脆弱性診断エンジニアのフリーランス案件の仕事内容｜案件の種類と働き方

フリーランスの脆弱性診断エンジニアの仕事は、取り決めた範囲の中で対象を調べ、見つけた弱点を再現の手順・影響・直し方とともに報告書にまとめ、直ったかを確かめることです。どの案件でもこの流れは同じですが、診断する対象の種類と、チームの中での役割によって、1日の時間の使い方や向き合う相手が大きく変わります。

この記事では、フリーランスの診断案件を5つの種類に分け、それぞれの1日と1か月の流れ、関わる相手、成果物を整理します。求められる技術は脆弱性診断エンジニアのスキルの記事、報酬の決まり方は報酬の記事で扱っているので、ここでは「参画したら実際に何をしているか」に絞ります。

仕事の中身は「対象」と「役割」で決まる

診断の案件は、同じ「脆弱性診断」の募集でも、働き方がかなり違います。違いを生むのは主に次の2つです。

• 対象：Webアプリ・API、サーバーやネットワーク機器、スマートフォンアプリ、クラウドの設定など、何を調べるか
• 役割：手を動かして診断する人か、他の人の結果を確かめるレビュー役か、診断を計画して取りまとめる人か

この2つを掛け合わせると、フリーランスの診断案件はおおむね次の5種類に分けられます。

以下の1日・1か月の流れは典型的な例です。案件によって配分は変わるので、目安として読んでください。

Webアプリ・APIの診断

1日の流れ（例）

朝は、その日に調べる画面や機能の一覧を確かめ、テスト用のアカウントで正しくログインできるかを見ます。午前中はツールで通信を記録しながら画面を順にたどり、入力の扱いや認証、権限の切り替えを手動で確かめます。午後は、気になった箇所を再現し、誤検知でないか、どこまで影響が及ぶかを確かめます。夕方は、見つけた内容を報告書の下書きに書き足し、その日の作業の範囲と時間帯を記録します。

ツールの結果をそのまま書くのではなく、手で確かめて、根拠のある判定に落とすことに時間の多くを使います。IPAの「安全なウェブサイトの作り方」のように、公開されている資料の観点に沿って確認することもあります。

1か月の流れ（例）

• 月初：新しい対象の事前確認。画面数や機能、使えるアカウント、作業してよい時間帯を確かめる
• 毎週：数日から2週間ほどの単位で対象を診断し、報告書を書き、レビューを受けて直す
• 月の半ば：前の月に報告した対象の修正が終わると、直ったかを確かめる再診断が入る
• 月末：報告書の提出と、発注元の開発担当への説明会

継続して参画する案件では、対象を替えながらこの流れを繰り返します。

成果物

診断の報告書（見つかった弱点ごとの再現の手順、影響、重大度、直し方）、作業の記録、再診断の結果です。

プラットフォーム診断

1日・1か月の流れ（例）

インターネットに面したサーバーやネットワーク機器を外から調べる作業と、社内のネットワークに入って調べる作業があります。外からの診断は、事前に届け出た診断元から決められた時間帯に行い、開いている窓口や古いソフトウェア、設定の誤りを確かめます。社内からの診断は、現地に機材を持ち込んだり、発注元が用意した端末を使ったりすることが多くなります。

1か月の単位では、対象の範囲の取り決め、診断、結果の整理、報告という区切りで進みます。業務を止めないように夜間や休日に作業を寄せることもあり、作業日が月の中で偏りやすいのが特徴です。

成果物

報告書に加えて、対象の一覧と、見つかった問題を優先順位で並べた表を求められることがあります。インフラの担当者がそのまま対応に使える形にまとめるのが大切です。

スマートフォンアプリ・クラウド設定の診断

スマートフォンアプリの診断では、アプリ本体（端末に残るデータ、通信の守り方など）と、アプリがやり取りするAPIの両方を確かめます。検証用の端末を使い、アプリの版が上がるたびに診断が入る案件もあります。

