協働とコミュニケーションインシデントの初期情報（発生時刻、対象端末、通信先ログ等）を整理し、関係者に正確かつ冷静にテキストで報告できる。開発チームと密に連携し、単に危険と指摘するだけでなく、実現可能で摩擦の少ない具体的なコード修正案を提示する。
人を伸ばす日々の運用で見つけた誤検知パターンやログの不備をチームに共有し、監視ルールのチューニングに貢献する。開発者向けのセキュアコーディングガイドラインの作成や、新メンバーへのトリアージ手順の指導を担当する。
脅威モデリングとガードレール既知の攻撃パターン（マルウェア、フィッシング、基本CVE）を理解し、Tier 1 SOCとして初期切り分け基準に沿って判断できる。アプリケーションやクラウドインフラの基本設計に対する脅威モデリングを実施し、潜在的な脆弱性を特定できる。
L2 (Engineer / ミドル) → L3 (Senior)
評価軸L2 での行動L3 で加わる・変わる行動
技術力Tier 1からエスカレーションされたインシデントの深掘り調査（フォレンジック、パケット解析）、クラウドセキュリティ設定（IAM、セキュリティグループ）の安全な実装ができる。複雑なシステムの脅威モデリング、ソースコード監査、およびCI/CDへのセキュリティツール（SAST/DAST/SCA/シークレットスキャン）の自動組み込みを設計・実装できる。
スコープと影響1つのプロダクトやクラウド環境の脆弱性診断・リスク評価を担当し、修正ガイダンスを開発チームに提供してリスクを低減させる。プロダクト・ドメイン単位のセキュリティポスチャに責任を持ち、重要リリースのセキュリティサインオフをリードする。
自律性担当システムのセキュリティアラートの重要度を自ら評価し、緊急パッチ適用やアカウント停止などの一次措置を判断できる。リスクベース（脅威の現実性と事業影響度）で脆弱性対応の優先順位を主導し、セキュリティと開発生産性のトレードオフをバランスさせる。
協働とコミュニケーション開発チームと密に連携し、単に危険と指摘するだけでなく、実現可能で摩擦の少ない具体的なコード修正案を提示する。開発チームと設計段階から協働（Shift-Left）し、セキュリティ要件をプロダクト要求仕様書に組み込ませる合意形成をリードする。
人を伸ばす開発者向けのセキュアコーディングガイドラインの作成や、新メンバーへのトリアージ手順の指導を担当する。セキュリティチャンピオン制度の運営や開発者向けトレーニングを通じて、開発組織全体のセキュリティリテラシーを引き上げる。
脅威モデリングとガードレールアプリケーションやクラウドインフラの基本設計に対する脅威モデリングを実施し、潜在的な脆弱性を特定できる。個別のバグ潰しにとどまらず、重要機能（認証・認可、暗号化、データ保護）において安全なデフォルト実装を提供する。
L3 (Senior) → L4 (Staff)
評価軸L3 での行動L4 で加わる・変わる行動
技術力複雑なシステムの脅威モデリング、ソースコード監査、およびCI/CDへのセキュリティツール（SAST/DAST/SCA/シークレットスキャン）の自動組み込みを設計・実装できる。脆弱性のクラスそのものを丸ごと根絶するガードレール（Paved Road: 安全なフレームワーク、セキュアなコンポーネントライブラリ、自動修正PR）を組織に導入する。
スコープと影響プロダクト・ドメイン単位のセキュリティポスチャに責任を持ち、重要リリースのセキュリティサインオフをリードする。開発組織全体のSDLC（ソフトウェア開発ライフサイクル）へのセキュリティ統合を主導し、全社的な脆弱性滞留時間を劇的に短縮する。
自律性リスクベース（脅威の現実性と事業影響度）で脆弱性対応の優先順位を主導し、セキュリティと開発生産性のトレードオフをバランスさせる。全社のセキュリティプログラム（製品セキュリティ、クラウド基盤、サプライチェーン/SBOM）の優先順位を策定し、経営層に説明責任を果たす。
協働とコミュニケーション開発チームと設計段階から協働（Shift-Left）し、セキュリティ要件をプロダクト要求仕様書に組み込ませる合意形成をリードする。プラットフォーム、プロダクト開発、法務、コンプライアンスの各部門を横断してセキュリティアーキテクチャの全社合意を形成する。
人を伸ばすセキュリティチャンピオン制度の運営や開発者向けトレーニングを通じて、開発組織全体のセキュリティリテラシーを引き上げる。複数チームのセキュリティエンジニアをメンタリングし、組織のセキュリティ人材採用基準やキャリア形成をリードする。
脅威モデリングとガードレール個別のバグ潰しにとどまらず、重要機能（認証・認可、暗号化、データ保護）において安全なデフォルト実装を提供する。AIエージェントやLLMアプリケーション、サプライチェーン攻撃など新領域の脅威タクソノミーを整備し、組織全体の防衛基準を先回りして確立する。
L4 (Staff) → L5 (Principal)
評価軸L4 での行動L5 で加わる・変わる行動
技術力脆弱性のクラスそのものを丸ごと根絶するガードレール（Paved Road: 安全なフレームワーク、セキュアなコンポーネントライブラリ、自動修正PR）を組織に導入する。3〜5年先を見据えた全社セキュリティアーキテクチャ戦略を描き、ゼロトラスト完全移行や不可逆な暗号基盤刷新など、全社セキュリティの賭けの成否に責任を持つ。
スコープと影響開発組織全体のSDLC（ソフトウェア開発ライフサイクル）へのセキュリティ統合を主導し、全社的な脆弱性滞留時間を劇的に短縮する。会社の存続を脅かす壊滅的インシデント（大規模顧客データ流出、基幹システムのランサムウェア被害等）を構造的・多層的に排除し、事業継続性を担保する。
自律性全社のセキュリティプログラム（製品セキュリティ、クラウド基盤、サプライチェーン/SBOM）の優先順位を策定し、経営層に説明責任を果たす。会社レベルの致命的セキュリティリスクと事業成長のトレードオフについて、経営陣（CEO/CTO/Board）と直接対話し、全社セキュリティの最高責任を引き受ける。
協働とコミュニケーションプラットフォーム、プロダクト開発、法務、コンプライアンスの各部門を横断してセキュリティアーキテクチャの全社合意を形成する。経営陣のセキュリティ参謀として対話し、重大インシデント発生時には経営・広報・法務と一体となって対外説明と収束を指揮する。
人を伸ばす複数チームのセキュリティエンジニアをメンタリングし、組織のセキュリティ人材採用基準やキャリア形成をリードする。業界最高水準のセキュリティ組織文化と倫理基準を確立し、次世代のStaff/Principalセキュリティエンジニアを育成・輩出する。
脅威モデリングとガードレールAIエージェントやLLMアプリケーション、サプライチェーン攻撃など新領域の脅威タクソノミーを整備し、組織全体の防衛基準を先回りして確立する。次世代のサイバー脅威（AI自律エージェントの兵器化、ポスト量子暗号等）に対する先制的な防衛戦略を描き、業界標準の策定に関与する。

行動記述は海外の先進企業の公開求人・公開ラダーを参照して独自に書き下ろしています。