CSIRT・インシデント対応のフリーランス案件の仕事内容｜案件の種類と働き方

CSIRT・インシデント対応のフリーランス案件の仕事は、事故に備えて仕組みを整えることと、起きた事故で判断の材料をそろえて関係者を動かすことの2つが中心です。どちらに重心があるか、そして自分が指揮・調整の側か、調査の側かで、1日の時間の使い方も、向き合う相手も、手元に残る成果物も大きく変わります。

この記事では、案件を4つの種類に分け、それぞれの1日と1か月の流れ、関わる相手、成果物を整理します。報酬の決まり方はCSIRT・インシデント対応の報酬の記事、求められる力はスキルの記事で扱っているので、ここでは「参画したら実際に何をしているか」に絞ります。

仕事の中身は「平時か有事か」と「役割」で決まる

インシデント対応の案件は、同じ「CSIRT支援」の募集でも中身がまったく違うことがあります。違いを生むのは主に次の2つです。

• 時期：事故が起きる前の備えを担うのか、起きている事故に対応するのか、その両方か
• 役割：判断の場を回す指揮・調整の側か、ログや端末を調べる調査の側か

この2つを掛け合わせると、フリーランスの案件はおおむね次の4種類に分けられます。

JPCERT/CCは、CSIRTを「組織内の情報セキュリティ問題を専門に扱う、インシデント対応チーム」と説明し、立ち上げを構想・構築・運用の3つのフェーズに分けた資料を公開しています（2026年10月時点）。体制づくりの案件は構想・構築のフェーズ、常駐・継続の対応は運用のフェーズに当たることが多いと考えると、募集の重心をつかみやすくなります。

以下では、それぞれの1日と1か月の流れを、典型的な例として紹介します。時間の配分は案件ごとに違うため、目安として読んでください。

平時の体制づくりの仕事

1日の流れ（例）

午前は、情報システム部門や各部署の窓口から、今の連絡の流れや過去の事案の扱いを聞き取ります。午後は、聞き取った内容をもとに、手順書や連絡表の案を書き進めます。夕方は、発注元の担当と案を読み合わせ、判断の権限や時間外の連絡の条件など、発注元が決める点を宿題として整理します。

自分で事案に対応することは少なく、「誰が、いつ、何を決めるか」を当事者が迷わない言葉にするのが中心です。

1か月の流れ（例）

• 月初：前月に作った文書への意見を集め、直す点と決めてもらう点を分ける
• 毎週：担当との定例で進み具合を確かめ、部署ごとの聞き取りを進める
• 月の半ば：重大度の段階や連絡の基準の案を、関係部署に回して意見をもらう
• 月末：責任者や経営層に、決めてもらいたい事項と次の月の予定を示す。訓練の時期が近ければ、シナリオの案を出す

成果物

対応の手順書、重大度の判断の基準、連絡表、時間外の当番の組み方、机上の訓練のシナリオと振り返りの記録などです。文書は作って終わりではなく、承認を経て発注元のものとして確定する流れになるため、案を作る立場であることを意識して進めます。

常駐・継続の対応の仕事

1日の流れ（例）

朝は、夜間に届いた相談や、監視の担当から上がってきた通知を確かめ、急ぐものとそうでないものを分けます。日中は、利用部門からの「不審なメールを開いてしまった」「見慣れない画面が出た」といった相談を受け、事実を聞き取り、手順に沿って一次判断をします。判断が重い事案は、発注元の担当に材料をそろえて上げます。空いた時間には、対応の記録の整理や手順の見直しを進めます。

小さな相談を、記録を残しながら、引き継げる形で回すことが毎日の仕事です。

1か月の流れ（例）

• 毎日：相談の受付、一次判断、記録。必要に応じて事案の進行
• 毎週：発注元のCSIRTの定例で、対応中の事案と気になる傾向を共有する
• 月の半ば：脆弱性の情報や攻撃の動向を見て、注意喚起の文面の案を作る
• 月末：月の対応の件数や種類をまとめ、手順の改善の提案とあわせて報告する。時間外の当番があれば、当番表と翌月の引き継ぎを確かめる

成果物

対応の記録、月次の報告、注意喚起の文面、手順の改善の提案などです。時間外の当番が条件に入る案件では、待機と呼び出しの記録も、自分の稼働の報告として残します。取り決めの考え方は稼働時間外の連絡の記事をご覧ください。

