脆弱性診断エンジニアのフリーランスはリモートで働ける？案件の傾向と探し方

脆弱性診断エンジニアは、インターネットから届くWebアプリやAPI、スマートフォンアプリ、クラウドの設定の診断、報告書の作成やレビューで、リモートで働けるフリーランス案件があります。一方で、社内のネットワークの中にある機器、無線のネットワーク、外から届かない閉じた環境を対象にする診断や、ペネトレーションテストの一部は、現地や発注元が指定する場所での作業になりやすくなります。

診断の仕事でリモートかどうかを決めるのは、働く場所の希望より、診断の通信をどこから、どの端末で出すかという条件です。セキュリティの仕事全体のリモートの事情はセキュリティエンジニアのリモートの記事で扱っているので、この記事では診断の作業ごとの傾向と、案件の探し方、契約前の確認点に絞って説明します。

作業ごとのリモートの進めやすさ

同じ診断の案件でも、作業によってリモートの進めやすさが違います。

リモートを強く希望する場合は、Webアプリ・API、スマートフォンアプリ、クラウドの設定の診断を軸にすると、案件を選びやすくなります。

リモートを左右する「診断元」の条件

診断元のIPアドレスと端末

発注元は、診断の通信を攻撃と見分けるために、診断元のIPアドレスを事前に知りたがります。また、発注元の防御の仕組みが診断の通信を止めてしまわないよう、診断元を例外として設定することもあります。そのため、リモートの案件では次のどちらかの形になることが多くなります。

• 発注元や間に入る会社が端末と接続を貸す：決められた端末とVPNから診断する
• 自分の端末と回線を使う：固定のIPアドレスを届け出て診断する

自分の回線を使う場合は、固定のIPアドレスを使えるか、作業の記録をどれだけ残せるかを、事前に確かめておきましょう。

クラウドの上の対象は事業者の決まりも関わる

対象がクラウドの上にある場合は、クラウド事業者の決まりも関わります。たとえばAWSは、利用者が自分のAWSの資源について、一覧に挙げたサービスであれば事前の承認なしに診断できるとしています。一方で、サービス妨害の攻撃やその模擬、大量の要求を送り続ける行為などを禁じ、AWSの基盤やサービスそのものの診断も認めていません（2026年10月時点のAWSの公式ページによる）。ほかのクラウドにもそれぞれの決まりがあるため、案件ごとに確かめてください。

夜間や休日の作業はリモートと組み合わさりやすい

本番環境を診断する案件では、利用者の少ない夜間や休日に作業を求められることがあります。こうした時間帯の作業は、出社せずに自宅などから行う形と組み合わさりやすくなります。一方で、発注元の担当者が不在の時間帯に作業するため、異常が起きたときに誰へ連絡し、どこで作業を止めるかを、昼間の作業以上にはっきり決めておく必要があります。作業できる時間帯、連絡のつく担当者、止めるときの判断の基準を、作業の前に書面で確かめておきましょう。時間外の作業が報酬にどう反映されるかは案件によって違うため、脆弱性診断エンジニアの報酬の記事もあわせてご覧ください。

承諾の範囲は場所が変わっても同じ

リモートでの作業は、作業している自分と、対象の持ち主が離れているぶん、承諾の範囲が見えにくくなります。不正アクセス禁止法は、アクセス管理者の承諾を得て行う場合を不正アクセス行為から除いています。対象、期間、時間帯、手法を書面やメールで取り決め、その範囲の中だけで作業してください。許可の考え方は脆弱性診断エンジニアがフリーランスになるにはで詳しく解説しています。

リモート案件の探し方

参画の形ごとに探す

診断のリモート案件は、おおまかに次のような形で見つかります。

• 診断の事業者のチームに加わる：事業者の手順と報告書のひな形に沿って、診断や報告書の作成を担う
• 事業会社の内製の診断を支える：自社で診断をする組織に加わり、診断や手順づくりを担う
• 報告書のレビューを担う：他の人の診断結果を確かめ、品質をそろえる役割
• 開発の流れの中での確認を担う：新しい機能の公開前に、継続して診断する

いずれも、作業の多くを離れた場所から進められることがありますが、最初の数日や報告会だけ出社を求められる案件もあります。

稼働の波を見込む

診断の依頼は、システムの公開前に集中しやすく、時期によって忙しさが変わります。週の一部だけの稼働で受けられる案件もありますが、公開の直前に作業が詰まることがあります。稼働の上限と、繁忙期の扱いを先に決めておくと、ほかの案件と組み合わせやすくなります。

スキルシートで「リモートで回せる」ことを示す

リモートの案件では、離れた場所から一人で診断を進めた経験が読まれます。対象の種類、診断元の条件（貸与の端末、自分の端末）、報告の受け渡しの方法を書いておくと、合う案件を見つけやすくなります。書き方は脆弱性診断エンジニアのスキルシートの記事で解説しています。

契約前の確認点

リモートの診断の案件では、参画の前に次の点を確かめておきましょう。

1. 許可の書面：対象、期間、時間帯、手法、対象外のものが書かれているか
2. 診断元：貸与の端末とVPNか、自分の端末と回線か。届け出るIPアドレスは何か
3. ツール：商用のツールは誰のライセンスを使うか。持ち込みが認められているか
4. 作業の時間帯：夜間や休日の作業があるか。時間外の扱いはどうなるか
5. 連絡の方法：診断の開始・終了の知らせ方、異常が起きたときの連絡先と止め方
6. データの受け渡し：報告書や診断の記録をどこに置き、作業後にどう消すか
7. 出社の有無：最初の打ち合わせや報告会で、現地に行く必要があるか

よくある質問

自宅の回線から診断してもよいですか？

案件によって違います。自宅の回線で、固定のIPアドレスを届け出て診断する形を認める案件もあれば、発注元の端末と接続からしか作業を認めない案件もあります。どこから診断するかは、許可の書面の中身とあわせて、作業の前に取り決めてください。

ペネトレーションテストでフルリモートの案件はありますか？

外部からの試行だけを対象にする場合は、リモートで進められることがあります。ただし、内部のネットワークからの試行を含む場合は、機器を持ち込むなどの形で現地の作業が入りやすくなります。どこまでを対象にするかで変わるため、案件ごとに確かめましょう。

報告書の作成だけをリモートで受けることはできますか？

診断の記録を受け取り、報告書の作成やレビューを担う役割の案件もあります。この場合も、発注元の弱点そのものを扱うため、記録の受け渡しの方法や、端末の管理の条件が厳しく決められていることがあります。条件を守れる環境があるかを先に確かめておきましょう。