副業の打ち合わせで「遅いクエリを直してほしい」と言われ、手応えを感じた直後のことです。「作業は本番で、メンテナンスの枠は水曜の深夜2時からです」と続き、翌朝の本業が頭をよぎります。データベースエンジニアが業務委託で副業を受けようとすると、本番の権限と夜間の作業が壁に見えて、本業と並べられないのではと迷う場面があります。この記事では、その迷いを3つの判断基準で整理します。データベースの副業は、どこに、いつ触るかを先に決めます。

1. データベースの副業が受けにくく見える理由

権限と時間帯が重なって見える

データベースの仕事は、アプリケーションの開発と違い、データそのものに触れる場面が多くあります。本番のデータを読む、書き換える、構造を変える。どれも、間違えたときの影響が大きい作業です。そのため、本番に入る権限は、仕事の内容と切り離せません。

もう一つ重なるのが、作業の時間帯です。本番の構造を変える作業や切り替えは、利用者が少ない時間帯に置かれることがよくあります。ここから先は書き手の見立てですが、副業の打ち合わせで夜間の枠を示されると、本業のある平日の翌朝が思い浮かび、受けにくく感じる人は多いはずです。

ただし、この2つは別の話です。権限は「どこに触るか」、時間帯は「いつ触るか」を決めます。2つを分けて考えると、迷いの正体が見えてきます。

仕事の位置を2つの軸で見る

横に「本番に触るか」、縦に「時間帯が決まっているか」を置くと、データベースの仕事は図のように散らばります。実行計画やログの分析、移行設計、SQLのレビューは、手元の資料を相手に進められるので、左上に寄ります。本番の切替作業、夜間メンテナンス、障害時の呼び出しは、右下に寄ります。

図の作成：Remogu編集部。仕事の位置を書き手の見立てで整理したもので、統計データではありません

この図から、受けにくく見える原因の多くは右下の仕事にあると分かります。副業として受けるなら、まず左上に寄る仕事を探し、右側や下側に寄るものは条件を確かめてから決めます。

3つの判断基準

この記事では、受ける仕事を次の3つで分けます。1つ目は、本番のデータベースに触るか、つまり権限です。2つ目は、作業の時間帯が決まっているか、つまり夜間メンテナンスや障害時の呼び出しがあるかです。3つ目は、成果物で区切れるか、つまり性能改善の分析や移行設計のように、納めるものがはっきりしているかです。

この3つは、法令や公的な資料が定めた基準ではなく、書き手の見立てです。それでも、受ける前に発注側と話す項目を並べるには役立ちます。次の節からは、本番の権限がなぜ絞られやすいのかを、公的な資料の数字から確かめます。

2. 漏えい等の報告の数と、不正アクセスの位置

令和7年度に処理された報告の数

個人情報保護委員会は、令和7年度（2025年4月〜2026年3月）に、個人データの漏えい等の報告を17,139件処理しました。このうち委員会への直接報告は13,345件で、残りは委任先の省庁を経由したものです¹。

ただし、この17,139件は報告の総数です。データベースから漏れた件数ではありません。紙の書類の誤交付や誤送付も含まれているため、「データベースの事故がこれだけ起きた」とは読めません。本文でもデータベースの数としては扱いません。

では、数字から何が言えるのでしょうか。個人データの扱いに関する事故の報告が、1年間でこれだけ処理されている、という事実です。個人データを含む環境に入る仕事では、発注側が慎重になる背景として押さえておく価値があります。

不正アクセス等の占める割合と指導の例

同じ報告事案を、施行規則の報告義務の類型で分けると、要配慮個人情報を含む漏えい等に次いで多かったのは、不正アクセス等、不正の目的をもって行われたおそれのある漏えい等で、22.3%を占めました¹。この割合は、不正の目的があったおそれのある漏えい等の全般です。データベースへの攻撃だけの割合ではありません。

委員会は同じ年度に、公開済みのウェブサイトやネットワークの脆弱性への対応を怠って不正アクセスを受け、個人データの漏えい等を生じさせた場合などを、基本的な安全管理措置の不備として事業者に指導しました¹。指導の件数は、参照した資料には載っていません。

