副業の打ち合わせの終わりぎわに、「ついでに、うちのサイトをちょっと外から見てもらえませんか」と頼まれました。手が動きかけたところで、そのサーバーは相手の会社のものではなく、委託先のクラウドにあると分かります。セキュリティエンジニアが業務委託で副業を受けるとき、腕前より先に引っかかるのは、触ってよい対象かどうかと、本業で知った情報の扱いです。受け方を間違えれば、本業にも自分にも傷がつくのではないか。その不安を、3つの線引きに分けて確かめます。セキュリティの副業は、腕より先に、誰の許可で触るかを決めます。

1. セキュリティエンジニアの副業で迷うところ

触る範囲の迷い

冒頭の場面で手が止まったのは、腕が不足していたからではありません。「外から見てほしい」と言ったのは依頼者ですが、そのサーバーを誰に使わせるかを決めているのは、委託先の事業者かもしれないからです。依頼者のサイトでも、動いている場所が委託先のクラウドや共用のサーバーなら、許可を出せる人は依頼者と同じとは限りません。これは書き手の見立てです。

本業の現場では、診断の対象も範囲も、社内の手続きで先に決まっていることがほとんどでしょう。副業では、その手続きを自分で組み立てる側に回ります。依頼者の一言を頼りに手を動かせば、対象の持ち主が知らないうちに診断が走るおそれがあります。腕前の問題ではなく、順番の問題です。

持ち込む情報の迷い

2つ目の迷いは、頭の中の知識です。本業の現場で見た設定の癖や、取引先のシステムの弱点は、副業の依頼を受けたときにも思い出されます。思い出すこと自体は止められませんが、副業の成果物に書き込んだ瞬間に、本業で知った情報を外へ出したことになるかもしれません。

とくに、本業の取引先や本業の製品と重なる副業は、情報の境目があいまいになります。どの知識が一般的な技術で、どの知識が本業で知り得た秘密なのか。副業を始める前に、自分の中で線を引いておく必要があります。線の引き方は第4節で扱います。

受ける仕事の迷い

3つ目は、仕事の形です。セキュリティの仕事には、常時の監視のように時間で拘束されやすいものと、レビューや点検のように成果物で区切れるものがあります。本業と並べるなら、後者のほうが日程を組みやすくなります。

この3つの迷いは、順番に片づけられます。先に触る範囲を決め、次に持ち込まない情報を決め、最後に受ける仕事の形を決めます。決めた線が1本でも欠けたまま受けると、後から本業にも依頼者にも説明がつかなくなります。以降の節は、この3本の線を1本ずつ確かめる流れです。

図の作成：Remogu編集部。副業の始め方を整理したもので、統計データではありません

2. 診断は管理者の許可を確かめてから

国の資料に出てくる2つの用語

国家公安委員会、総務大臣、経済産業大臣は、不正アクセス禁止法第10条に基づいて、不正アクセス行為の発生状況をまとめた資料を毎年公表しています。2026年3月12日の資料の注記は、アクセス管理者を、ネットワークに接続されたコンピュータを誰に利用させるかを決定する者と説明しています¹。

もう1つの用語は、手口の区分です。同じ資料は、セキュリティ・ホール攻撃型を、アクセス管理者の設定上のミス等、コンピュータ・システムの安全上の不備を突く行為と説明しています¹。どちらも用語を説明する注記であり、診断を頼まれた人の動き方を決めた文ではありません。

用語ごとの確認対象

表は、資料の説明と、副業で確かめる対象を並べています。左2列は資料に書かれている内容で、右の列は書き手の見立てです。資料が示しているのは用語の意味までで、右の列の動き方は資料が定めたものではありません。

用語	資料での説明	副業で確かめること
アクセス管理者	誰に利用させるかを決める者1	誰が管理者かを、契約の前に確かめます
セキュリティ・ホール攻撃型	設定上のミス等、安全上の不備を突く行為1	許可の無い対象に、診断の手を伸ばしません

資料が決めていないことと、許可の確かめ方

この資料は、診断の手続きを定めていません。診断が不正アクセスに当たるか当たらないかも、資料には書かれていません。そのため、診断の可否を資料から読み取ることはできません。許可の取り方や書面の形式も、資料の範囲の外です。

そこで書き手の見立てを分けて置きます。アクセス管理者が、誰に利用させるかを決める者だとすれば、診断の許可を出せるのも管理者のはずです。依頼者と管理者が違う場面は、委託先のクラウドや共用のサーバーで起こり得ます。契約の前に、誰が管理者かを確かめておく価値があります。

確かめる相手が決まれば、あとは範囲です。どのアドレスを、いつからいつまで、どんな手法で診断するのか。この3点を依頼者と管理者の双方と合わせておけば、冒頭の「ついでに見てください」のような頼まれ方にも落ち着いて答えられます。次は、組織がどんなセキュリティサービスを使っているかを見ます。

3. 組織が使っているセキュリティサービス

上位に並ぶのは監視のサービス

警察庁は2025年12月の報告書で、不正アクセス行為対策等の実態調査の結果を公表しています。回答した588の組織に、利用しているセキュリティサービスを複数回答で聞くと、「ウイルス等監視」が57.5％で最も高く、「セキュリティ運用・監視」が51.0％で続きました²。

