脆弱性診断エンジニアの週2〜3日・副業案件｜探し方と受けるときの注意点

週2〜3日や副業で受けられる脆弱性診断の案件は、他の技術職と比べると見つけやすい部類です。診断は対象ごとに期間を区切って進み、作業と報告書づくりを稼働日にまとめやすいからです。見つかりやすいのは、報告書のレビュー、小規模な対象の診断、修正後の再診断、事業会社の内製化の支援などです。

ただし、作業してよい時間帯が決まっていたり、診断元の端末や回線の条件があったりするため、稼働日数だけでなく、作業の時間帯と場所が合うかで受けられる案件が決まります。この記事では、週2〜3日・副業の診断案件の傾向、探し方、受けるときの注意点を整理します。週3日の働き方全般は週3日の業務委託案件の記事で解説しています。

週2〜3日の診断案件が見つかりやすい理由と、限られる理由

週2〜3日の案件が成り立ちやすいのは、仕事の性質によるものです。

• 対象ごとに区切れる：1件の診断は、事前確認・診断・報告・再診断という流れで閉じるため、稼働日に作業を集めやすい
• 成果物がはっきりしている：報告書という形で結果が残り、不在の日があっても引き継ぎやすい
• 作業量に波がある：発注元のリリースや公開の時期に合わせて診断が入るため、常に週5日の人を置くより、必要な分だけ頼みたい発注元がいる

一方で、週2〜3日では受けにくい案件もあります。

• 毎日の即応が求められる案件：開発の流れの中に診断を組み込み、日々の変更をすぐ確かめる役割
• 期間の短いペネトレーションテスト：決まった期間に集中して実行するため、稼働日が飛ぶと計画が崩れやすい
• 現地での作業が中心の案件：社内のネットワークの診断などで、現地に行ける日が限られると進めにくい

週2〜3日・副業で見つかりやすい診断案件

報告書のレビューは、診断の経験を積んだ人に向く型です。判定の根拠や直し方の書き方を点検する仕事のため、時間帯の制約が少なく、副業でも受けやすくなります。ただし、報告書は発注元の弱点そのものなので、閲覧する端末や保管の場所に条件がつくことがほとんどです。

内製化の支援は、事業会社が社内で診断を始めたいときに出てくる案件です。社内の担当者が手を動かし、フリーランスは手順づくりや結果の確認、判断に迷う問題への助言に回ります。

週2〜3日の診断案件の探し方

1. 担える種類と役割を先に決める

週2〜3日で受けるなら、どの種類の診断を、どの役割で担うかを先に決めておきます。「Webアプリ・APIの診断と報告書の作成は担うが、ペネトレーションテストは受けない」「レビューだけなら平日夜も可」のように言葉にしておくと、案件との照らし合わせが早くなります。

2. 作業できる時間帯と場所を決める

診断の案件では、作業してよい時間帯が決まっていることがよくあります。本番の環境なら業務の少ない夜間や休日、検証の環境なら平日の日中、といった具合です。自分が作業できる時間帯と、在宅で作業できるか、現地に行ける日があるかを整理しておきましょう。リモートの条件は脆弱性診断エンジニアのリモート案件の記事で解説しています。

3. 診断元の端末と回線の条件を確かめる

発注元が貸し出す端末を使う決まりの案件、届け出た固定のIPアドレスから診断する決まりの案件があります。副業の場合、本業の端末や回線を使うことはできないため、自分で業務専用の端末と回線を用意できるかが受けられる案件の幅を左右します。

4. 経験の近い対象から選ぶ

稼働日数が少ないほど、立ち上がりの早さが求められます。これまで多く担ってきた対象の種類や、使い慣れた手順に近い案件を選ぶと、短い稼働でも結果を出しやすくなります。