クラウドの設定の診断では、権限の与え方、外部への公開設定、記録の取り方などを、管理画面や設定の書き出しをもとに点検します。手を動かす攻撃の操作より、設定を読み解き、どの組み合わせが危ないかを説明する仕事が中心です。クラウドの利用規約で事前の届け出や禁止事項が決まっている場合があるため、その確認も作業の一部になります。

成果物は、他の診断と同じく報告書と再診断の結果です。クラウドでは、直し方を設定の単位で具体的に示すことが求められやすくなります。

ペネトレーションテスト

1日・1か月の流れ（例）

ペネトレーションテストは、「この情報に届くか」「この権限を取れるか」といった目標を決め、攻撃者の立場で筋道を組み立てて確かめる仕事です。最初の数週間は、発注元のセキュリティ責任者と目標や対象外、緊急時の連絡先を取り決め、計画をつくる時間が多くなります。

実行の期間は、計画に沿って侵入を試み、たどった経路と、どこで止められたか（止められなかったか）を細かく記録します。終わった後は、技術者向けの詳しい報告と、経営層向けの短い説明を分けてつくり、報告会で話します。

成果物

計画書、実行の記録、技術者向けの報告書、経営層向けの要約です。脆弱性診断と比べて、「何が守れていて、何が足りないか」を物語として説明する資料の重みが増します。

IPAが公開している「情報セキュリティサービス基準適合サービスリスト」でも、ペネトレーションテストは脆弱性診断サービスのオプションとして区分されています（2026年10月時点）。両者を一つのチームで担う事業者も多く、フリーランスはそのチームに加わる形で参画することがあります。

レビュー・内製化の支援

経験を積んだ人には、手を動かす診断より、他の人の結果を確かめる役割の案件も出てきます。診断の事業者のチームで報告書の判定や書き方を点検したり、事業会社のセキュリティ部門で社内の診断の手順をつくり、担当者を育てたりする仕事です。

1日の多くは、報告書を読み、判定の根拠や再現の手順が足りているかを確かめ、指摘を書くことに使います。内製化の支援では、手順書やチェックリストの作成、社内の開発チームへの説明会、外部に頼む診断の発注の手伝いなども入ります。

成果物は、レビューの記録、手順書、チェックリスト、教育の資料などです。

どの案件にも共通する仕事

種類が違っても、次の仕事はほぼすべての診断案件にあります。

1. 範囲と時間帯の確認：診断してよい対象、期間、時間帯、行わない操作を、作業の前に書面で確かめる
2. 作業の記録：いつ、どこから、何に対して何をしたかを残す。問題が起きたときに説明できるようにする
3. 異常時の連絡：対象の動きがおかしくなったら作業を止め、決めておいた連絡先にすぐ伝える
4. 報告と説明：見つけたことを、相手が直せる形にまとめて伝える
5. 情報の後始末：作業で得たデータや報告書を、取り決めに沿って保管し、終了後に消す

1の考え方は脆弱性診断エンジニアがフリーランスになるにはで詳しく扱っています。範囲の外の依頼が口頭で来たときに、作業の前に取り決め直すことも、日々の仕事の一部です。

関わる相手と、その相手に出すもの

働く場所は、インターネットから届く対象の診断や報告書の作成ならリモートで進めやすく、社内のネットワークの診断は現地になりやすくなります。詳しくは脆弱性診断エンジニアのリモート案件の記事をご覧ください。

よくある質問

脆弱性診断の仕事は、ツールを動かすことが中心ですか？

ツールは使いますが、それだけで終わる案件は多くありません。結果が本当に問題かを手で確かめ、影響と直し方を報告書にまとめる作業に多くの時間を使います。手動の確認の範囲が広いほど、仕事の中身は濃くなります。

報告書を書く時間はどのくらいありますか？

対象の規模や報告書の型によって違いますが、診断の作業と同じくらいの時間を報告に使う案件も珍しくありません。参画前に、報告書を誰が仕上げ、レビューを誰が行うかを確かめておくと、稼働の見込みとのずれを防げます。

参画して最初の1か月は何をすることが多いですか？

チームの手順と報告書の型を覚え、小さめの対象から担当するのが一般的です。初月の進め方は脆弱性診断エンジニアの参画初月にやることで詳しく解説します。