SOCアナリストのフリーランス案件の仕事内容｜案件の種類別の1日・1か月の流れ

フリーランスのSOCアナリストの仕事は、アラートを見て、確かめて、上に上げるかを決め、記録を残すことの繰り返しです。ただ、監視サービスの事業者で交代勤務に入るのか、事業会社の社内SOCに入るのか、検知の改善や導入・移行のプロジェクトに入るのかで、1日の時間の使い方も、向き合う相手も、手元に残る成果物も大きく変わります。

この記事では、SOCの案件を4つの種類に分け、それぞれの1日と1か月の流れ、関わる相手、成果物を整理します。報酬の決まり方はSOCアナリストの報酬の記事、求められるスキルはSOCアナリストのスキルの記事で扱っているので、ここでは「参画したら実際に何をしているか」に絞ります。

仕事の中身は「担う段」と「監視の場」で決まる

SOCの案件は、同じ「監視」の募集でも働き方がまったく違うことがあります。違いを生むのは、主に次の2つです。

• 担う段：一次分析（振り分け）、二次分析（深掘り）、検知の改善、仕組みづくりのどこを担うか
• 監視の場：複数の顧客を受け持つ監視サービスの事業者か、一つの会社を深く見る社内SOCか

この2つを掛け合わせると、フリーランスのSOC案件はおおむね次の4種類に分けられます。

以下では、それぞれの1日と1か月の流れを典型的な例として紹介します。時間の配分は案件ごとに違うため、目安として読んでください。

監視事業者での交代監視の仕事

1日の流れ（例）

担当の時間の始まりに、前の担当者からの引き継ぎを読み、対応中の事象と、顧客からの返事を待っているものを確かめます。その後は、届いたアラートを順に開き、元のログやEDRの記録を見て、誤検知か、顧客に知らせるべきか、二次分析に上げるべきかを手順に沿って判断します。

顧客に知らせると決めた事象は、決められた書式で一報を作り、リーダーの確認を経て送ります。夜間は人数が少なく、一人で一次分析を担う時間帯がある現場もあります。担当の時間の終わりには、次の担当者がそのまま動けるように、対応中の事象と次に確かめることを文字で残します。

1か月の流れ（例）

• シフトの確定：翌月の日勤・夜勤の組み合わせを、希望を伝えたうえで決める
• 毎週：チームの定例で、判断に迷った事象や、誤検知の多いルールを共有する
• 月の半ば：手順書の変更や、新しく監視を始める顧客の決まりを読み込む
• 月末：顧客ごとの月次の報告の材料（件数の傾向、主な事象の概要）をそろえる

成果物

顧客への一報、対応の記録（チケット）、引き継ぎの記録、月次の報告の材料などです。複数の顧客を受け持つため、顧客ごとに違う報告の決まりと連絡先を切り替えて扱うことが、仕事の大きな部分を占めます。

社内SOCでの監視と分析の仕事

1日の流れ（例）

朝は、夜間に外部の監視事業者や自動の仕組みから上がってきた事象を確かめます。気になる事象は、端末の持ち主や情報システム部門に「この時間にこの操作をしたか」を確かめ、正しい作業か不審な動きかを切り分けます。午後は、深掘りが必要な事象の二次分析や、社内の部門からの問い合わせへの対応に時間を使います。

一つの会社の環境を深く見るため、普段の業務の動きを知っているほど判断が速くなるのが特徴です。社内の誰に何を聞けばよいかを覚えることも、仕事の一部になります。

1か月の流れ（例）

• 月初：前月の事象を振り返り、対応の遅れや判断の揺れがなかったかを確かめる
• 毎週：セキュリティ部門の定例で、対応中の事象と、外部の監視事業者からの報告を確認する
• 月の半ば：新しいシステムの導入や、組織の変更に合わせて、監視の対象や手順の見直しを提案する
• 月末：経営層や管理職向けの月次の報告をまとめる

成果物

事象ごとの調査の記録、社内向けの月次の報告、外部の監視事業者への依頼事項の整理、手順の変更の案などです。社内向けの報告は、技術に詳しくない読み手が多いため、「何が起きたか・影響・次の手」を先に書く形が求められます。

