脆弱性診断エンジニアのフリーランス案件｜報酬の決まり方と単価を上げる考え方

脆弱性診断エンジニアのフリーランス案件の報酬は、診断の種類（Webアプリ・API、ネットワークやサーバー、スマートフォンアプリ、クラウド、ペネトレーションテスト）、手動で確かめる範囲の広さ、実施・レビュー・取りまとめのどの役割か、準委任か請負かという契約の形、夜間や休日の作業の有無、診断の道具を誰が用意するかで決まります。脆弱性診断の単価について公的な統計はなく、案件によって大きく変わります。

単価を上げる近道は、ツールの結果を整理する役割から、手動の診断と報告書の品質に責任を持つ役割、さらに診断の計画や他の人の報告書のレビューを任される役割へ広げることです。この記事では、診断の仕事に特有の報酬の決まり方と、見積りの前提をめぐる注意、交渉で示せる材料を整理します。セキュリティの仕事全体の報酬の考え方はセキュリティエンジニアの報酬の記事で扱っています。

契約の形で、報酬の見え方が変わる

脆弱性診断の案件は、同じ作業でも契約の形によって報酬の計算の仕方が変わります。

準委任は作業の遂行に対して、請負は成果物の完成に対して報酬が払われる契約です。違いの基本は準委任と請負の違いで解説しています。診断では、報告書が成果物として扱われやすいため、月額の契約でも「いつまでに、どの対象の報告書を出すか」が実質的な約束になっていることがあります。どちらの考え方で責任を負うのかを、契約書で確かめておきましょう。

報酬を左右する主な要素

1. 診断の種類と難しさ

Webアプリの診断、ネットワークやサーバーの診断（プラットフォーム診断）、スマートフォンアプリの診断、クラウドの設定の診断では、必要な知識が違います。さらに、決めた目標に向けて実際に侵入を試みるペネトレーションテストは、攻撃の筋道を自分で組み立てる力が問われます。IPAが公開している「情報セキュリティサービス基準適合サービスリスト」でも、ペネトレーションテスト（侵入試験）サービスは脆弱性診断サービスのオプションとして別に示されています（2026年10月時点）。担える種類が増えるほど、参画できる案件の幅が広がります。

2. 手動で確かめる範囲

自動の診断ツールで拾える問題は、担える人が多い領域です。権限の違う利用者で画面を行き来して他人の情報が見えないかを確かめる、業務の手順を飛ばして処理を進められないかを試すといった、仕様を読んで手で確かめる部分を任されるかで評価が分かれます。

3. 役割の段階

診断の現場には、おおまかに次の役割があります。

• 実施：決められた観点と手順で診断し、結果を記録する
• 報告：再現の手順、影響、直し方を報告書にまとめ、説明する
• レビュー：他の人の診断結果と報告書を確かめ、見落としや誤った判定を直す
• 取りまとめ：対象の範囲と日程を発注元と決め、見積りの前提を作り、チームを動かす

下から上へ進むほど、診断の品質に対する責任が重くなり、報酬の条件にも反映されやすくなります。

4. 作業の時間帯と稼働の波

本番環境を診断する案件では、利用者の少ない夜間や休日に作業を求められることがあります。また、診断の依頼はシステムの公開前に集中しやすく、時期によって忙しさが大きく変わります。時間外の作業が月額に含まれるのか、別に精算するのかは案件によって違います。

5. 道具と環境を誰が用意するか

商用の診断ツールのライセンス、診断に使う端末、診断元の固定の回線を、発注元が貸すのか、自分で持ち込むのかで、手元に残る金額が変わります。自分で用意する場合は、その費用を報酬に織り込めるかを考えます。ツールのライセンスは、個人での商用利用が認められているかを各製品の利用条件で確かめておきましょう。

見積りの前提が崩れたときの扱い

請負の形や、報告書の納期が決まった案件では、見積りの前提が崩れると、同じ報酬のまま作業だけが増えることがあります。診断で起きやすいのは次のような場面です。

1. 対象が増える：画面や機能、IPアドレスが、見積りのときより多かった
2. 環境が使えない：検証環境が止まる、テスト用のアカウントが用意されないなどで、作業できない時間が出る
3. 仕様が変わる：診断の途中で対象のアプリが更新され、やり直しが必要になる
4. 再診断が重なる：修正の確認のための再診断の回数が決まっていない

対象の数、診断の観点、再診断の回数、環境が使えないときの日程の扱いを、作業の前に記録の残る形で決めておくことが大切です。フリーランス法では、発注事業者は業務を委託したら直ちに、業務の内容・報酬の額・支払期日などの取引条件を書面か電磁的方法で明示することとされています（公正取引委員会の特設サイトによる）。

単価が上がりやすい経験・伸びにくい状況

上がりやすい経験

• 報告書のレビューを任された：他の人の判定の誤りや見落としを直し、報告の品質をそろえた
• 見積りの前提を作った：対象の数や観点から工数を見積もり、範囲を発注元と取り決めた
• 複数の種類を担える：Webアプリとプラットフォーム、Webアプリとスマートフォンアプリのように、組み合わせて診断できる
• 攻撃の筋道を組み立てた：ペネトレーションテストで、目標に向けた手順を計画し、結果を説明した
• 直し方まで示せる：開発の経験を生かし、現実的な修正の方法を提案できる

伸びにくい状況

• ツールを回して結果を転記するだけになっている：自動化が進むほど、外部に頼む理由が薄くなる
• 決まった観点の作業だけを続けている：手順が決まっているぶん、交代しやすい要員として扱われやすい
• 報告書が手直しされ続けている：レビューで毎回直される状態では、任される範囲が広がりにくい

交渉で示せる材料

発注元が診断の事業者を選ぶときには、品質の基準に合ったサービスかどうかが見られることがあります。IPAのリストは、経済産業省が定めた情報セキュリティサービス基準に適合すると審査登録機関に登録されたサービスを、事業者の誓約をもとに掲載しているものです。診断の品質をどう保ってきたかを説明できると、交渉の材料になります。

伝え方は単価交渉の記事、単価の決まり方の全体像はフリーランスの単価の決まり方で解説しています。数字を示すときは、発注元や見つけた弱点が分かる形にしないよう気をつけましょう。

よくある質問

脆弱性診断の単価の相場はいくらですか？

脆弱性診断の単価について公的な統計はなく、診断の種類、役割、契約の形、作業の時間帯、商流によって大きく変わります。相場の数字を探すより、自分がどの種類の診断を、どの役割で担えるのかを整理し、複数の案件で条件をそろえて比べるほうが判断の材料になります。

請負と準委任では、どちらが得ですか？

一概には言えません。請負は前提どおりに進めば効率よく終えられますが、対象の追加や環境の不具合で作業が増えたときの負担を負いやすくなります。準委任は稼働に応じて報酬が払われますが、精算幅を超えた時間の扱いを確かめる必要があります。見積りの前提をどこまで決められるかで選ぶとよいでしょう。

ペネトレーションテストができると報酬は上がりますか？

攻撃の筋道を組み立てる力が求められるため、担える人が限られ、条件に反映されることがあります。ただし、案件の数は通常の脆弱性診断より少なく、対象や手法の取り決めもより慎重さが求められます。まずは通常の診断で手動の範囲と報告の品質を固め、そのうえで広げるのが現実的です。