脆弱性診断エンジニアのフリーランス案件の選び方｜契約前に確かめたいこと

脆弱性診断エンジニアのフリーランス案件を選ぶときは、報酬や稼働日数に加えて、許可の取り方と範囲、作業の時間帯と環境、診断元の用意、報告書とレビューの体制、契約の形と賠償の範囲、情報の扱い、稼働の波と契約期間の7点を契約前に確かめておくことが大切です。診断の案件は、同じ「Webアプリ診断」の募集でも、この7点の違いで負担とリスクが大きく変わります。

特に見落としやすいのは、自分の作業が、誰の、どこまでの許可の上に成り立っているかです。診断は許可がなければ攻撃と同じ操作になるため、ここがあいまいな案件は、技術の力では補えないリスクを抱えます。この記事では、診断の案件に固有の確認点を整理します。契約書全般の確認点は業務委託契約書のチェックポイントで解説しています。

診断の案件で選び方の差が出る理由

診断の案件票には、「Webアプリ・APIの診断」「プラットフォーム診断」のように対象の種類は書かれていても、作業の条件までは書かれていないことがよくあります。参画してから気づくずれには、次のようなものがあります。

• 検証の環境だと思っていたら、本番の環境を夜間に診断する案件だった
• 許可の書面を自分では見られず、範囲の確認が口頭だけだった
• 報告書の型やレビューの体制がなく、品質の責任を一人で負うことになった
• 自分で用意する端末やツールのライセンスが、想定より多かった
• 対象の規模が見積りの前提より大きく、稼働が延び続けた

こうしたずれは、面談と条件の確認の段階で聞き方を工夫すれば、多くを防げます。

契約前に確かめたい7つの点

1. 許可の取り方と、範囲の決め方

最初に確かめたいのは、診断の許可を誰が誰から取り、自分にどう共有されるかです。

• 対象のアクセス管理者（そのシステムを管理する人）の承諾を、誰が取るか
• 間に診断の事業者や開発会社が入る場合、その会社が得た許可の範囲を自分が確かめられるか
• 対象（URL、IPアドレスの範囲、アプリ）と、対象外のものが書面で決まっているか
• 範囲の外の依頼が来たとき、誰と取り決め直すか

仕事をくれた相手が承諾しても、対象のアクセス管理者の承諾にならない場合があります。対象がホスティング事業者やクラウドの上にある場合は、その事業者の決まりも関わります。考え方は脆弱性診断エンジニアがフリーランスになるにはで詳しく扱っています。

2. 作業の時間帯と、対象の環境

• 診断するのは本番の環境か、検証の環境か
• 作業してよい時間帯は日中か、夜間・休日か
• 対象に影響が出たときに、すぐ連絡がつく担当者がいるか
• 負荷の高い操作や、データを書き換える操作をどこまで行ってよいか

本番の環境を診断する案件では、業務への影響を避けるために作業が夜間や休日に寄りやすくなります。時間帯の条件は、稼働の見込みと、生活との両立に直結します。

3. 診断元の端末・回線・ツールを誰が用意するか

• 発注元が端末を貸し出すか、自分の端末を使うか
• 届け出た固定のIPアドレスから診断する決まりがあるか
• 商用の診断ツールのライセンスを誰が用意するか
• 作業の場所は在宅か、現地か、指定の場所か

自分で用意するものが多い案件は、その費用と手間も報酬の中で考える必要があります。報酬への影響は脆弱性診断エンジニアの報酬の記事、場所の条件はリモート案件の記事で解説しています。

4. 報告書の型と、レビューの体制

• 報告書の型（ひな形、重大度の付け方、書く項目）が決まっているか
• 自分の報告書を誰がレビューするか。自分が他の人の報告書をレビューする役割もあるか
• 報告会や再診断まで担うか
• 発注元が品質の基準を定めているか

診断の事業者のチームに加わる案件では、型とレビューの仕組みが整っていることが多く、それに合わせて作業します。IPAは、経済産業省の「情報セキュリティサービス基準」に適合するとして審査登録機関に登録されたサービスを「情報セキュリティサービス基準適合サービスリスト」として公開しており、その区分に脆弱性診断サービスがあります（2026年10月時点）。品質の手順を持つ事業者の案件か、事業会社が自ら診断を頼む案件かで、自分が負う品質の責任の重さが変わります。