検知の改善の仕事

1日・1か月の流れ（例）

交代のシフトには入らず、日中に監視の仕組みそのものを良くする役割です。誤検知の多いルールを洗い出し、どの条件が誤検知を生んでいるかを過去の記録で確かめ、条件の追加や除外で直します。直したルールで、本来見つけたい事象を取りこぼしていないかを試すところまでが一つの仕事です。

1か月の単位では、攻撃の手口の枠組みに照らして、検知できていない領域を一覧にし、優先順位をつけて新しいルールを作ります。実際の観測に基づいて攻撃者の戦術と技術を整理したMITRE ATT&CKは、こうした整理の共通の言葉としてよく使われます（2026年10月時点ではv20が公開されています）。変更の内容は、分析の担当者が迷わないように手順書にも反映します。

成果物

ルールの変更の記録と理由、検知の網羅の一覧、手順書の改訂、誤検知の傾向の報告などです。なぜその条件にしたかを、後から来た人も追える形で残すことが評価につながります。

SIEM・EDRの導入と移行の仕事

1日・1か月の流れ（例）

新しい監視の仕組みを立ち上げる、または製品を入れ替えるプロジェクトです。前半は、どのログを取り込むか、どのルールを残すかを決め、基盤の担当者と取り込みの設定を進めます。後半は、新しい仕組みでアラートが正しく出るかを試し、運用の手順と担当の体制を整えて、監視の運用に引き渡します。

製品の側の変化が、こうした案件を生むこともあります。たとえばMicrosoftは、Microsoft Sentinelを2027年3月31日以降はAzure portalでサポートせず、Defenderポータルでのみ使えるようにするとしています（2026年10月時点のMicrosoft Learnの記載）。こうした移行では、画面や調査の流れ、自動化の設定を新しい形に合わせて作り直す仕事が出てきます。

成果物

ログの取り込みの一覧、ルールの移し替えの対応表、試験の記録、運用の手順書、引き渡しの資料などです。プロジェクトの形で進むため、進み具合の報告や課題の一覧も求められます。

どの案件にも共通する仕事

種類が違っても、次の仕事はほぼすべてのSOC案件にあります。

1. 判断の記録：何を見て、何を確かめ、なぜその判断をしたかを短く書く
2. 引き継ぎ：対応中の事象、待っている返事、次に確かめることを漏れなく渡す
3. 上への報告：判断に迷う事象を抱え込まず、決められた手段で早めに上げる
4. 情報の扱い：監視先の情報を、決められた端末と場所の外に出さない

フリーランスならではの仕事として、自分の稼働の記録もあります。シフトで時間が決まる案件でも、引き継ぎや呼び出しの時間をどう数えるかで精算が変わります。考え方は精算幅の記事をご覧ください。

関わる相手と、その相手に出すもの

SOCの1日は、誰に何を渡すかで組み立てられています。

事象が重大になり、封じ込めや復旧の指揮に移った後は、インシデント対応の領域になります。その働き方はCSIRT・インシデント対応の仕事内容、診断や設計を含むセキュリティ全体の働き方はセキュリティエンジニアの仕事内容で扱っています。働く場所の事情はSOCアナリストのリモートの記事をご覧ください。

よくある質問

フリーランスのSOCアナリストは、夜勤が前提ですか？

24時間の監視の交代勤務では夜間の枠が入ることが多いものの、日勤だけの枠や、検知の改善、導入と移行のプロジェクトのように夜間を含まない案件もあります。夜間を受けるかどうかを先に決めておくと、案件を絞り込みやすくなります。

一次分析だけの案件と、二次分析まで含む案件の違いは何ですか？

一次分析は、届いたアラートを手順に沿って振り分け、上に上げるかを決める仕事です。二次分析は、上がってきた事象をログやEDRの記録で時系列につなぎ、影響の範囲を調べて説明する仕事です。後者のほうが、調査と報告にかける時間が長くなります。

参画して最初の1か月は何をすることが多いですか？

監視の対象と手順書の読み込み、報告の決まりと連絡先の確認、先輩の担当者と並んでの監視から始めるのが一般的です。初月の進め方はSOCアナリストの参画初月にやることで詳しく解説します。