副業の打ち合わせで、「評価ボードは社外に持ち出せないので、お送りできません」と言われました。組込みのC言語は実機が無ければ進まない、やはり自宅から受ける業務委託の副業は無理かと思いかけたところで、相手が続けます。「見てほしいのはコードと解析の結果なんです」。C言語の副業は、実機に触る仕事か、コードに触る仕事かで分けます。

1. C言語の副業が難しく見える理由

実機が手元に無いと進まない作業

組込みのC言語は、書いたコードが動く先に実機があります。ドライバの動作確認も、実機でのデバッグも、タイミングの調整も、評価ボードにつないで初めて結果が出る作業です。本業でこうした作業を続けてきた人ほど、「実機が無ければ仕事にならない」と感じやすくなります。

そのうえ、評価ボードや開発中の機器は、持ち出しや貸与に制限がかかる場合があります。冒頭の打ち合わせのように、実機は送れないと言われた時点で副業は無理だと判断する流れは自然です。ただし、この判断は、仕事の種類をまだ分けていない段階のものです。なお、この節の内容は資料に基づく事実ではなく、書き手の見立てです。

作業が実機を必要とするかで仕事を分ける

分ける軸は、言語でも会社でもなく、その作業が実機を必要とするかどうかです。ドライバの動作確認、実機でのデバッグ、タイミングの調整は、実機が要る仕事に入ります。一方、静的解析の指摘の仕分け、コードレビュー、単体テスト、シミュレーションは、ソースコードと手元の環境があれば進められる場合があります。

図の作成：Remogu編集部。書き手の見立てを整理したもので、統計データではありません

ただし、手元で進む仕事でも、依頼元が何を渡すかで条件は変わります。ソースコードを依頼元がどこまで見せるのか、解析に使う環境を誰が用意するのか。これらは受ける前に決めておく項目で、第6節でまとめます。次は、IoT製品のセキュリティに関する制度の動きを確かめます。

2. IoT製品のセキュリティにラベルの制度ができた

セキュリティ要件適合評価及びラベリング制度（JC-STAR）の位置づけ

IoT製品のセキュリティ機能を評価して見える形にする制度に、セキュリティ要件適合評価及びラベリング制度（JC-STAR）があります。サイバーセキュリティ戦略本部の「サイバーセキュリティ2026」の用語解説では、この制度は2025年3月に始まったと説明されています¹。

この記事では、制度が任意か義務かには触れません。取り上げるのは、制度が段階に分かれていることと、段階によってセキュリティを確かめる主体が違うことです。★2を含めた全体の評価の進め方は、別の記事で整理しています。

段階ごとの中身

★1は、IoT製品に共通して求められる最低限のセキュリティ要件を満たすことを、IoT製品ベンダーが自ら宣言する段階です²。★3と★4は、政府機関や重要インフラ事業者等向けの製品を想定した段階で、独立した第三者評価機関の評価報告書に基づいてIPAが認証し、適合ラベルを付与します²。確かめる主体が自己宣言か第三者かで、段階の性格が分かれます。この表では★2を扱いません。

段階	中身	確かめる主体
★1	IoT製品に共通して求められる最低限のセキュリティ要件を満たすこと2	IoT製品ベンダーが自ら宣言
★3・★4	政府機関や重要インフラ事業者等向けの製品を想定した段階2	独立した第三者評価機関の評価報告書に基づき、IPAが認証・適合ラベルを付与

つまり、すべてのIoT製品が第三者の評価を受けるわけではありません。第三者評価を想定しているのは、★3と★4に当たる、政府機関や重要インフラ事業者等向けの製品です。自己宣言の★1でも、宣言する前に要件を満たしているかを開発元が確かめる作業は要ります。この確かめる作業の一部が、実機の無い手元の確認で進む場合がある、というのが書き手の見立てです。

では、2026年に入ってこの制度に何があったのでしょうか。

3. ★3の要件の公開と、申請の増加

2026年に出た2つの案内

IPAは2026年2月6日に、通信機器とネットワークカメラの★3セキュリティ要件を公開しました²。公開されたのは要件で、★3のラベルが付いた製品が出たという話ではありません。

その後、IPAはJC-STARのお知らせ（2026年7月31日）で、申請件数が急増しており、確認作業に通常より時間を要していると案内しました²。件数はこの記事では書きません。案内の中身は、確認にかかる時間の話です。

出典：サイバーセキュリティ戦略本部「サイバーセキュリティ2026」、IPA「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」をもとに作成

案内から言えることと、言えないこと

申請するのは製品の開発元です。そのため、この案内から言えるのは、IPAの側の確認に時間がかかっているところまでです。外注や副業の仕事が増えたとは言えません。

書き手の見立てとして述べるなら、要件が公開された分野では、開発元が要件に沿って自社のコードや設計を見直す場面が出てきます。その見直しの一部、たとえば要件とコードの突き合わせは、実機が無くても進む場合があります。見立てはここまでで、案件の数や需要の大きさを示す根拠は、この記事にはありません。