5. 契約の形と、賠償の範囲

診断の案件には、作業の時間に対して報酬を受ける準委任の形と、診断と報告書の完成に対して報酬を受ける請負の形があります。

• 契約の形は準委任か、請負か。報告書の納品を求められるか
• 見落としがあった場合の責任が、どう書かれているか
• 診断でシステムに影響が出た場合の損害賠償に、上限の定めがあるか
• 自分の賠償責任保険で、診断の業務が対象になっているか

診断は、慎重に進めても対象の動きに影響が出る可能性がゼロではない仕事です。賠償の上限がない契約は、事故のときの負担が読めなくなります。契約の形の違いは準委任契約と請負契約の違い、上限の考え方は損害賠償の上限の記事、保険は賠償責任保険の記事をご覧ください。

6. 診断で得た情報の扱い

• 報告書や診断の記録をどこに保管し、いつ消すか
• 作業で得た個人情報や認証の情報をどう扱うか
• 秘密保持の範囲と期間、契約終了後の扱い
• 経歴として、どこまで書いてよいか

診断の結果は、直るまでは発注元の弱点そのものです。保管と消去の手順が決まっていない案件では、自分で決めて合意しておく必要があります。秘密保持の契約はNDAの記事で解説しています。

7. 稼働の波と、契約期間

• 対象の数と規模は、見積りの前提としてどう決まっているか
• 対象が想定より大きかったときに、期間や報酬を見直せるか
• 繁忙期（リリース前や年度末など）に稼働が増えるか
• 契約期間と更新の時期

フリーランス法では、6か月以上の業務委託で契約を解除したり更新しなかったりするときは、原則として少なくとも30日前までに予告することが求められています（2026年10月時点、公正取引委員会の案内による）。案件の切れ目が読みにくい診断の仕事では、契約期間と更新の考え方を先に確かめておくと安心です。

確かめた内容を書面と照らし合わせる

面談や事前の確認で聞いた内容は、契約の前に書面と照らし合わせます。フリーランス法では、業務を委託した事業者は直ちに、業務の内容、報酬の額、支払期日などの取引条件を、書面またはメールなどで明示することとされています。報酬の支払期日は、給付を受け取った日から60日以内のできる限り短い期間で定めることとされています（いずれも2026年10月時点、公正取引委員会の案内による）。明示される事項はフリーランス法で明示される取引条件をご覧ください。

診断の案件では、特に次の点が書面に反映されているかを確かめます。

1. 業務の内容に、診断の種類、対象、対象外のもの、報告書や再診断の範囲が書かれているか
2. 作業してよい期間と時間帯、行わない操作が、許可の書面と合っているか
3. 見落としや事故のときの責任と、賠償の上限
4. 情報の保管と消去、秘密保持の範囲
5. 稼働の幅と、超えたときの精算の方法、契約期間と更新の時期

面談で聞いておくとよい質問は脆弱性診断エンジニアの面談でよく聞かれる質問と答え方の逆質問の項目でも紹介しています。一般的な逆質問の考え方は面談で聞いておくべき逆質問をご覧ください。

よくある質問

許可の書面を見せてもらえない案件は、避けたほうがよいですか？

書面そのものを見られなくても、対象・期間・時間帯・行わない操作といった、自分の作業に関わる範囲が書面やメールで共有されていれば、作業の根拠を示せます。範囲の確認が口頭だけの案件は、作業の前に書面で共有してもらえるかを確かめ、難しい場合は慎重に判断することをおすすめします。

請負の診断案件は受けないほうがよいですか？

受けてはいけないわけではありません。ただ、請負では報告書の完成に対して責任を負うため、対象の規模が見積りより大きかったときの扱いや、見落としの責任の範囲を、契約前に特に確かめておく必要があります。判断に迷う契約の条項は、弁護士などの専門家にご相談ください。

報酬の高い案件と、条件のはっきりした案件で迷ったらどうしますか？

一概には言えませんが、診断の案件では、範囲や時間帯があいまいなまま進むと、稼働が延びて時間あたりの報酬が下がることがあります。報酬の額だけでなく、稼働の見込み、自分で用意するもの、賠償の範囲を合わせて比べるとよいでしょう。