短い稼働で信頼を得る進め方

• 稼働日の予定を先に示す：対象ごとに、どの日に何を確かめ、いつ報告書を出すかを最初に伝える
• 作業の記録を日ごとに残す：いつ、どこから、何をしたかを残し、不在の日に質問が来ても答えられるようにする
• 途中の発見は早めに共有する：重大な問題を見つけたら、報告書を待たずに決めておいた連絡先に伝える
• 不在の日の連絡の扱いを決める：対象に影響が出たときなど、急ぎの連絡にどこまで応じられるかを先に合意しておく

短い稼働でも、作業を止めるべきときに連絡がつくかは発注元にとって大切な点です。実行中は連絡のつく時間帯に作業を寄せる、といった工夫を面談で話せると安心されます。

受けるときの注意点

責任の範囲と稼働日数をそろえる

週2〜3日の案件で起きやすいのは、稼働日数は少ないのに、診断の範囲は週5日の想定のまま、という状態です。1件あたりの対象の規模と、報告書の提出の期日が、稼働日数で無理なく回るかを確かめましょう。

夜間・休日の作業と精算を確かめる

本番の環境を診断する案件では、夜間や休日の作業が入ることがあります。その時間をどう数え、精算の幅をどう扱うかを先に確かめておきます。精算の仕組みは精算幅の記事、範囲が広がったときの扱いは作業範囲が広がったときの契約の扱いで解説しています。

取引条件を書面で受け取る

短い期間の案件でも、フリーランス法では、業務を委託した事業者は直ちに、業務の内容、報酬の額、支払期日などの取引条件を、書面やメールなどで明示することとされています（2026年10月時点、公正取引委員会の案内による）。対象の範囲、作業してよい期間と時間帯もあわせて書面で残しておくと、許可の範囲の確認にも使えます。

会社員の副業で診断の案件を受けるとき

会社員が副業で診断の案件を受ける場合は、上の注意点に加えて、次の点を確かめます。

• 勤務先の就業規則：副業が禁止か、許可制か、届出制か。業務委託が対象に含まれるか。厚生労働省は「副業・兼業の促進に関するガイドライン」を公開しており、最新の改定は令和4年7月です（2026年10月時点の厚生労働省の案内による）。勤務先の取り扱いとあわせて目を通しておくと、確かめる点が整理しやすくなります
• 本業との競合：本業が診断の事業者や、セキュリティの製品・サービスを扱う会社の場合、同じ種類の仕事を個人で受けることは、競業や秘密の扱いで問題になりやすい
• 道具の切り分け：本業で使っている診断ツールのライセンスや、本業の手順書・報告書の型を副業に持ち込まない
• 税務：副業の所得の扱いや確定申告が必要になる条件は、副業の20万円ルールの記事をご覧ください

診断の仕事は、本業で知った他社の弱点の情報に触れやすい立場です。本業の情報を副業で使わないよう、意識して切り分けてください。就業規則の読み方は会社員の副業で業務委託案件を受けるときの注意点と副業禁止の会社で業務委託を受けるリスク、平日の日中に動けない場合の探し方は週末・夜だけの業務委託案件の記事で解説しています。判断に迷う場合は、勤務先の担当部署や税理士などの専門家にご相談ください。

よくある質問

平日の夜や週末だけでも診断の案件は受けられますか？

報告書のレビューや、夜間・休日に作業する決まりの本番環境の診断など、時間帯が合う案件はあります。ただし、作業中に対象の動きがおかしくなったときに、発注元の担当者と連絡がつく体制かを確かめておく必要があります。

副業で、自宅の回線から診断してもよいですか？

案件の決まりによります。届け出た固定のIPアドレスから診断する決まりや、発注元の端末を使う決まりがある案件では、自宅の回線は使えません。どこから診断してよいかは、作業の前に書面で確かめてください。

週3日で始めて、あとから週5日に増やすことはできますか？

発注元の診断の量や予算によっては増やせることがあります。ただし、案件ごとに事情が違うため、増やせる前提で受けるのは避けたほうが無難です。将来の希望がある場合は、参画前に伝えておくと話がしやすくなります。