この調査は組織への調査です。個人や副業の人に聞いたものではないので、副業の仕事が増えているかどうかは、この数字からは分かりません。読み取れるのは、回答した組織のうち、監視にかかわるサービスを使っている組織が半数を超えた、という範囲までです。

出典：警察庁「不正アクセス行為対策等の実態調査」（2025年12月）をもとに作成。回答した588組織への複数回答

監視の仕事を副業で受けるときの区切り

この調査は、監視のサービスを外部の事業者に頼んでいるのか、組織の中で担っているのかまでは示していません。副業の担い手がいるかどうかも、調査の範囲外です。数字から言えるのは、組織の側に監視のサービスへの需要があるところまでです。

ここからは書き手の見立てです。監視の仕事は、交代で入る当番や夜間の対応が絡みやすい仕事です。本業と並べて受けるなら、対応する時間帯や回数、連絡がつかない時間帯の扱いを、先に区切っておく必要があります。区切れない形のまま引き受けると、本業の日程と衝突します。

では、本業で知った情報はどこまで持ち込めるのでしょうか。次は、情報の線引きを確かめます。

4. 本業で知った情報を副業に持ち込まない

登録セキスペにかかる義務

IPAの案内によると、情報処理安全確保支援士（登録セキスペ）には、信用失墜行為の禁止、秘密保持、講習受講の3点の義務があります³。情報処理の促進に関する法律に基づく、登録者本人の義務です。

このうち秘密保持について、情報処理の促進に関する法律の秘密保持の規定は、情報処理安全確保支援士が正当な理由なく、業務に関して知り得た秘密を漏らしたり盗用したりすることを禁じています。支援士でなくなった後も同様です³。本業で知り得た情報を副業で使うことと、この規定を結びつけて読むのは書き手の見立てです。

義務の3点と、この記事での扱い

表は、登録セキスペの3点の義務を並べています。主語は登録した人です。登録していないセキュリティエンジニアに、この規定の義務がそのままかかるわけではありません。右の列は、この記事で各義務をどう扱うかを示しています。

登録セキスペの義務	資料での説明	この記事での扱い
信用失墜行為の禁止	登録者の義務の1つ3	義務の名前だけを挙げます
秘密保持	業務に関して知り得た秘密を漏らさず、盗用しません。支援士でなくなった後も同様です3	本業で知った情報を持ち込まない線引きの手がかりにします
講習受講	登録者の義務の1つ3	義務の名前だけを挙げます

登録していない人と本業の組織への相談

登録していない人は、法の義務はかかりませんが、本業と副業それぞれの契約で秘密保持を負うのが一般的です。これは書き手の一般論です。契約書のどの条項が何を縛るかは、案件ごとに異なります。秘密保持の条項の読み方は、別の記事（秘密保持の範囲）で詳しく扱っています。

登録の有無にかかわらず、役に立つ線引きがあります。業務に関して知り得た秘密の範囲は広めに読み、本業で知った情報は副業に持ち込まないと決めることです。この方針なら、迷う場面が減り、本業の組織にも依頼者にも説明しやすくなります。

本業の取引先や本業の製品と重なる副業は、動く前に本業の組織へ相談します。本業の副業に関する規程の中身はここでは扱いません。確かめる順番は、まず本業の契約、次に相談、最後に副業の依頼者との条件合わせです。

情報の線が引けたら、残るのは受ける仕事の形です。

5. 区切りやすい仕事の形

成果物で終わりが決まる4つの仕事

本業と並べやすいのは、始まりと終わりが成果物で決まる仕事です。設計のレビューなら、渡すものは指摘の一覧です。設定の点検なら点検結果の表、ログの読み解きなら所見のメモ、社内向けの教育なら教材を納めます。

これは書き手の見立てで、資料に根拠があるわけではありません。ただし、納めるものが決まっていれば、いつまでに何を渡すかを本業の予定に合わせて組めます。時間帯で拘束される監視の当番とは、日程の組み方が違います。

どの形でも、先に決めておくのは対象と範囲です。設計レビューなら対象の設計書、設定の点検なら対象の機器や環境、ログの読み解きなら対象のログの期間です。対象が曖昧なまま受けると、成果物の区切りも曖昧になり、どこで終わりなのかを依頼者と争う種になります。

図の作成：Remogu編集部。仕事の形を整理したもので、統計データではありません

診断を受けるときの決め方

診断そのものを受ける場合は、第2節の確認がそのまま前提になります。対象、期間、手法の3点を書面で決め、管理者の許可が取れているかを依頼者と合わせます。書面に残せば、あとから範囲を巡って食い違う場面も減らせます。これは書き手の一般論です。

診断案件の中身は、別の記事で扱っています。脆弱性診断のフリーランス案件の選び方では、診断とペネトレーションテストの違いと、案件を見るときの基準をまとめています。副業として受けるかどうかを決める材料に使えます。

