脆弱性診断エンジニアの参画初月にやること｜現場で信頼される進め方

脆弱性診断エンジニアの参画初月は、許可の範囲と緊急時の連絡経路を押さえ、参画先の観点表と判定の基準に自分を合わせ、最初の報告書をレビューに通すことが基本です。初月に見られているのは、見つけた脆弱性の数より、取り決めの中で作業し、参画先の品質の手順に乗れる人かどうかです。

この記事では、初月のゴール、週ごとの進め方、案件の型による重心の違い、避けたい動き、月末の振り返りを整理します。参画前に用意するものは参画前の準備の記事、職種を問わない参画初期の心がけは参画初期の進め方で扱っているので、ここでは診断の仕事に絞ります。

初月のゴールを3つに分ける

3つ目は、案件によっては初月に報告書まで届かないこともあります。その場合も、診断の記録を参画先の形で付け、レビューを受けられる状態にしておくことを目標にします。

1週目：取り決めと環境を確かめる

最初に読む書類

1週目は、手を動かす前に書類を読む時間を取ります。

• 許可の書面と診断計画：対象のURLやIPアドレスの範囲、期間と時間帯、行ってよい手法、対象外のもの
• 観点表と手順書：参画先がどの観点で、どの順に診断するか
• 報告書のひな形と過去の報告書：重大度の付け方、再現の手順の書き方、直し方の粒度
• データの扱いの決まり：診断の記録の保管場所、持ち出しの可否、終了後の消去

許可の書面が見当たらない、あるいは自分の担当の対象が書面に入っているか分からない場合は、作業の前に窓口に確かめます。許可をめぐる考え方は脆弱性診断エンジニアがフリーランスになるにはで解説しています。

診断の環境をそろえる

次に、作業の環境がそろっているかを確かめます。

• 診断に使う端末（貸与か持ち込みか）と、そこに入れてよいツール
• 診断元のIPアドレスが、対象の側で許可されているか
• テスト用アカウントの種類と権限
• 検証環境と本番環境のどちらを診断するか、版の違い

貸与の端末を使う場合の注意は貸与PCを使うときの注意点で扱っています。リモートで作業する場合の診断元の条件は脆弱性診断エンジニアのリモートの記事をご覧ください。

連絡の経路を決める

1週目のうちに、重大な不備を見つけたとき、本番に影響が出たかもしれないときに、誰に、どの手段で知らせるかを確かめておきます。夜間や休日に作業する案件では、その時間帯の連絡先も聞いておきます。

2週目：参画先の形で診断を進める

最初の対象は、手順どおりに進める

最初に担当する対象は、自分の型より参画先の観点表と手順を優先して進めます。慣れたやり方と違う点があっても、まずは手順どおりに一度回し、違いを控えておくほうが、後で提案するときの材料になります。

記録は「後から説明できる」形で付ける

診断の記録には、いつ、どの対象に、どの手法で、何をしたかを残します。後から範囲や影響を問われたときに、自分の作業が取り決めの中だったと示す材料になるためです。参画先に記録の形があれば、それに合わせます。

判定に迷う項目は早めに相談する

ツールが出した項目の再現が取れない、重大度をどちらに付けるか迷う、といった項目は、報告書を書く前にレビュー役や先輩の診断員に相談します。参画先が使う重大度の基準も、この時点で確かめておきます。共通の評価の方法としてはFIRSTが公開しているCVSSがあり、2026年10月時点で v4.0 の仕様が公開されていますが、どの版と方法を使うかは参画先の決まりに合わせてください。

3〜4週目：報告書を通し、次の段取りをつける

報告書を参画先の形で書く

再現の手順、影響、直し方を、過去の報告書の書き方に合わせて書きます。直し方は、対象の構成に合わせて「どこで、何を確かめるか」が分かる粒度にします。

レビューの指摘を控えておく

レビューで受けた指摘は、判定の根拠、再現の手順、表現の3つに分けて控えておきます。同じ指摘を二度受けないことが、初月に信頼を積むいちばんの近道です。

報告会と再診断の段取りを確かめる

報告書を出した後に、発注元への説明の場があるか、再診断をいつ、どの範囲で行うかを確かめます。報告会に出る場合は、重大な項目から順に、直し方の優先順位を説明できるよう準備します。

案件の型によって初月の重心は変わる

診断の事業者のチームに入る案件

観点表と報告書の形が整っていることが多く、初月の重心は手順に早く乗ることです。記録の付け方や判定のそろえ方を、チームのやり方に合わせることに時間を使います。

事業会社の内製診断を支える案件

社内の手順がまだ固まっていないこともあります。初月の重心は、開発の進め方とリリースの周期をつかみ、診断をどの段階に入れるかを確かめることです。手順を整える提案は、現状を把握してから出します。

ペネトレーションテストの案件

目標と、行ってよい手法の範囲が案件ごとに大きく違います。初月の重心は、目標と禁止事項を発注元と言葉でそろえることです。作業を始めてから範囲の解釈がずれると、取り返しがつきにくくなります。

レビュー役として入る案件

他の人の結果を確かめる立場でも、初月は自分でも何件か診断し、参画先の基準を体で覚えるほうが、指摘に説得力が出ます。

初月に避けたい動き

• 許可の書面を確かめずに作業を始める：「前任者も見ていたから」は、自分の作業の根拠になりません
• 口頭の追加依頼に応じて範囲を広げる：範囲を広げる依頼は、書面やメールで取り決め直してから作業します。進め方は業務範囲が変わったときの記事をご覧ください
• 前の現場の判定基準で重大度を付ける：報告書の中で判定がそろわなくなります
• 重大な不備を報告書まで抱える：決めておいた連絡先に速報します
• 診断データを私物の端末やクラウドに置く：NDAと参画先の決まりに沿って扱います

ほかにも、参画後に起きやすいつまずきは脆弱性診断エンジニアのつまずきやすい点でまとめています。

1か月の終わりに振り返ること

月末には、次の点を自分で振り返り、必要なら窓口と話します。

1. 担当している対象ごとに、許可の範囲と連絡先を説明できるか
2. 参画先の観点表と報告書の形で、一人で記録と報告書を書けるか
3. レビューで受けた指摘のうち、まだ直し切れていないものは何か
4. 次の月に任される範囲（対象の数、種類、レビュー役の有無）が言葉になっているか
5. 稼働の見込み（夜間作業の予定、繁忙期）が契約の条件と合っているか

よくある質問

許可の書面を見せてもらえません。作業を始めてもよいですか？

間に入る会社が書面を持っていて、全文は見せられないという場合もあります。その場合でも、自分が担当する対象・期間・手法が許可に含まれていることを、メールなどで確かめてから作業を始めることをおすすめします。確かめられないまま作業するのは避けてください。

参画先の観点表に、抜けていると思う観点があります。どうすればよいですか？

初月は、まず観点表どおりに診断し、抜けていると思う観点は理由とあわせて控えておきます。手順に乗れたところで、レビュー役や窓口に提案すると受け入れられやすくなります。急いで自分の判断で観点を足すと、見積りの前提や報告書の形とずれることがあります。

初月に報告書まで届きませんでした。問題ありますか？

対象の大きさや日程によっては、初月に報告書まで届かないこともあります。大切なのは、記録が参画先の形で付いていて、いつ報告書を出せるかの見込みを説明できることです。遅れの理由が環境の準備などにある場合は、早めに窓口と共有してください。