次に、別の資料として、IPAが開発元向けに出している脆弱性対処のガイドを見ます。

4. 中小規模の開発元に向けた脆弱性対処のチェックリスト

製品開発者向けガイドが対象とする機器

IPAには、「脆弱性対処に向けた製品開発者向けガイド」があります。最終更新は2026年3月31日で、JC-STARとは別の資料です。対象は、ネットワーク家電・プリンタ・ルータ・ネットワークカメラ等のネットワークに接続する機器で、工場・プラント等で使う制御機器（PLC、シーケンサ等）は対象外としています³。

本業の製品が工場・プラント向けの制御機器なら、このガイドの対象外です。副業で受ける仕事の分野を選ぶときは、対象の範囲を先に確かめておくと、話が食い違いません。

読者の想定とチェックリストの使い方

ガイドの読者は、対象製品を開発する主に中小規模の事業者です³。使い方としては、製品開発マネージャーがチェックリストで脆弱性の対処状況と課題を把握し、最大3段階にレベル分けされた対処を進める形が示されています。下の表は、対象と使い方を項目ごとに並べたものです。

項目	内容
対象製品	ネットワーク家電・プリンタ・ルータ・ネットワークカメラ等のネットワークに接続する機器3
対象外	工場・プラント等で使う制御機器（PLC、シーケンサ等）3
想定する読者	対象製品を開発する主に中小規模の事業者3
使い方	製品開発マネージャーがチェックリストで対処状況と課題を把握し、最大3段階にレベル分けされた対処を進める3

書き手の見立てでは、チェックリストの項目とコードを突き合わせる作業は、実機が無くても進む場合があります。ただし、これは見立てであり、ガイドが外部の人に確認を頼む使い方を示しているわけではありません。

では、実機が無くても進む仕事には、どんな形があるのでしょうか。

5. 実機が無くても進む仕事の形

成果物が手元で完結する仕事

実機が無くても進む仕事は、成果物が手元で完結する形をしています。静的解析なら、指摘を仕分けた一覧が成果物です。コードレビューなら、指摘と修正案を書いた文書です。単体テストはテストコード、要件とコードの対応付けは、どの要件がどのコードに当たるかを示す対応表になります。この分け方は書き手の見立てで、制度や資料が定めた分類ではありません。

図の作成：Remogu編集部。書き手の見立てを整理したもので、統計データではありません

たとえば静的解析の指摘の仕分けは、解析の結果を一件ずつ見て、直す必要のある不具合か、そのままでよい指摘かを判断する作業です。結果を出す作業そのものは解析の環境が担い、人が受け持つのは仕分けの判断です。判断の根拠は、ソースコードの文脈にあります。

組込みの経験が読み取りに使われる場面

コードレビューでは、書かれたコードが機器の中でどう動くかを想像しながら読みます。レジスタの扱いや割り込みの前提といった組込み特有の読み方は、本業で実機に向き合ってきた人が持っているものです。実機が手元に無くても、コードを読む目は仕事に使えます。これも書き手の見立てです。

要件とコードの対応付けも、同じ種類の仕事です。第4節で見たチェックリストのような項目を一つずつ取り上げ、該当する処理がコードのどこにあるかを探して対応表にまとめます。実機を動かす場面は出てきません。ただし、項目の数や粒度は依頼元によって違うため、受ける前に範囲を決めておく必要があります。

区切りを付けやすい理由

これらの仕事は、成果物が文書やコードの形で残るため、納品の区切りを決めやすい性質があります。レビューなら対象のファイルの範囲、テストなら対象の関数の範囲で、受ける量を絞れます。本業の予定に合わせて量を調整したい人にとって、区切りを付けられることは大きな意味を持ちます。

実機を使う仕事が価値を失うわけではありません。ただ、副業として時間を区切って受けるときは、実機を使わない仕事のほうが進め方を組み立てやすい、というのが書き手の考えです。では、実際に受ける前に何を決めておけばよいのでしょうか。

6. 受ける前に決めておくこと

コードと環境の受け渡し

実機を使わない仕事でも、何も決めずに始めると途中で止まります。最初に決めたいのは、ソースコードをどの方法で受け取るかです。社外にコードを出せない取引先も考えられるため、見られる範囲と、手元に置いてよいかどうかを確かめます。これは書き手の整理で、資料に書かれた手順ではありません。

次に、評価ボードを借りられるのか、貸与なしで進めるのかを決めます。冒頭の打ち合わせのように貸与が無い場合は、実機の要らない作業だけを受ける約束にすれば、後から実機が必要な作業が混ざる事態を避けられます。解析の道具を誰が用意するのかも、同じ段階で取り決めます。

