CSIRT・インシデント対応のフリーランスの将来性とキャリアの広げ方

CSIRT・インシデント対応の仕事は、事故が起きたあとの調査だけでなく、期限と様式が決まった報告への対応、委託先まで含めた体制づくり、事故が起きる前の備えへと広がっています。攻撃が減らないことに加えて、事故のあとに「誰に、いつ、何を報告するか」の決まりが国内で整ってきたためです。

フリーランスとして選択肢を広げるには、今の軸（調査、指揮・調整、体制づくりなど）を保ったまま、「報告への対応」「委託先を含む体制」「平時の備え」のどれかへ一歩広げるのが現実的です。この記事では、2026年10月時点で公式に確かめられる動きをもとに、役割の変わり方と広げ方を整理します。

公式に確かめられる動き

10大脅威2026：ランサム攻撃と委託先を狙う攻撃が上位

IPAが2026年1月に公表した「情報セキュリティ10大脅威 2026」の組織向けでは、1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」、3位が「AIの利用をめぐるサイバーリスク」でした。7位には「内部不正による情報漏えい等」、10位には「ビジネスメール詐欺」が入っています。

業務が止まる事故、自社の外で起きた事故、人が関わる事故が並んでいます。どれも、技術の調査だけでは対応が終わらず、取引先や経営層との調整が欠かせない種類の事故です。

被害報告の様式と窓口の一元化

国家サイバー統括室によると、サイバー攻撃の被害を受けた組織の報告の負担を減らし、政府の対応を早くするため、関係省庁は2025年5月に報告の一元化について申し合わせており、DDoS攻撃とランサムウェアの事案には共通の様式が設けられています。2026年9月15日の改正で、この2つの様式が改められ、「その他サイバー攻撃等事案」の共通様式が新しく定められています。

個人情報保護委員会の案内でも、ランサムウェア事案による個人データの漏えい等は2025年10月1日以降、その他のサイバー攻撃等の事案は2026年10月1日以降、共通様式で報告できるとされています（2026年10月時点）。漏えい等の報告そのものの期限は従来どおり示されており、速報は発覚日から3〜5日以内、確報は30日以内（不正の目的によるおそれがある場合は60日以内）です。

基幹インフラの事業者に報告の義務

2025年5月に公布された「重要電子計算機に対する不正な行為による被害の防止に関する法律」（内閣府はサイバー対処能力強化法とも紹介）は、特別社会基盤事業者（経済安全保障推進法の特定社会基盤事業者のうち、法律で定める重要な電子計算機を使うもの）に対し、その電子計算機の導入の届出と、特定侵害事象などの発生を認知したときの所管大臣と内閣総理大臣への報告を求めています（第4条・第5条）。e-Gov法令検索では、2026年10月1日施行の内容が現行の条文として掲載されています。報告の具体的な事項や手続きは、命令などで定められています。

個人情報保護法の改正

個人情報保護法等の改正法は2026年7月10日に成立し、7月17日に公布されました。個人情報保護委員会は、施行に向けて政令、規則、ガイドラインなどの検討を続けるとしています（2026年10月時点）。委託先のルールや漏えい時の扱いに関わる見直しの内容は個人情報保護法の記事で扱っています。施行日や細かな要件は、今後の委員会の公表で確かめる必要があります。

海外の指針も「平時の備え」を重く見る

NISTは2025年4月、インシデント対応の指針SP 800-61を改訂し（Revision 3）、インシデント対応を、サイバーセキュリティのリスク管理の枠組み（CSF 2.0）の活動全体に組み込んで考える形に改めました。改訂版は、事故の処理手順を中心とした従来の版（Revision 2）を置き換えるものです。

役割はどう変わるか

報告の窓口と様式が整うほど、発注元に求められるのは「どの事実を、いつまでに、どの順でそろえるか」の段取りです。技術の調査の結果を、報告に使える形に変える役割は、今後も外部の支援者に求められやすい部分と考えられます。

