【IT】Cybersecurity Analyst - Continuous Testing

企業名

非公開

年収イメージ

500万円〜1300万円（経験・能力を考慮の上当社規定により決定）

仕事内容

Responsibilities：
◆ Threat-Led Penetration Testing (TLPT)
・Design and execute comprehensive TLPT covering infrastructure, applications, people, processes, and technologies using real-world threat scenarios
・Plan and conduct social engineering tests (e.g., phishing, vishing)
・Develop and run Red Team/Blue Team exercises and scenarios in coordination with relevant teams
・Create attack paths and scenarios leveraging threat intelligence
・Evaluate detection, response, and recovery capabilities through advanced adversary ・Conduct penetration tests at both network and application layers
・Develop multi-stage attack scenarios to assess resilience against sophisticated and persistent threats
・Propose training and process improvements based on TLPT outcomes
・インフラ、アプリケーション、人物、プロセス、テクノロジーを対象に、実際の脅威シナリオを用いた包括的な脅威主導型ペネトレーションテスト（TLPT）の設計・実施
・ソーシャルエンジニアリングテスト（例：フィッシング、ビッシング）の計画・実施
・関連チームと連携してレッドチーム／ブルーチーム演習やシナリオの開発・運用
・脅威インテリジェンスを活用した、攻撃パスや攻撃シナリオの作成
・高度な攻撃者シナリオを用いたシミュレーションによる、検知・対応・復旧能力の評価
・ネットワーク層およびアプリケーション層でのペネトレーションテストの実施
・高度かつ持続的な脅威に対する耐性を評価のための、マルチステージ攻撃シナリオの開発
・TLPTの結果に基づいて、トレーニングや業務プロセス改善の提案

◆ Penetration Testing
・Conduct Comprehensive Penetration Tests
　 － Perform internal and external penetration tests on company applications, infrastructure, and network systems to identify vulnerabilities and misconfigurations.
・Develop and Execute Custom Attack Scenarios
　 － Design and execute tailored attack scenarios that simulate real-world threats against the company’s environment to validate security controls and identify gaps.
・Privilege Escalation Testing
　 － Identify and exploit privilege escalation opportunities to assess the impact of compromised credentials and misconfigured permissions.
・Network and Application Layer Testing
　 － Perform testing at both the network layer (e.g., firewall bypass, network segmentation) and application layer (e.g., OWASP Top 10) to uncover security weaknesses.
・Red Team Exercises
　 － Support or conduct red team exercises, including lateral movement, command and control setup, and data exfiltration to evaluate the organization’s detection and response capabilities.
・Test Automation for Penetration Testing
　 － Develop and integrate automation scripts to streamline penetration testing activities and increase test coverage.
・Retesting and Verification
　 － Conduct follow-up testing to confirm remediation effectiveness after vulnerabilities are addressed.
・Technical Reporting and Remediation Guidance
　 － Provide detailed technical reports on findings, including steps to reproduce vulnerabilities, root cause analysis, and prioritized remediation recommendations.
・Tool Selection and Configuration
　 － Evaluate, recommend, and configure penetration testing tools and frameworks to improve testing capabilities.
・包括的なペネトレーションテストの実施
　 － 企業のアプリケーション、インフラ、ネットワークシステムに対する、内部および外部のペネトレーションテストの実行、脆弱性や設定ミスの特定
・カスタム攻撃シナリオの開発と実行
　 － 企業の環境に対し、現実の脅威を模擬したカスタマイズされた攻撃シナリオの設計・実行、セキュリティ対策の有効性や抜け穴に対する検証の実施
・権限昇格テスト
　 － 権限昇格機会の特定、資格情報の漏洩や誤った権限設定が与える影響の評価
・ネットワーク層およびアプリケーション層のテスト
　 － ネットワーク層（例：ファイアウォール回避、ネットワークセグメンテーション）とアプリケーション層（例：OWASP Top 10）でのテスト実施、セキュリティの弱点の発見
・レッドチーム演習
　 － ラテラルムーブメント、コマンド＆コントロールのセットアップ、データ流出などを含むレッドチーム演習の支援、または実施を通じた組織の検知・対応能力の評価
・ペネトレーションテストの自動化
　 － ペネトレーションテスト活動の効率化、テスト範囲を拡大するための、自動化スクリプトの作成・統合
・再テストと検証
　 － 脆弱性に対する対応後、修正の有効性を確認するためのフォローアップテストの実施
・技術報告書の作成と修正ガイダンスの提供
　 － 発見事項について、脆弱性の再現手順、根本原因の分析、優先順位付けした修正案などを含む詳細な技術報告書の提供
・ツールの選定および設定
　 － ペネトレーションテスト能力向上のための、テストツールやフレームワークの評価、推奨、設定

