SOCアナリストのフリーランス面談でよく聞かれる質問と答え方の準備

フリーランスのSOCアナリストの面談でよく聞かれるのは、どの段を担ってきたか、何を根拠に上に上げたか、誤検知をどう見分けたか、扱った製品で何をしたか、引き継ぎと夜間をどう回してきたかの5つです。面談官は、扱ったアラートの件数より「この人に監視の枠を任せたら、迷う事象が来たときにどう動くか」を確かめようとしています。

答えるときは、模範解答を覚えるより、自分の経験から「判断の場面」を3〜4つ選び、どの質問にもそこから答えられるように準備しておくのが近道です。面談全般の答え方の型は業務委託の面談でよく聞かれる質問と答え方で解説しているので、この記事ではSOCの面談に固有の質問に絞ります。

SOCの面談で面談官が見ていること

SOCの面談に出てくるのは、監視のチームのリーダーや、セキュリティ部門の担当者であることが多く、本人も監視や分析の経験を持っています。そのため、製品名や用語の多さより、話の中に出てくる確かめた順番と、判断の根拠を聞いています。

面談官が知りたいのは、おおむね次の3点です。

1. 任せられる段：一次分析を手順どおりに回すのか、手順にない事象も判断できるのか、深掘りやルールの改善までできるのか
2. 迷ったときの動き方：判断がつかない事象を抱え込まず、根拠を添えて上げられるか
3. チームとの相性：引き継ぎ、記録、情報の扱いが、チームのやり方に合うか

以下の質問は、この3点のどれかを確かめるためのものです。

よく聞かれる質問と答え方の考え方

ここで示す答えの例は、組み立て方を伝えるための架空の例です。そのまま使うのではなく、ご自身の経験に置き換えて準備してください。

1. 「直近の現場で担っていた段と、監視の形を教えてください」

確かめたいのは任せられる段です。監視サービスの事業者か社内SOCか、受け持った顧客の数の規模感、自分の段（一次・二次・改善）、時間帯を短く伝えます。期間の途中で段が変わった場合は、前半と後半を分けて話すと、後の質問との食い違いが起きません。

架空の例：「監視サービスの事業者で、複数の顧客の監視を交代勤務で担当しました。前半は一次分析、後半は二次分析にも入り、夜間は一次分析を一人で担う時間帯がありました」

2. 「アラートを上に上げるかどうかは、何を見て決めていましたか」

SOCの面談で最も掘り下げられる質問です。答えは次の順番で組み立てると伝わりやすくなります。

• 最初に見たもの（アラートの中身と、元のログ）
• 普段の動きと比べた点（時間帯、送信元、アカウント、端末の使われ方）
• ほかのログで確かめたこと
• 上げると決めた理由、または上げないと決めた理由
• 上げたときに添えた材料

「手順書どおりに上げていました」だけで終わると、判断の中身が見えません。上げなかった判断の理由まで話せると、自分で考えて動ける人だと伝わります。

3. 「誤検知だと判断した例を教えてください」

運用の担当者の正しい作業と、攻撃者が同じ道具を悪用した動きを、どう見分けたかを聞く質問です。作業の予定や申請の記録と突き合わせた、同じ操作が過去にもあったかを確かめた、といった文脈の確かめ方を話します。誤検知が続いたルールを、どう報告し、改善につなげたかまで話せると評価が上がりやすくなります。

4. 「使ったSIEMやEDRで、具体的に何をしましたか」

製品名を並べるより、使った機能と目的を組にして話すことが大切です。保存済みの検索を実行していたのか、自分で検索言語の条件を書いていたのか、EDRで検知の前後の記録をさかのぼっていたのかを分けて伝えます。使ったことのない製品の案件なら、「絞る・集める・比べる」の考え方は同じであることを、手元の経験で説明できるようにしておきます。

5. 「攻撃の流れの中で、その事象はどこに当たると考えましたか」

二次分析の段を任せられるかを確かめる質問です。実際の観測に基づいて攻撃者の戦術と技術を整理したMITRE ATT&CKのような枠組みの言葉で、侵入、権限の取得、横への広がりなどのどの段階かを説明し、次に何を確かめたかを話します。言葉を知っているかより、その見立てで次の調査をどう決めたかが見られています。

