脆弱性診断エンジニアがフリーランスになるには｜必要な経験と独立までの進め方

脆弱性診断エンジニアがフリーランスになるには、手動の診断を含めて、範囲の取り決めから診断、報告書、修正の確認までを一人で回せる経験と、診断の許可と範囲・期間を書面で取り決め、その外には手を出さない習慣が必要です。診断は、許可がなければ攻撃と同じ操作になる仕事のため、技術と同じくらい、取り決めを守れる人かどうかが見られます。

準備は、許可をめぐる法律の考え方を押さえ、自分の経験がどこまで一人で回せるかを確かめ、診断の道具と備えをそろえてから案件を探す、という順に進めます。セキュリティの仕事全体の独立の流れはセキュリティエンジニアがフリーランスになるにはで扱っているので、この記事では診断の仕事に絞って説明します。

書面での許可がない診断は、不正アクセス禁止法に触れうる

法律が除いているのは「承諾を得た」場合

不正アクセス禁止法は、アクセス制御のあるコンピュータに、他人のIDやパスワードを入力したり、アクセス制御をすり抜ける情報や指令を入力したりして、制限されている利用をできる状態にする行為を「不正アクセス行為」と定め、禁止しています（第2条第4項、第3条）。違反すると、3年以下の拘禁刑または100万円以下の罰金の対象になります（第11条。2026年10月時点のe-Gov法令検索による）。

脆弱性診断では、まさに認証を試したり、アクセス制御の不備を確かめたりします。法律の定義では、アクセス管理者（そのコンピュータの動作を管理する人）自身が行う場合や、その承諾を得て行う場合が除かれています（他人のIDを入力する行為では、そのIDの利用権者の承諾を得た場合も除かれます）。つまり、診断が正当な作業として成り立つ根拠は、アクセス管理者の承諾です。

承諾を「書面」で残す理由

承諾は、後から示せなければ意味がありません。口頭の依頼だけで作業すると、範囲や期間をめぐって食い違ったときに、自分の作業が承諾の範囲内だったと示す手段がなくなります。診断の前には、少なくとも次の点を書面やメールで残しておきましょう。

• 承諾した人と、その人がアクセス管理者であること
• 診断してよい対象（URL、IPアドレスの範囲、アプリ）と、対象外のもの
• 作業してよい期間と時間帯
• 行ってよい手法と、行わない操作

委託元とアクセス管理者が違うときは特に注意

フリーランスの診断では、発注元から直接ではなく、診断の事業者や開発会社を通して仕事を受けることがよくあります。また、診断の対象がホスティング事業者やクラウドの上にあり、発注元と設備の管理者が分かれていることもあります。仕事をくれた相手が承諾しても、対象のアクセス管理者の承諾にならない場合がある点に気をつけてください。間に入る会社が発注元から得た許可の書面の範囲を確かめ、自分の作業がその中に収まっているかを見ておくと安心です。

独立に必要な経験の目安

一人で回せる工程

独立した診断エンジニアに期待されるのは、決められた観点で作業するだけでなく、次の工程を自分で進められることです。

1. 事前の確認：対象の仕組み、画面や機能の数、使えるテスト用アカウントを確かめる
2. 範囲と日程の取り決め：見積りの前提を作り、対象外のものを明らかにする
3. 診断：ツールでの確認と、手動での確認を組み合わせる
4. 判定：誤検知を取り除き、再現を確かめ、重大度に根拠をつける
5. 報告：再現の手順、影響、直し方を報告書にまとめ、説明する
6. 修正の確認：直ったかどうかを再診断で確かめる

このうち、2と4と5を任された経験があるかどうかで、独立後に受けられる案件の幅が変わります。

種類ごとに問われる経験

最初からすべての種類を担える必要はありません。一つの種類を一人で回せる状態を作り、隣の種類へ広げるのが現実的です。求められる技術の中身は脆弱性診断エンジニアのスキルの記事にまとめています。

