セキュリティエンジニアのフリーランス案件の選び方｜契約前に確かめたいこと

セキュリティエンジニアのフリーランス案件を選ぶときは、報酬や稼働日数に加えて、担う工程、対象の範囲と承諾、作業の場所と端末、時間外の対応、契約の形と責任の範囲、情報の扱い、契約期間と区切りの7点を契約前に確かめておくことが大切です。セキュリティの案件は、同じ「診断」「セキュリティ対策」の募集でも、この7点の違いで負担とリスクが大きく変わります。

特に見落としやすいのは、作業の承諾が誰から出ているかと、見つけられなかった問題の責任をどこまで負うかです。この記事では、セキュリティの案件に固有の確認点を整理します。契約書全般の確認点は業務委託契約書のチェックポイントで解説しています。

セキュリティの案件で選び方の差が出る理由

セキュリティの案件票は、「Webアプリの脆弱性診断」「クラウドのセキュリティ対策」のように短く書かれることが多く、参画してから想定との違いに気づくことがあります。よくあるずれは次のようなものです。

• 診断だけのつもりが、直し方の相談や再診断まで求められた
• 日中の作業のつもりが、業務に影響しない夜間の作業が中心だった
• 設定の点検の案件なのに、事故が起きたときの対応にも呼ばれるようになった
• 自宅から作業できると思っていたが、指定の場所と端末でしか作業できなかった

セキュリティの案件では、こうしたずれが負担の問題だけでなく、作業の正しさや法律の問題につながることがあります。だからこそ、契約前の確認の重みが大きくなります。

契約前に確かめたい7つの点

1. 担う工程は、指摘までか、直し方までか

最初に確かめたいのは、仕事がどこで終わるかです。

• 診断して報告書を出すまでか
• 開発チームへの説明や、直し方の相談まで担うか
• 直した後の再診断まで含むか

工程が後ろに伸びるほど、稼働と責任が増えます。面談では「報告書の提出の後、どこまで関わることを期待しているか」を聞くと、実態が見えやすくなります。

2. 対象の範囲と、作業の承諾

診断や点検の案件では、対象の範囲と、その対象への作業を誰が承諾しているかを確かめます。

• 対象のシステム、URL、IPアドレスなどの範囲
• 行ってよい手法と、行わない操作
• 対象の管理者が作業を承諾しているか。発注元と対象の管理者が違う場合（グループ会社や委託先のシステムなど）は特に注意する
• クラウドの上の対象なら、クラウド事業者の決まりに沿っているか

承諾のない対象への作業は、不正アクセスの問題になるおそれがあります。取り決めの考え方はセキュリティエンジニアがフリーランスになるにはで解説しています。

3. 作業の場所、端末、接続元

• リモートで作業できるか、指定の場所に行くか
• 自分の端末を使うか、発注元から貸与されるか
• 診断の通信をどの回線から出すか。接続元の届け出が必要か

場所と端末の条件は、働き方だけでなく、作業の記録をどこに残すかにも関わります。リモートの条件はセキュリティエンジニアのリモート案件の記事で整理しています。

4. 時間外の対応と、その扱い

• 業務に影響しない時間帯の作業（夜間・休日）があるか
• 監視の当番や、事故が起きたときの呼び出しの体制に自分が入るか
• 時間外の作業は、稼働時間にどう数え、どう精算するか

時間外の対応は、案件票に書かれていないことがあります。精算の仕組みは精算幅の記事をご覧ください。

5. 契約の形と、負う責任の範囲

フリーランスのセキュリティエンジニアは、準委任契約で参画することが多くあります。準委任では、仕事の完成ではなく、専門家として通常求められる注意を払って業務を行うことが約束の中身になります。

確かめたいのは、契約書の書き方がこの考え方と合っているかです。

• 「すべての脆弱性を発見する」のように、見つけられなかった問題まで責任を負う書き方になっていないか
• 診断の作業でシステムに影響が出たときの責任と、損害賠償の上限
• 報告書の納品が求められる場合、その範囲と検収の方法

診断でシステムに影響が出る可能性はゼロにはできません。損害賠償の上限は損害賠償の上限の記事、備え方はフリーランスの賠償責任保険、契約の形の違いは準委任契約と請負契約の違いで解説しています。

6. 情報の扱いと、終わったときの消去

• 秘密保持の範囲と、契約の終了後も続く期間
• 作業の記録や報告書をどこに保管し、終了時にどう消去・返却するか
• 業務外で、得た知見をどこまで使ってよいか（講演や記事など）

セキュリティの案件では、弱点という特に重い情報を扱います。秘密保持の考え方はNDAの記事をご覧ください。

7. 契約期間と、仕事の区切り

診断の案件なら、契約の期間と診断・報告の日程が合っているか。設計や監視の案件なら、契約の更新の時期と、大きなリリースや体制の変わり目が重なっていないかを確かめます。

フリーランス法では、6か月以上継続して業務を委託している場合に、契約を途中で解除したり更新しなかったりするときは、少なくとも30日前までに予告することが求められています（2026年10月時点、公正取引委員会の案内による）。詳しくは契約解除の予告の記事をご覧ください。

確かめた内容を書面と照らし合わせる

面談や事前の確認で聞いた内容は、契約の前に書面と照らし合わせます。フリーランス法では、発注する事業者は業務を委託したら直ちに、給付の内容、報酬の額、支払期日などの取引条件を、書面または電子メールなどの電磁的方法で明示することとされています。報酬の支払期日は、給付を受け取った日から60日以内のできる限り短い期間内で定めることとされています（いずれも2026年10月時点、公正取引委員会の案内による）。明示される事項はフリーランス法で明示される取引条件をご覧ください。

セキュリティの案件では、特に次の点が書面に反映されているかを確かめます。

1. 業務の内容に、担う工程（診断、報告、説明、再診断など）が書かれているか
2. 対象の範囲と手法が、別紙や作業の計画書で特定されているか
3. 見つけられなかった問題の責任や、損害賠償の上限の書き方
4. 時間外の作業の扱いと精算方法
5. 情報の保管と、終了時の消去・返却

面談で聞いておくとよい質問はセキュリティエンジニアの面談でよく聞かれる質問と答え方の逆質問の項目でも紹介しています。一般的な逆質問の考え方は面談で聞いておくべき逆質問をご覧ください。

よくある質問

診断の報告書の後の相談まで頼まれたら、受けるべきですか？

直し方の相談まで関われると、経験の幅が広がり、次の案件でも評価されやすくなります。ただし、稼働が増えるため、契約の業務範囲に入っているか、入っていない場合は条件をどうするかを、引き受ける前に確かめましょう。

発注元と対象のシステムの管理者が違う場合はどうすればよいですか？

対象の管理者が作業を承諾していることを、作業の前に書面やメールで確かめることをおすすめします。発注元が「承諾は取ってある」と言う場合でも、承諾の範囲と期間が自分の作業と合っているかを確かめておくと安心です。

報酬の高い案件と、条件のはっきりした案件で迷ったらどうしますか？

一概には言えませんが、セキュリティの案件では、時間外の対応や範囲の広がりが多いと、時間あたりの報酬が下がることがあります。報酬の額だけでなく、稼働の見込みと責任の範囲を合わせて比べるとよいでしょう。報酬の決まり方はセキュリティエンジニアの報酬の記事で解説しています。