6. 「引き継ぎでは何を残していましたか」

交代で動く仕事のため、チームとの相性を確かめる質問です。対応中の事象、待っている返事、次に確かめること、判断の根拠を、どの書式で残していたかを話します。引き継ぎの漏れで困った経験と、その後に書式をどう変えたかがあれば、具体的な材料になります。

7. 「夜間に一人のとき、判断に迷ったらどうしていましたか」

夜間の枠を任せられるかを確かめる質問です。呼び出しの基準、誰にどの手段で連絡したか、連絡がつかないときの決まりを話します。一人で抱え込まず、決まりに沿って上げたことを示すのが中心です。

8. 「なぜフリーランスでSOCの仕事をしているのですか」

長く続けられるか、時間帯の条件がぶれないかを確かめる質問でもあります。働き方の希望だけでなく、どの段を伸ばしたいかを添えると、案件との合い方が伝わります。

準備は「判断の場面」を3〜4つに絞る

1. 場面を選ぶ：上げた事象、誤検知と判断した事象、夜間に迷った事象、ルールや手順を直した場面など、性質の違うものを3〜4つ選ぶ
2. 場面ごとにメモをつくる：最初に見たもの、確かめたログ、判断と理由、上げ方、結果、学びを書き出す
3. 監視の形をそろえる：監視の場、段、時間帯、扱った製品を、どの場面でも同じ言い方で話せるようにする
4. 監視先の情報を伏せた言い方にする：顧客名、IPアドレス、ホスト名、ルールの中身を出さずに話せる表現を決める
5. スキルシートと照らし合わせる：シートの「判断の範囲」の欄と話の内容が一致しているかを確かめる

面談官はシートを見ながら質問するため、話とシートがずれると、どちらも信用されにくくなります。シートの書き方はSOCアナリストのスキルシートの記事、冒頭の自己紹介は面談の自己紹介の記事で解説しています。ログを見せて判断を聞く形の確認がある場合の備え方は技術テストの記事も参考になります。

面談の相手によって重心が変わる

監視事業者を経由して事業会社の監視に入る案件では、両方と面談することもあります。その場合、事業者の面談では振り分けと交代の運用、事業会社の面談では報告とやり取りに重心を置くと、限られた時間を有効に使えます。

SOCならではの逆質問

逆質問は、印象づくりより参画後のずれを防ぐ確認に使います。SOCの案件では、次の点を聞いておくと判断がしやすくなります。

• 自分が担う段と、上に上げる先、判断を任される範囲
• 1回の担当で見るアラートの量の目安と、誤検知の多さ
• 夜間の体制（一人の時間帯があるか、呼び出しの基準）
• EDRでの隔離などの操作を、誰の承認で行うか
• 作業の場所と端末の決まり、リモートに移れる時期

一般的な逆質問の考え方は業務委託の面談で聞いておくべき逆質問にまとめています。聞いた内容は、契約前の確認にもそのまま使えます。確認点はSOCアナリストの案件の選び方で整理しています。

よくある質問

一次分析の経験しかありませんが、面談で何を話せばよいですか？

一次分析の中で、手順書にない事象をどう扱ったか、誤検知と判断した根拠は何か、引き継ぎで工夫したことは何かを中心に話します。判断の中身が話せれば、手順どおりの振り分けだけの経験とは区別して受け止めてもらえます。

面談でログを見せられて、その場で判断を聞かれることはありますか？

案件によっては、架空のログやアラートを示して、どう見るかを聞かれることがあります。正解を一つ当てるより、何を確かめ、何が分かれば判断できるかを順に話すことが大切です。分からない点は分からないと伝え、確かめ方を示しましょう。

使ったことのない製品の案件は、面談で不利になりますか？

不利になることはありますが、検索の考え方とログの意味を説明できれば、製品の違いは参画後に埋められると見てもらえることがあります。使った製品で何をしたかを、目的と組にして具体的に話せるように準備しましょう。見送られやすい理由は面談で見送られる理由の記事で解説しています。