選択肢を広げる3つの方向

1. 報告への対応

個人情報の漏えい等の報告、基幹インフラの事業者の報告、取引先への通知など、事故のあとの報告は、期限と様式が決まったものが増えています。どの報告が必要になり得るかを整理し、必要な事実を集める段取りを手順に組み込む仕事です。報告の要否の法的な判断は、発注元の法務や弁護士などの専門家が担う領域であることを前提に、事実の整理と期限の管理で支える立場をとります。委託先として通知する側の考え方は漏えいしてしまったときの対応の記事で扱っています。

2. 委託先を含む体制づくり

10大脅威で委託先を狙った攻撃が上位にあることから分かるように、事故は自社の外で起きることもあります。委託先との契約に事故時の連絡の期限や窓口を入れる、委託先で起きた事故を受け付ける手順を作るといった仕事は、技術と契約の両方が分かる人が担いやすい領域です。規程や評価の側からの見方はセキュリティコンサルタントの将来性が参考になります。

3. 平時の備えと訓練

ランサム攻撃が長く上位にあるように、侵入を完全に防ぐことは難しく、止まった業務を戻す手順と、判断の場を回す訓練の重要性が増しています。机上の訓練の設計、復旧の手順の検証、時間外の当番の設計など、事故が起きる前の仕事は、リモートや週数日の稼働でも受けやすい傾向があります。働き方の面はCSIRT・インシデント対応のリモート案件の記事をご覧ください。

経験の段階ごとの進め方

調査や一次対応を中心に担ってきた段階

まず、調査の結果を報告書の形にまとめる経験を増やします。調査の事実を「確かめたこと」「推測」「次に確かめること」に分けて書けるようになると、報告への対応へ広げる土台になります。求められる力はCSIRT・インシデント対応のスキルの記事で解説しています。

事案のハンドリングを担ってきた段階

法務や広報と一緒に動いた経験を、手順書や訓練に落とし込む側へ広げます。共通様式や報告の期限を、発注元の手順にどう組み込むかを提案できると、体制づくりの案件にもつながります。

指揮や体制づくりを担ってきた段階

委託先を含めた体制や、経営層との訓練の設計など、組織の外との境目に関わる仕事へ広げる段階です。技術の軸を保ちながら、契約や規程の言葉で説明できるようにしておくと、助言の役割も担えるようになります。

今の案件でできる準備

1. 報告の窓口と様式を読んでおく：個人情報保護委員会の漏えい等報告の案内と、国家サイバー統括室の共通様式の案内に目を通す
2. 手順書に報告の段取りを入れる：どの事実を誰が、いつまでに集めるかを書き足す
3. 委託先の事故の受け付け方を確かめる：参画先の委託先との連絡の流れを把握する
4. 経験を記録する：判断の流れと自分の役割を、事案を特定させない形で書き留める。書き方はCSIRT・インシデント対応のスキルシートの記事を参照

よくある質問

自動化やAIで、インシデント対応の仕事は減りますか？

検知や情報の集約は自動化が進むと考えられますが、限られた情報で判断の順番を決めること、法務や経営層と判断の材料をそろえること、報告の期限に合わせて段取りを組むことは、人が担う部分として残りやすい仕事です。10大脅威2026でAIの利用をめぐるリスクが3位に入ったように、対応の対象として新しく加わる領域もあります。

報告の制度に詳しくなれば、法務の仕事もできますか？

報告の要否や公表の内容を法的に判断するのは、発注元の法務や弁護士などの専門家の役割です。インシデント対応の支援者は、判断に必要な事実をそろえ、期限を管理し、選択肢を示す立場にとどまるのが基本です。

40代・50代からでも、この分野で広げていけますか？

体制づくりや訓練の設計、経営層への報告など、経験の幅が生きる仕事が多い分野です。年齢と役割の関係は、年代別の記事で詳しく扱います。