発注元が見ている「品質の裏付け」

診断を外部に頼む発注元は、診断の品質を気にします。IPAは、経済産業省が定めた「情報セキュリティサービス基準」に適合すると審査登録機関に登録されたサービスを「情報セキュリティサービス基準適合サービスリスト」として公開しており、その区分には脆弱性診断サービスと、そのオプションとしてのペネトレーションテスト（侵入試験）サービスがあります（2026年10月時点）。

こうしたリストは事業者のサービスを対象にしたもので、個人が登録するものではありません。そのためフリーランスは、診断の事業者のチームに加わる形や、事業会社の内製の診断を支える形で参画することが考えられます。どちらの場合も、相手の品質の手順に合わせて診断し、報告書を書けることが前提になります。診断の事業者で、レビューを受けながら報告書を書いてきた経験は、ここで生きます。

独立前にそろえておく道具と備え

会社員のときは会社が用意していたものを、独立後は自分で用意する場面が出てきます。

• 診断用の端末：業務専用にし、ディスクを暗号化する。案件ごとにデータを分け、終了後に消す手順を決めておく
• 診断ツールのライセンス：商用のツールを使う場合は、個人事業での商用利用が認められているかを製品の利用条件で確かめる
• 診断元の回線：発注元に診断元のIPアドレスを届け出ることがあるため、固定のIPアドレスを使えるかを確かめておく
• 検証環境：手法の練習や再現の確認は、自分で用意した環境で行う
• 賠償への備え：診断でシステムに影響が出たときに備え、賠償責任保険の内容を確かめる
• 秘密保持：報告書や診断の記録の扱いを、NDAの取り決めに沿って管理する

案件によっては、発注元が端末や回線を貸し出し、持ち込みを認めないこともあります。何を自分で持つ必要があるかは、案件ごとに確かめましょう。

資格は信頼の材料の一つ

診断の案件で資格だけで参画が決まることは多くありませんが、機密を扱う仕事では知識と倫理の裏付けとして見られることがあります。国家資格では、IPAの情報処理安全確保支援士試験があり、セキュリティ対策の調査・分析・評価と、それに基づく指導・助言を行う人を対象にしています（2026年10月時点のIPAの案内による）。登録の仕組みや評価される場面は情報処理安全確保支援士の記事で解説しています。

診断の分野ごとの民間の資格もあります。名称や更新の条件は変わることがあるため、各資格の公式サイトで最新の内容をご確認ください。

独立までの進め方

1. 経験を工程と種類で整理する：どの種類の診断で、どの工程まで一人で担ったか
2. 許可の取り決め方を確かめる：承諾した人、対象、期間、手法、対象外を残す書面のひな形を用意する
3. 道具と備えをそろえる：端末、ツールのライセンス、回線、保険
4. 条件を決める：稼働日数、夜間作業を受けるか、リモートの希望、報酬の下限。報酬は脆弱性診断エンジニアの報酬の記事を参照
5. 手続きを進める：会社員からフリーランスになる手順と開業届の出し方を参照
6. 案件を探す：フリーランスエージェントの使い方を参照

よくある質問

会社員のときに許可を取る作業は営業がしていました。それでも独立できますか？

独立後は、許可の範囲を自分で確かめる場面が増えます。間に入る会社が許可を取ってくれる場合でも、自分の作業がその範囲に収まっているかを確かめるのは自分の役目です。許可の書面に何が書かれていれば足りるのかを、独立の前に一度整理しておくと安心です。

診断の経験は数年しかありませんが、独立できますか？

年数より、一人で回せる工程の広さが問われます。報告書を一人で書き、レビューで大きく直されない状態になっていれば、診断チームに加わる形の案件から始められることがあります。手動の診断の経験が少ない場合は、その部分を厚くしてから独立すると無理がありません。

個人で見つけた脆弱性の報告経験は評価されますか？

報奨金制度など、決められたルールに沿って報告した経験は、手法の理解を示す材料になります。ただし、許可のない対象を調べた経験は評価されず、かえって慎重に見られます。書き方は脆弱性診断エンジニアのスキルシートの記事で解説しています。