セキュリティエンジニアのフリーランスの将来性とキャリアの広げ方

セキュリティエンジニアの仕事は、決まった時期に診断して報告書を出す、決まった監視を回すといった単発・定型の作業から、AIを組み込んだシステムの検証、開発の流れの中での継続的な確認、取引先から求められる対策の証明へと広がっています。攻撃の手口だけでなく、守る対象と、守れていることを示す相手が増えているためです。

フリーランスとして選択肢を広げるには、今の得意分野（診断・クラウド・監視と対応など）を軸に、「AIを使うシステム」「開発工程」「復旧までを見据えた備え」のどれかへ一歩広げるのが現実的です。この記事では、IPAなどが公表した事実を土台に、役割の変わり方と経験に応じた広げ方を整理します。

公表されている変化：守る対象と、示す相手が増えている

10大脅威2026で「AIの利用」が初めて入った

IPA（情報処理推進機構）が2026年1月に公表した「情報セキュリティ10大脅威 2026」の組織向けでは、1位が「ランサム攻撃による被害」（11年連続）、2位が「サプライチェーンや委託先を狙った攻撃」、3位が初めて選ばれた「AIの利用をめぐるサイバーリスク」、4位が「システムの脆弱性を悪用した攻撃」でした。

上位は長く入れ替わっていない脅威が多い一方、AIが新たに上位に入りました。セキュリティエンジニアが確かめる対象に、生成AIやAIエージェントを組み込んだシステムが加わってきたと読めます。

情報処理安全確保支援士試験の出題範囲が見直される

IPAは、現行の試験制度を2026年度の実施で終え、2027年度から新しい制度に移る予定としています。情報処理安全確保支援士試験は続きますが、試験時間や科目Bの出題形式が変わり、科目Bの出題範囲はマネジメント分野の強化など一部が変更される案です。新制度での実施は2027年度の夏ごろから秋ごろの予定とされています。

2026年3月に公表された出題範囲の案には、たとえば次の項目が並んでいます。

• AIの安全な導入・利用に関する規程を含む、組織内の規程の策定
• IoTやクラウドサービスを含む、製品・サービスのセキュアな導入
• ファジング、脆弱性診断、ペネトレーションテストなどのセキュリティテスト
• 開発環境のセキュリティ確保、脅威インテリジェンスの活用、サプライチェーンの情報セキュリティの推進

技術の作業を担う人にも、AIやサプライチェーンを含めて、組織の守り方を考える視点が求められていることが分かります。

取引先に対策を示す評価制度の準備が進む

経済産業省などが進める「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）は、IPAが運営し、★3・★4の2つの段階について、2027年3月の受付開始に向けて準備が進められています。★4は第三者による評価で、文書の確認に加えて、実地の審査と脆弱性検査などの技術的な検証が行われるとされています。技術検証を担う事業者は、要件を満たしているかの審査を受けて登録する仕組みです。

制度の全体像と、助言する側の役割はセキュリティコンサルタントの将来性で扱っています。

役割はどう変わるか

診断ツールや監視の仕組みは自動化が進み、定型の作業は軽くなる方向にあります。そのぶん、ツールの結果をどう読み、どこを人の手で確かめるかを決める判断の重みが増していくと考えられます。

選択肢を広げる3つの方向

1. AIを使うシステムの検証へ

生成AIやAIエージェントを組み込んだシステムで、外部から細工した入力でAIの動きを変えられないか、AIに渡した権限が広すぎないか、扱うデータが意図せず外へ出ないかを確かめる仕事です。Webアプリの診断の経験は、入力と権限を疑う考え方として、そのまま土台になります。

作る側の変化は生成AIエンジニアの将来性で扱っています。作る側の事情を知っておくと、直し方の提案が具体的になります。

2. 開発工程とクラウドの中へ

リリース前の診断だけでなく、コードやクラウドの設定の確認を開発の流れに組み込み、変更のたびに確かめられるようにする仕事です。試験の出題範囲の案に、開発環境のセキュリティ確保やクラウドサービスのセキュアな導入が並んでいるのは、この流れと重なります。

インフラや開発の出身の方が強みを出しやすい方向です。クラウドの側からの見方はAWSエンジニアの将来性、運用の側からの見方はSREの将来性が参考になります。

3. 復旧までを見据えた備えへ

ランサム攻撃が長く1位であることから分かるように、侵入を完全に防ぐことは難しく、被害を広げない設計と、止まった業務を戻す手順の準備が重要になります。バックアップの切り離し、権限の分割、復旧の訓練などを設計し、実際に試す仕事です。

監視や事故対応の経験がある方は、この方向で経験を生かせます。対応の手順書づくりや訓練の設計まで担えると、マネジメントの側との接点も増えます。

経験の段階ごとの進め方

一つの分野の作業を担ってきた段階

診断なら診断、監視なら監視と、一つの分野の作業を一通りこなせる段階です。次の一歩として、見つけた問題が直るまで、または事故の後に再発防止の手が打たれるまで関わる経験を狙います。独立前に積みたい経験はセキュリティエンジニアがフリーランスになるにはで解説しています。

分野をまたいで担ってきた段階

診断と開発、監視とクラウドなど、二つ以上の分野を経験したら、上の3つの方向から一つを選びます。分野ごとに求められる技術の中身はセキュリティエンジニアに求められるスキルにまとめています。この段階で情報処理安全確保支援士の登録をしておくと、経験の幅を説明する裏付けになります。登録の更新には講習の修了が必要なため、継続の手間も見込んでおきましょう。

組織の守り方を決める側に近づいた段階

対策の優先順位を決める、規程と技術の対策をつなぐといった経験が増えてきたら、技術を軸にしたまま、助言や評価の側へ広げる道があります。試験の出題範囲の案でマネジメントの分野が強められたことも、この流れと重なります。

今の案件でできる準備

1. 直るまでの記録を残す：見つけた問題が、誰とどう話して、どう直ったかを、社外に出せない情報を伏せて書き留めます
2. AIを組み込んだ機能に触れる：担当している環境にAIの機能があれば、入力と権限の観点で確かめる機会を作ります
3. 出題範囲の案に目を通す：AIの規程やサプライチェーンなど、作業では触れにくい分野を確かめます
4. 評価制度の動きを追う：SCS評価制度の技術検証の要件が今後どう示されるか、公式の情報で確かめておきます

実績の書き方はセキュリティエンジニアのスキルシートの記事、報酬の決まり方はセキュリティエンジニアの報酬の記事で解説しています。

よくある質問

診断ツールの自動化が進むと、診断の仕事はなくなりますか？

定型の検査は軽くなりますが、ツールの結果のうち本当に危ないものを見分けること、ツールでは見つけにくい権限や業務の流れの問題を確かめること、直し方を開発者と決めることは、人の判断が要る部分です。AIを組み込んだ機能のように、確かめ方がまだ固まっていない対象も増えています。

新しい試験制度の前に、情報処理安全確保支援士を取っておくべきですか？

試験は新制度でも続く予定です。IPAは、2027年度の新制度でも科目A-2の免除の扱いは変えない予定としています。受験の時期は、出題形式の変更点を公式の情報で確かめたうえで、自分の準備の状況に合わせて決めるとよいでしょう。

マネジメント寄りの仕事に移らないと、先がありませんか？

技術の作業を軸に続ける道もあります。AIを使うシステムの検証や、開発工程への組み込みは、技術の深さが求められる仕事です。そのうえで、対策の優先順位や規程とのつながりを説明できるようにしておくと、評価や助言の場面にも関われるようになります。