セキュリティエンジニアのフリーランスはリモートで働ける？案件の傾向と探し方

セキュリティエンジニアは、外部に公開されたWebアプリやAPIの診断、クラウドの設定の確認、設計のレビューなどで、リモートで働けるフリーランス案件があります。診断の対象がインターネットから届く場所にあれば、作業の多くは離れた場所から進められます。

一方で、社内のネットワークの中にある機器の診断、事故の調査での証拠の保全、事故が起きた直後の初動対応では、現地に行くことが求められやすくなります。セキュリティの案件は、場所の条件に加えて「どこから、どの許可で、対象にアクセスするか」を先に決めておく必要があります。この記事では、その事情を整理します。

リモートで進めやすい案件と現地が入りやすい案件

セキュリティの案件は、対象がどこにあるかで、リモートとの相性がはっきり分かれます。

分野ごとに求められる技術はセキュリティエンジニアの案件で求められるスキルで解説しています。

現地が求められやすい場面

• 社内のネットワークの中にある対象：インターネットからは届かない機器を調べるため、拠点に診断用の端末を持ち込むか、取引先が用意した端末を拠点に置いて遠隔で操作する
• 工場や設備の制御系：止められない機器が多く、作業の時間帯や手順を現場の担当者と調整しながら進める
• 証拠の保全：パソコンやサーバーの記録を、手を加えずに複製する作業は、機器のそばで行うことが多い
• 事故の初動：関係者が集まり、短い間隔で判断を重ねる。被害が広がっている間は、ネットワークの遮断や機器の隔離を現地で行うこともある
• データの持ち出しが禁じられた環境：診断の結果や記録を社外に出せず、決められた部屋の端末で報告書を作る

同じ案件の中でも、外部からの診断はリモート、社内の診断は現地、という分け方はよくあります。作業ごとの場所を確かめておきましょう。

診断の許可と接続元を先に決める

リモートで診断をするときに、技術より先に整えるべきなのが、許可の範囲と接続元です。

許可があることが前提になる

不正アクセス禁止法は、他人の識別符号（IDとパスワードなど）を入力したり、アクセスの制限を免れる情報や指令を入力したりして、制限された利用ができる状態にする行為を「不正アクセス行為」とし、禁止しています。ただし、アクセスの制御を設けたアクセス管理者が自ら行うものや、その承諾を得て行うものは除かれています（第2条第4項、第3条）。診断の仕事は、この承諾があることを前提に成り立っています。

そのため、診断の対象（URLやIPアドレス）、期間と時間帯、行ってよい検査と行わない検査、緊急の連絡先を、作業の前に書面で取り決めておくことが大切です。リモートでは、対象の打ち間違いなどで範囲の外に届いてしまう危険もあります。対象の一覧は取引先から受け取ったものを使い、自分で書き写さない工夫をしておくと安心です。

クラウドの上の対象は事業者の決まりも確かめる

対象がクラウドの上にある場合は、クラウドの事業者の決まりもあわせて確かめます。たとえばAWSは、指定されたサービスについては事前の承認なしに顧客が侵入テストを行えるとしつつ、サービス妨害の攻撃やその模擬、大量の要求を送りつける検査などを禁じています。また、レッドチームの演習や模擬のフィッシングなどは、開始の2週間前までに専用の申請を出すよう求めています（2026年10月時点の公式ページ）。どの事業者のどのサービスの上にあるかで決まりが違うため、取引先と一緒に確かめておきましょう。

診断元の回線を届け出る

自宅から診断する場合は、どの回線から通信が出るかを取引先に届け出ます。取引先の監視の担当者が攻撃と取り違えないように、また、防御の仕組みで通信が遮断されないようにするためです。自宅の回線の接続元が変わる契約だと届け出ができないため、取引先が用意した接続の経路や、固定の接続元を使う決まりになっていることもあります。

リモートでの進め方

開始と終了をその都度知らせる

診断の作業は、開始と終了をチャットなどで取引先に知らせます。対象の動きが重くなった、意図しない反応が出た、といったときに、すぐに止めて連絡できる体制を先に決めておきます。

重大な発見は報告書を待たずに伝える

外部から悪用されやすい脆弱性が見つかったときは、最終の報告書を待たずに速報する決まりにしておくと、取引先が早く手を打てます。速報の宛先と方法も、作業の前に決めておきましょう。

報告の受け渡しの方法を決める

診断の結果は、それ自体が攻撃の手がかりになる機密の情報です。メールの添付で送らない、取引先の指定する共有の場所に置く、といった受け渡しの方法を先に決めておきます。

端末・接続・情報管理で確かめること

1. 診断用の端末：業務専用の端末を使うか。家族との共用や、私用との混在がないか
2. 接続元：自宅の回線から診断してよいか、指定の経路や接続元を使うか
3. 診断の記録の保管：通信の記録や画面の写しをどこに、いつまで置くか
4. 作業後の削除：契約が終わったときに、手元の記録をどう消し、どう報告するか
5. 報告書の受け渡し：暗号化の方法、共有の場所、閲覧できる人の範囲
6. 監視の当番：夜間や休日の連絡を受けるか、受けるならその時間の扱い

総務省の「テレワークセキュリティガイドライン」（第5版、2021年5月公表）も、テレワークでの端末や通信の管理を整理しています。セキュリティの専門家として、取引先の決まりに沿った環境を自分から示せると、リモートでも任されやすくなります。

リモート案件の探し方

外部からの診断の経験を具体的に書く

リモートの案件では、診断の技術に加えて、許可の範囲をどう取り決め、どう報告してきたかが見られます。スキルシートには、対象の種類、診断の方法、速報の経験などを書いておくと伝わります。書き方はセキュリティエンジニアのスキルシートの書き方をご覧ください。

隣の分野の案件も見る

クラウドの設定の確認は、クラウドの構築や運用の案件と組み合わせて求められることがあります。AWSエンジニアのリモート案件やSREのリモート案件の記事も参考になります。規程づくりや監査の対応に軸足を移したい方は、セキュリティコンサルタントのリモート案件の記事もご覧ください。

よくある質問

自宅の回線から脆弱性診断をしてもよいですか？

取引先との取り決めによります。診断元の回線を届け出たうえで認められることもあれば、指定の経路や接続元からしか診断できない決まりのこともあります。自己判断で始めず、作業の前に取り決めておくことをおすすめします。

監視の運用の案件でもフルリモートはありますか？

あります。ただし、監視の部屋に入る決まりがある、夜間や休日の当番がある、といった条件が付くことが多くなります。対応する時間帯と、事故が起きたときに現地に行くかどうかを確かめておきましょう。

事故の調査の案件は、リモートでは難しいですか？

初動の段階では、現地での証拠の保全や関係者との打ち合わせが求められやすくなります。一方、集めた記録の分析や報告書の作成は、取引先の決まりの範囲でリモートで進むこともあります。どの段階を担当するかで条件が変わります。