CSIRT・インシデント対応のフリーランスはリモートで働ける？案件の傾向と探し方

CSIRT・インシデント対応のフリーランス案件は、手順書づくりや訓練の設計、クラウドのログの調査、報告書の作成、時間外の待機などはリモートで進めやすい一方、端末の証拠保全、社内ネットワークの機器の調査、対策本部での指揮は現地が求められやすい仕事です。平時はリモート中心で、事案が起きたときだけ現地に向かう形の案件もあります。

リモートの可否は、仕事の分野より「事案が起きたときに、どこで何をするか」で決まります。この記事では、リモートで進めやすい仕事と現地が入りやすい仕事、案件の探し方、参画前に確かめる点を整理します。

リモートで進めやすい仕事

平時の体制づくりは、JPCERT/CCがCSIRTの立ち上げを構想・構築・運用の3フェーズに分けて整理しているように、文書と会議が中心の工程が多く、リモートとの相性がよい仕事です（JPCERT/CCの資料は2026年10月時点で公開）。ただし、最初の聞き取りや、関係部署との顔合わせの時期だけ出社を求められることもあります。

現地が求められやすい仕事

端末や機器の証拠保全

感染が疑われる端末や、社内ネットワークの機器から証拠を取る作業は、現物に触れる必要があります。遠隔で取れる記録もありますが、電源を落とす前に取りたい情報や、持ち出しが禁じられた機器の扱いは、現地での作業になりやすい部分です。

対策本部での指揮と調整

大きな事案では、経営層や法務、広報が集まる場で、状況の報告と判断の場の進行を求められることがあります。短い時間で何度も判断が入れ替わるため、現地にいることを求める発注元もあります。

攻撃者に見られているおそれがある場合

社内のメールやチャットが攻撃者に読まれているおそれがある事案では、普段の連絡手段を使えないことがあります。別の連絡手段を用意できるまで、対面での打ち合わせに切り替える判断が出ることもあります。

参画前に確かめる点

リモートの案件でも、インシデント対応は扱う情報が重く、取り決めがないと事案の最中に困ります。次の点を参画前に確かめましょう。

1. 駆けつけの有無と目安：事案のときに現地へ向かう必要があるか。必要なら、連絡からどのくらいで着く想定か。夜間・休日も含むか
2. 使う端末：発注元の端末を借りるのか、自分の端末を使うのか。調査の道具を入れてよいか。借りる端末の扱いは貸与PCの記事を参照
3. 証拠と記録の置き場所：調査で取ったデータや記録を、どこに保存してよいか。手元の端末に残してよいか
4. 連絡手段：普段の連絡手段と、緊急時の連絡手段。普段の手段が使えないときの代わり
5. 個人情報に触れるか：漏えいが疑われる事案では、調査の中で個人データに触れることがあります。委託先として求められる管理は業務で個人情報を扱うときの契約の記事を参照
6. 時間外の扱い：待機の時間帯、応答の目安、報酬の扱い。決め方はCSIRT・インシデント対応の報酬の記事を参照

フリーランス法では、発注事業者は業務を委託したら直ちに、業務の内容や、役務の提供場所などを書面やメールなどで明示することとされています。リモートか現地か、駆けつけがあるかも、業務の条件として書面で確かめましょう。

リモートで調査するときの証拠と記録の扱い

遠隔で調査を進める場合、取得したログや端末の記録が、ネットワークを通じて自分の手元に集まります。現地での作業より、データの置き場所と受け渡しの経路が増えるため、次の点を発注元と決めておきます。

• 取得したデータの保存先：発注元が用意した保存先に置くのか、手元の端末に一時的に置いてよいのか
• 受け渡しの方法：大きなデータをどの手段でやり取りするか。メールの添付やチャットへの貼り付けを避けるか
• 扱った記録の残し方：誰がいつ、どのデータを取得し、どこに置いたかを、その都度書き留める
• 作業後の削除：契約の終了時や事案の区切りで、手元に残ったデータをどう消し、消したことをどう伝えるか

調査で取ったデータは、のちに原因の説明や外部への報告の根拠になります。扱いの記録が途切れると、データの確からしさを説明しにくくなります。契約終了時のデータの扱いはデータの返却・削除の記事も参考になります。

時間外の待機をリモートで受けるときの工夫

待機をリモートで受ける場合、連絡が届くことと、届いたあとに動けることの両方が必要です。

• 連絡の通知：夜間でも気づける設定にし、待機の時間帯の外は通知を切る。通知の設定の考え方は稼働時間外の連絡の記事を参照
• 最初の返事の型：受け取ったこと、聞きたいこと、次の連絡の目安を短く返す型を決めておく
• 記録の場所：夜間の対応の記録を、朝の担当に引き継げる場所に残す
• 移動の可否：待機の時間帯に遠出をしないか、するなら代わりの担当がいるか

待機の当番は、引き受ける側の生活を縛ります。当番の頻度と、待機の時間帯を、参画前に具体的に聞いておきましょう。

リモート案件の探し方

平時の仕事を軸に探す

フルリモートを優先する場合は、体制づくり、手順書の整備、訓練の設計など、平時の仕事を軸にした案件が探しやすくなります。事案の対応を中心とする案件は、現地への駆けつけが条件に入りやすい傾向があります。フルリモートの案件全般の探し方はフルリモート案件の記事をご覧ください。

クラウドの環境の案件を見る

システムがクラウドに寄っている発注元では、調査の多くを遠隔で進められます。クラウドのログを読んだ経験があれば、スキルシートで具体的に書いておくと、リモートの案件に提案しやすくなります。

隣の分野の案件も見る

技術の調査を軸にするならセキュリティエンジニアのリモート案件の記事、規程や体制の助言を軸にするならセキュリティコンサルタントのリモート案件の記事も参考になります。

よくある質問

事案の対応だけの案件でも、フルリモートはありますか？

クラウド中心の環境で、端末の証拠保全を発注元の担当や調査会社が担う場合は、遠隔での助言や分析で完結することもあります。ただ、事案の状況によって現地での作業が必要になることがあるため、駆けつけの有無を契約の段階で確かめておきましょう。

遠方に住んでいても、駆けつけのある案件を受けられますか？

駆けつけまでの目安の時間によります。夜間に数時間以内の到着を求められる場合は、距離が問題になります。駆けつけを他の担当が受け持ち、自分は遠隔で支援する分担にできるかを、参画前に確かめましょう。

自宅で待機している時間は、稼働として数えてよいですか？

契約の定めによります。待機の時間に報酬を払う形もあれば、実際に対応した時間だけを数える形もあります。どちらの形かを書面で決め、稼働報告ではそれに沿って時間を分けて書きましょう。