取り決める項目の一覧

決めておく項目は、渡すものと、返すものと、進め方の3つに分かれます。渡すものはコードの受け渡しの方法と評価ボードの貸与の有無、返すものは成果物の形です。進め方には、解析の道具をどちらが持つか、連絡を取れる時間帯、秘密保持の範囲が入ります。下の表は、その項目と例を並べたものです。

決めること	例
ソースコードの受け渡しの方法	共有の場所、見られるファイルの範囲、手元に置いてよいかどうか
評価ボードの貸与の有無	貸与あり、貸与なしで実機の要らない作業だけを受ける
解析ツールの用意	依頼元が用意する、受ける側が用意する
成果物の形	指摘の一覧、修正案つきのレビュー文書、テストコード、対応表
連絡の時間帯	平日の夜、土日の決まった時間など、本業と重ならない枠
秘密保持の範囲	見せてもらったコードや仕様の扱い、成果物の保管と削除

この中でも、成果物の形は後から揉めやすい項目です。指摘の一覧で足りるのか、修正案まで求められるのかで、作業の量は大きく変わります。最初に形を決め、見本を一つ示してもらうと、認識のずれを減らせます。

本業との関係の確かめ方

もう一つ、取引先との取り決めとは別に、本業の側の確認があります。本業の契約書や社内の規程に、副業の扱いと秘密保持がどう書かれているかを読んでおきます。副業として受ける仕事が本業の製品と近い分野なら、ここを曖昧にしたまま進めないでください。

次は、ここまで決めたことを、本業と並べて続ける形にどう組み立てるかです。

7. 本業と並べるための受け方

受ける順番を決める

本業と並べて副業を続けるには、受け方の順番を決めておくと迷いません。最初に見るのは、その仕事が実機を必要とするかどうかです。次に、成果物をどの区切りで納めるかを決めます。そのうえで、コードと解析の道具の受け渡しを取り決め、最後に契約へ進みます。

図の作成：Remogu編集部。書き手の見立てを整理したもので、統計データではありません

この順番にするのは、後ろの段階ほど前の結果に左右されるからです。実機が要るか要らないかが分からないまま契約の話に進むと、受けられない作業が条件に混ざります。順番を前から確かめれば、条件を決める段階で食い違いに気づけます。

制度の動きとの距離の取り方

制度の動きについては、見えている範囲が限られています。JC-STARの★3要件の公開と、申請の確認に時間がかかっているという案内は、IPAが示した事実です。一方、そこから副業の仕事が増えるかどうかは、資料からは読み取れません。制度の動きは、仕事を探す目安の一つとして横目で見るにとどめ、仕事の中身は受ける前に依頼元と確かめます。

脆弱性対処のガイドについても同じです。対象は主にネットワークにつながる機器で、工場・プラントの制御機器は対象外でした。本業の製品がどちらに当たるかを自分で整理しておくと、副業で受ける分野を絞りやすくなります。

実機に触らない形から始める

Remogu（株式会社LASSIC運営）は、リモートワーク案件特化のエンジニアマッチングで、案件の90%以上がフルリモート可能です。C言語の案件に絞って探すこともできますが、実機の要否は案件ごとに違うため、受ける前に確かめる必要があります。まず登録して、自分の経験に合う条件を見てみてください。

評価ボードは手元に無くても、コードを読む目は手元にあります。最初の一件は、成果物の区切りが明確な作業から受けると、本業との両立の感覚をつかめます。C言語の副業は、実機に触る仕事か、コードに触る仕事かで分けます。

8. よくある質問

C++の副業も同じ考え方で受けられますか

同じ考え方で整理できます。実機が要る作業か、ソースコードと手元の環境で進む作業かで分ける点は、言語が変わっても変わりません。静的解析の指摘の仕分けやコードレビューは、C++のコードでも成果物の形が同じです。ただし、これは書き手の見立てで、資料に基づく事実ではありません。

土日だけで受けられる仕事はありますか

成果物で区切れる仕事なら、土日だけで受けられる場合があります。コードレビューは対象のファイルの範囲、単体テストは対象の関数の範囲で量を決められるため、週末の時間に合わせて引き受けやすい形です。反対に、実機が要る作業は評価ボードの前にいる時間が必要になり、区切りを付けにくくなります。これも書き手の見立てです。

本業の製品と近い分野の副業を受けるときに確かめることは何ですか

本業の契約書や社内の規程に、副業の扱いと秘密保持がどう書かれているかを確かめます。近い分野の仕事では、本業で知った情報と副業で見る情報の境目が曖昧になりやすいため、どちらの情報を使ってよいのかを先に整理しておきます。判断に迷うときは、本業の担当部署に相談する形が確実です。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 サイバーセキュリティ戦略本部「サイバーセキュリティ2026」（2026年7月31日・2026年10月確認）
＊2 独立行政法人情報処理推進機構「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」（2026年6月1日・2026年10月確認）
＊3 独立行政法人情報処理推進機構「脆弱性対処に向けた製品開発者向けガイド」（2026年3月31日・2026年10月確認）