とはいえ、診断を副業の入口にする必要はありません。レビューや点検から始め、実績を積んでから診断へ進む順番もあります。次は、その実績と資格を外にどう見せるかです。

6. 資格と実績を外に見せる

登録セキスペの検索サービス

IPAの案内では、情報処理安全確保支援士（登録セキスペ）に登録すると、登録者の情報がIPAの検索サービスに掲載され、一般に公開されます。公開する項目は、登録申請の際に選べます³。

ただし、この検索サービスは登録した本人の情報を公開する仕組みです。案件を紹介したり仲介したりする仕組みではありません。そのため、検索サービスに載れば仕事が来るとは言えません。公開する項目を選べる点は、本業の組織や取引先に結びつく情報を出さずに済ませる余地になる、というのが書き手の見立てです。

組織が資格を活用している割合

警察庁の同じ調査では、組織がセキュリティ人材を育成するための取組みも、複数回答で聞いています。「部外セミナー等の受講」が48.8％で最も高く、「セキュリティ関連の試験・資格の活用」は24.0％でした²。

これは組織の人材育成の取組みの割合で、副業の受けやすさを測ったものとは別です。資格があれば副業の依頼を受けやすいかどうかは、この数字からは分かりません。そう感じる場面はあるかもしれませんが、断定できる根拠はないので、この記事でも言い切りません。

見せるものの決め方

表は、外に見せるものを決めるときの3つの項目を並べています。資格と割合は資料に書かれている内容で、実績の書き方は書き手の見立てです。実績は、どんな種類の課題に、どんな役割で関わったかの形で書き、本業の取引先名や製品名は出さない形が安全側です。第4節の線引きが、そのまま実績の書き方の線引きになります。

決めること	例	根拠の種類
見せる資格	登録セキスペは、検索サービスで公開する項目を選べます3	IPAの案内
見せる実績	本業の取引先名を出さない書き方にします	書き手の見立て
組織が資格を活用している割合	24.0％2	警察庁の調査

見せるものが決まったら、あとは順番です。何から手をつけるかを次の節で整理します。

7. 本業と並べるための始め方

着手前に済ませる4つの順番

3本の線引きは、順番を守ると片づけやすくなります。最初に確かめるのは、本業の契約と本業の組織の規程です。副業そのものが認められているのか、取引先と重なる場合はどう扱うのかを、動く前に本業の組織へ相談します。規程の中身はここでは扱いません。

次に、触る対象の管理者と範囲を確かめます。依頼者の一言だけで動かず、管理者が誰かを突き止め、対象・期間・手法を合わせます。そのあとで持ち込まない情報の線を引き、最後に、成果物で区切った仕事から受けます。

図の作成：Remogu編集部。副業の始め方を整理したもので、統計データではありません

最初の一件の選び方

最初の一件は、小さく区切れるものを選びます。設計のレビューや設定の点検のように、渡すものと期限が先に決まる仕事なら、本業の繁忙期とずらして日程を組めます。監視の当番のように時間帯が決まる仕事は、区切り方を決めてからにします。

実際に動き出すときは、案件の条件を自分の目で確かめられる場所があると助かります。Remogu（株式会社LASSIC運営）は、リモートワーク案件特化のエンジニアマッチングで、案件の90%以上がフルリモート可能です。登録して、自分の経験に近い案件の条件を眺めるところから始められます。

冒頭の頼まれごとに戻る

打ち合わせの終わりぎわに「ついでに見てもらえませんか」と頼まれたら、その場で手を動かさず、「対象はどこにあり、誰が管理していますか」と聞き返します。聞き返せる準備が、本業にも依頼者にも自分にも傷をつけない副業の入口です。

腕前は、準備が整ったあとに活きます。セキュリティの副業は、腕より先に、誰の許可で触るかを決めます。

8. よくある質問

情報処理安全確保支援士に登録していないと副業は受けられませんか

登録の有無だけで、副業を受けられるかどうかが決まるわけではありません。これは書き手の見立てで、受けられるかどうかは依頼者との契約で決まります。登録すると、信用失墜行為の禁止・秘密保持・講習受講の3点の義務が登録した本人にかかります³。登録していない場合は、本業と副業それぞれの契約で秘密保持を負う形が一般的です。

本業の取引先から直接副業を頼まれたらどうしますか

その場で引き受けず、先に本業の組織へ相談します。これは書き手の一般論です。本業で知った情報と、取引先から頼まれた仕事の境目があいまいになりやすいためです。本業の契約や規程でどう扱われるかを確かめ、了解を得てから返事をするほうが、あとの説明が楽になります。

土日だけで受けられるセキュリティの仕事はありますか

書き手の見立てでは、成果物で区切れる仕事が向いています。設計のレビューや設定の点検は、渡すものと期限を先に決めて、土日に作業を集められます。一方、監視の当番は時間帯や回数が決まりやすく、土日だけに区切るのは難しい仕事です。受ける前に、対象と範囲と納めるものを決めておくと、日程の見通しが立ちます。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 警察庁「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」（2026年3月12日・2026年10月確認）
＊2 警察庁「不正アクセス行為対策等の実態調査」（2025年12月・2026年10月確認）
＊3 IPA「登録セキスペの権利と義務」（2026年9月17日・2026年10月確認）