SOCアナリストのフリーランス案件｜報酬の決まり方と単価を上げる考え方

SOCアナリストのフリーランス案件の報酬は、アラートの一次分析だけを担うのか、エスカレーションの判断や検知ルールの改善まで担うのか、シフトや夜間の扱い、扱うSIEM・EDRと環境、監視する相手の数、稼働の形と商流で決まります。SOCアナリストの単価について公的な統計はなく、案件によって大きく変わります。

同じ「SOCの監視」でも、手順書どおりにアラートを振り分ける役割と、誤検知を減らすルールを書き、判断の基準を作る役割では、求められる経験がまったく違います。この記事では、報酬を左右する要素と、時間の数え方をめぐる契約の注意、交渉で示せる材料を整理します。

SOCの案件は「どの段を担うか」で決まる

SOCの仕事は、アラートを受けてから対応を終えるまでの流れのどこを担うかで、役割が分かれます。報酬の差も、この段の違いから生まれることがほとんどです。

事象が重大になり、封じ込めや復旧の指揮に移った後は、インシデント対応（CSIRT）の領域になります。その報酬の考え方はCSIRT・インシデント対応の報酬の記事、セキュリティ全体の型の違いはセキュリティエンジニアの報酬の記事をご覧ください。

報酬を左右する主な要素

1. 判断を任されているか

一次分析でも、「手順書にない事象をどう扱うか」を自分で判断して上に上げられる人と、手順書の範囲でしか動けない人では、任される範囲が違います。エスカレーションの判断の根拠を言葉で説明できるかが、評価の分かれ目になります。

2. 検知ルールを書けるか

SIEMの検索言語で検知の条件を書き、誤検知の原因を見つけて直せる人は、監視の質を上げる側に回れます。SOCの悩みの多くは「アラートが多すぎて本当に危ないものが埋もれる」ことにあるため、ここを改善できる経験は条件に反映されやすくなります。

3. シフトと夜間の扱い

24時間の監視では、日勤・夜勤の交代や、夜間の呼び出しへの対応が入ります。夜間の枠を担う場合、その負担が報酬にどう反映されるかは案件によって違います。月額の中に含まれているのか、時間帯で区別されるのかを、提示の段階で確かめましょう。

4. 扱う製品と環境

SIEMやEDRは製品ごとに画面や検索言語が違い、経験のある製品が案件と合うかで、立ち上がりの早さが変わります。製品の側も変わり続けています。たとえばMicrosoftは、Microsoft SentinelのAzure portalでの提供を2027年3月31日までとし、以後はDefenderポータルでの利用に一本化するとしています（2026年10月時点のMicrosoft Learnの記載）。こうした移行の経験は、移行を控えた現場で強みになります。

5. 監視する相手の数

一つの会社の社内SOCで監視するのか、監視サービスの事業者の中で複数の顧客を受け持つのかで、仕事の性質が変わります。複数の顧客を受け持つ場合は、顧客ごとの環境や報告の決まりを切り替えて扱う力が求められます。

時間の数え方をめぐる契約の注意

SOCの案件は、シフトで時間が決まることが多いため、報酬の計算と時間の数え方を契約の段階でそろえておくことが特に大切です。

1. 精算幅とシフトの関係：月の稼働時間に幅を決める契約で、シフトの組み方によって幅を超えたり下回ったりしないかを確かめます。考え方は精算幅の記事で解説しています
2. 引き継ぎの時間：交代のときの引き継ぎが稼働時間に入るのかを決めておきます
3. 呼び出しの扱い：待機しているだけの時間と、実際に対応した時間を、それぞれどう扱うかを書面にします
4. シフトの決め方：シフトを誰がどう決めるのか、希望をどう伝えるのかを確かめます
5. 休日と年末年始：24時間の監視は休日も止まりません。休日や年末年始の枠に入るのか、入る場合の扱いがどうなるのかを確かめておきます

業務委託でシフトに入る場合、勤務の時間や手順を発注元から細かく指示される形になると、実態によっては偽装請負の問題が生じることがあります。線引きの考え方は偽装請負の記事をご覧ください。個別の判断が必要なときは、労働局などの窓口や専門家にご相談ください。

単価が上がりやすい経験・下がりやすい状況

上がりやすい経験

• 検知ルールの作成と見直し：誤検知を減らし、対応すべきアラートだけが届く状態に近づけた
• 手順書の整備：判断に迷いやすい事象の扱いを手順書に落とし、交代の担当者でも同じ判断ができるようにした
• EDRでの深掘り：端末の動きを時系列で追い、影響の範囲を説明できる
• 製品の移行や新規導入：SIEMの入れ替えや、ログの取り込みの設計に関わった

下がりやすい状況

• 手順書どおりの振り分けだけを続けている：自動化が進むほど、外部の人に頼む理由が薄くなりやすい
• 判断の根拠を残していない：上に上げた理由が記録に残らないと、評価の材料になりにくい
• 一つの製品の画面操作しか説明できない：製品が変わると、経験が伝わりにくくなる

同じSOC案件でも提示額が違う理由

• 担う段が違う：一次分析か、二次分析や検知の改善まで含むか
• 時間帯が違う：日勤のみか、夜勤や呼び出しを含むか
• 作業の制約が違う：指定の場所や端末でしか監視できない案件は、応募できる人が限られる
• 契約までの経路が違う：事業会社と直接か、監視サービスの事業者やSIerを経由するか。詳しくは商流の記事を参照

月額だけでなく、精算幅、夜間の扱い、契約期間、支払期日までそろえて比べましょう。単価の全体像はフリーランスの単価の決まり方でまとめています。

交渉で示せる材料

数字を示すときは、監視先の環境や事象の中身が外に出ない形にとどめます。伝え方は単価交渉の記事、実績の書き方はSOCアナリストのスキルシートの記事をご覧ください。

よくある質問

SOCアナリストの単価の相場はいくらですか？

公的な統計はなく、担う段、夜間の有無、稼働日数、商流によって大きく変わります。相場の数字を探すより、ご自身がどの段まで担えるか、検知ルールを書けるかを整理し、複数の案件で条件をそろえて比べるほうが判断の材料になります。

夜勤のある案件のほうが報酬は高くなりますか？

夜間の負担が条件に反映される案件もありますが、扱いは案件によって違います。月額に含まれているのか、時間帯で区別されるのかを提示の段階で確かめましょう。体への負担や、ほかの予定と組み合わせにくい点も含めて判断することをおすすめします。

一次分析しか経験がなくても単価を上げられますか？

一次分析の中でも、手順書にない事象をどう判断したか、誤検知の傾向をどう報告したかは、評価の材料になります。ルールの見直しや手順書の改善に関わる機会を作り、判断の根拠を言葉で説明できるようにしておくと、任される段を広げやすくなります。