有事の指揮・調整支援の仕事

事故が表に出た直後から参画する案件です。最初の数日と、その後とで仕事の中身が大きく変わります。

参画直後の数日

最初は、分かっていること・分からないこと・次に確かめることを分けて並べるのが仕事です。対策本部の会議に出て、技術の担当や調査会社から上がる情報を時系列に整え、経営層が決めるべき事項（システムを止めるか、取引先に知らせるか、公表を検討するか）を選択肢の形で示します。会議が1日に何度も開かれ、記録と次の会議の準備で1日が埋まることもあります。

個人データの漏えいが疑われる事案では、個人情報保護委員会への報告の要否を発注元が判断することになります。委員会は、速報を発覚日から3〜5日以内、確報を30日以内（不正の目的によるおそれがある場合は60日以内）としています（2026年10月時点）。報告するのは原則として発注元で、支援者の仕事は、判断に必要な事実を期限に間に合う順でそろえることです。

落ち着いてきた後

被害の広がりが止まると、原因の整理、復旧の確認、再発防止策の案づくりに重心が移ります。取引先や本人への連絡の文面、社内向けの説明資料など、外に出る文書の材料をそろえる仕事も増えます。

成果物

時系列の記録、会議ごとの状況整理と決定事項、経営層への報告資料、外部への報告の材料、再発防止策の案などです。法的な判断が必要な点は、発注元の法務や弁護士などの専門家の確認を経る前提で材料を作ります。

調査の支援の仕事

1日・1か月の流れ（例）

調査の支援では、認証やネットワーク機器、メールのログ、端末の記録などを集め、不審な動きの時系列を組み立てます。1日の中で、データの取得、解析、指揮の担当への途中報告を繰り返します。事案が続いている間は、調べた結果がすぐ次の判断に使われるため、確かめた事実と推測を分けて、短く渡すことが求められます。

1か月の単位では、事案の区切りに合わせて調査の報告書をまとめ、平時には調査の手順や、記録を残す設定の見直しを提案することがあります。専門の調査会社と組む案件では、自分で解析するより、依頼の範囲を決め、結果を発注元の判断に結びつける役割を担うこともあります。

成果物

調査の記録、時系列の整理、証拠の取り扱いの記録（誰がいつ取得し、どこに置いたか）、調査の報告書などです。現地で端末から証拠を取る作業が入ると、出社や駆けつけが必要になります。働く場所の分かれ方はCSIRT・インシデント対応のリモート案件の記事で解説しています。

どの案件にも共通する仕事

種類が違っても、次の仕事はほぼすべての案件にあります。

1. 記録：誰がいつ何を見て何をしたかを、その場で残す。報告の材料はここから作られる
2. 判断の材料を渡す：事実・影響・選択肢をそろえ、決める人を明確にして上げる
3. 相手ごとの伝え方：経営層には影響と決めてほしいこと、法務には事実と時系列、技術の担当には具体的な作業を伝える
4. 情報の扱い：被害の状況や弱点に触れるため、保存先や受け渡しの方法を発注元の決まりに合わせる

フリーランスならではの仕事として、自分の稼働の記録もあります。事案が起きた週は稼働が膨らみやすく、時間外の対応をどう数えるかは契約で決まります。日々の記録がないと、精算の確認も交渉もできません。

隣の職種との境目

インシデント対応の仕事は、隣の職種と重なる部分があります。監視の画面でアラートを分析する仕事はSOCの仕事内容、設計や診断などの技術の作業はセキュリティエンジニアの仕事内容、規程や管理体制の助言はセキュリティコンサルタントの仕事内容が近い内容です。募集の名称だけで判断せず、どの工程を任されるかで見分けましょう。

よくある質問

事故が起きていない時期は、何をしていることが多いですか？

常駐や継続の案件では、相談の受付と一次判断、手順の見直し、注意喚起の文面づくり、訓練の準備などを進めます。体制づくりの案件では、聞き取りと文書づくりが中心です。事故のない時期の仕事の量は案件によって違うため、参画前に平時の業務の内容を確かめておくと安心です。

夜間や休日の対応はどの案件にも入りますか？

案件によります。体制づくりの案件は日中の稼働が中心のことが多く、常駐の対応や有事の支援では時間外の当番や呼び出しが条件に入ることがあります。受けるかどうかは、案件を探す前に決めておきましょう。決め方はCSIRT・インシデント対応の報酬の記事で解説しています。

参画して最初の1か月は何をすることが多いですか？

連絡の流れと判断の権限の把握、手順書と過去の対応の記録の読み込み、関係部署の窓口との顔合わせから始めるのが一般的です。初月の進め方はCSIRT・インシデント対応の参画初月にやることで詳しく解説します。