◆ Continuous Testing
・Automate Discovery of New Assets
　 － Develop automated processes to identify new external-facing and internal assets for continuous security evaluation.
・Implement Vulnerability Prioritization Framework
　 － Develop and maintain a risk-based prioritization framework to focus remediation efforts on the most critical vulnerabilities.
・Expand Coverage of Penetration Testing Scope
　 － Continuously identify and onboard additional systems, applications, and infrastructure into the penetration testing scope.
・Security Hardening Recommendations
　 － Provide guidance on configuration and hardening based on penetration test results and observed attack patterns.
・Incident Simulation and Response Testing
　 － Simulate breach scenarios to evaluate the company’s detection and response capabilities and recommend improvements.
・Support Secure Code Deployment
　 － Partner with development teams to ensure secure deployment of code by identifying security risks before production.
・Develop Test Cases Based on Industry Threat Intelligence
　 － Create penetration test cases aligned with emerging threat intelligence and attack techniques."
・新規アセットの自動検出
　 － 継続的なセキュリティ評価を行うための、外部公開資産および内部資産の自動識別プロセスの開発
・脆弱性優先順位付けフレームワークの導入
　 － 重大な脆弱性への対応に注力できるよう、リスクベースで優先順位付けを行うフレームワークの開発・運用
・ペネトレーションテスト対象範囲の拡大
　 － システム、アプリケーション、インフラを継続的に特定・追加、ペネトレーションテストの対象範囲への組み入れ
・セキュリティ強化推奨
　 － ペネトレーションテストの結果や観察された攻撃パターンに基づき、設定方法やシステムのハードニング（堅牢化）に関するガイダンスの提供
・インシデント模擬および対応テスト
　 － 侵害シナリオを模擬し、企業の検知・対応能力を評価した上での、改善策の提案
・安全なコードデプロイの支援
　 － 本番環境への投入前にセキュリティリスクを特定し、開発チームと連携し安全なコードのデプロイ支援の実行
・業界脅威インテリジェンスに基づくテストケース作成
　 － 新たに発生する脅威インテリジェンスや攻撃手法に合わせた、ペネトレーションテストケースの作成

◆ Phishing & Social Engineering
・Design and execute phishing simulations for employees
・Conduct targeted spear-phishing tests for high-risk users
・Validate credential leakage, reuse, and account takeover during phishing exercises
・Assess attack vectors across multiple channels (email, SMS, chat, etc.)
・Prepare educational and awareness materials based on test results
・Develop automated detection and alerting mechanisms for phishing campaigns
・Propose improvements in phishing response and authentication processes
・社員向けフィッシングシミュレーションの設計・実施
・ハイリスクユーザーを対象としたスピアフィッシングテストの実施
・フィッシング演習中の資格情報の漏洩、使い回し、アカウント乗っ取りの検証
・メール、SMS、チャットなど複数チャネルにおける攻撃ベクトルの評価
・テスト結果に基づいた教育・啓発資料の作成
・フィッシングキャンペーン用の自動検出・アラート機構の開発
・フィッシング対応および認証プロセス改善の提案

◆ Organizational Communication & Cross-functional Tasks
・Analyze and report on test results and trends; prepare regular reports
・Evaluate and introduce new technologies and tools
・Mentor and train junior members locally and globally
・Manage vendors and supervise their performance
・Promote organization-wide security awareness and communication initiatives
・Support HR-related activities such as recruitment, goal-setting, and organizational design
・テスト結果や傾向の分析・報告、定期的なレポートの作成
・新しい技術やツールの評価・導入
・国内外のジュニアメンバーの指導・育成
・ベンダー管理、パフォーマンスの監督
・組織全体のセキュリティ意識向上、コミュニケーション施策の推進
・採用、目標設定、組織設計など人事関連業務の支援

必要スキル

＜Required Qualifications＞
・Strong interest in cybersecurity, especially in continuous testing of security controls, with proactive learning of trends and threats
・Deep understanding of continuous security control testing
・Minimum 3 years of hands-on experience in cybersecurity (or a related field such as penetration testing)
・Proven ability to manage and execute multiple projects simultaneously with strong planning and analytical skills
・High standards for personal achievement and a drive to deliver results
・Excellent teamwork and communication skills, including with diverse and international stakeholders
・Proficiency with office tools such as Word, Excel, PowerPoint
・Cybersecurity certifications such as OSCP, OSWE, OSEE or equivalent
・Experience with security testing tools such as Nessus
・Business-level English and conversational Japanese proficiency
・High ethical standards and a strong sense of responsibility
・サイバーセキュリティへの強い興味（特にセキュリティ統制の継続的テスト分野）、トレンドや脅威に関する積極的な学習意欲
・継続的セキュリティ統制テストに関する深い理解
・サイバーセキュリティ（またはペネトレーションテスト等の関連分野）最低3年以上の実務経験
・複数のプロジェクトを同時に管理・遂行できる能力、および高い計画力・分析力
・高い自己目標達成意識と成果達成への強い意欲
・多様かつ国際的なステークホルダーとの優れたチームワーク・コミュニケーション能力
・Word、Excel、PowerPointなどのオフィスツールの操作スキル
・OSCP、OSWE、OSEEなどサイバーセキュリティ関連の資格、または同等資格
・Nessusなどのセキュリティテストツールの利用経験
・ビジネスレベルの英語力および日常会話レベルの日本語力
・高い倫理観と強い責任感
＜Preferred Qualifications＞
・Experience with ServiceNow
・Technical analysis experience (big data analysis, malware analysis, dark web research, etc.)
・Data analytics skills for reporting and trend analysis
・ServiceNowの使用経験
・技術分析の経験（ビッグデータ解析、マルウェア解析、ダークウェブ調査など）
・レポート作成や傾向分析のためのデータ分析スキル

雇用形態

正社員

勤務地

東京都