一方で、この指導を受けたのは事業者です。副業の受け手が指導を受けた、という話ではありません。それでも、発注側が外部の技術者に入ってもらうとき、脆弱性への対応や権限の範囲に気を配る理由は、この例から想像がつきます。

報告と指導の項目別の整理

3つの事実を並べると、何を数えたものかが分かります。件数は報告全体、22.3%は報告義務の類型での割合、指導は事業者への例示です。それぞれ測っているものが違うので、混ぜて読まないことが大切です。

項目	中身
令和7年度に委員会が処理した報告	17,139件（紙の書類の誤送付なども含む報告全体）
報告義務の類型で2番目に多いもの	不正アクセス等の不正の目的のおそれのある漏えい等・22.3%
指導の例	公開済みのウェブサイトやネットワークの脆弱性への対応を怠って不正アクセスを受けた場合等

3. 委託先で起きた漏えいと、発注側の監督

委託先の行にあたる1,292件

委員会へ直接報告された漏えい等13,345件の内訳の表を見ると、「委託先」の行は1,292件（9.7%）でした¹。分母は直接報告の13,345件で、前の節の17,139件ではありません。

この数字も、読み方に限りがあります。内訳の表の行を示したもので、原因が誤送付なのか不正アクセスなのか、データベースの作業が関わったのかは、この数字だけでは分かりません。「委託先の漏えいはすべてデータベース作業の結果」とは読めません。

図の作成：Remogu編集部。件数は個人情報保護委員会「令和７年度個人情報保護委員会 年次報告」をもとに作成

発注側に課される監督の義務

個人情報保護法第25条により、個人データの取扱いを委託する事業者は、委託先に対して必要かつ適切な監督を行う義務を負います²。義務を負うのは、委託する発注側の事業者です。

ここで、副業の受け手がどこに立つのかを考えます。個人で業務委託を受けるエンジニアが法律上の「委託を受けた者」に当たるかは、参照した資料からは分かりません。そのうえで書き手の見立てを述べると、外から入る受け手は、発注側から見れば委託先の側に立つ場合があります。

この見立てに立つと、発注側が権限を絞ったり、作業の範囲を細かく決めたりするのは、監督の義務を負う側として自然な動きです。権限を絞られたからといって、信頼されていないと受け取る必要はありません。次の節では、発注側が講じる措置の中身を見ます。

4. 発注側が講じるアクセス制御と不正アクセスの防止

ガイドラインが挙げる2つの措置

個人情報保護委員会のガイドライン（通則編）は、個人データを情報システムで扱う事業者が講じる技術的安全管理措置として、担当者と取り扱う個人情報データベース等の範囲を限定するアクセス制御を挙げています²。義務を負うのは個人情報取扱事業者です。

同じくガイドラインは、個人データを扱う情報システムを外部からの不正アクセスや不正ソフトウェアから保護する仕組みを導入し、適切に運用することも挙げています²。この2つは、データベースの権限や接続の経路を決めるときの前提になります。

措置	中身
アクセス制御	担当者と取り扱う個人情報データベース等の範囲を限定する
外部からの不正アクセス等の防止	外部からの不正アクセスや不正ソフトウェアから保護する仕組みを導入し、適切に運用する

受け手の側から見た読み方

2つの措置を負うのは発注側です。ガイドラインが副業の受け手の権限を定めているわけではありません。個人データを含むデータベースに外部の人が触る場合は、発注側が自らの措置として、触れる範囲を絞ることが想定できます。

そこで、受け手として考えたいのは「本番に触れる権限はどこまでか」を、発注側と協議して決めるという進め方です。これは書き手の見立てで、資料が直接そう述べているわけではありません。ただ、発注側がアクセス制御を講じる立場にある以上、受け手が自分の権限を一方的に決めることは考えにくいと言えます。

また、データベースの副業がすべて個人データを扱うわけではありません。個人データを含むデータベースに触る場合は、という条件を付けて読むのが正確です。権限の範囲を決めたうえで、次の節では、そもそも本番に触らずに進む仕事の形を見ていきます。

5. 本番に触らずに進む仕事の形

受け取るものと返すもので区切れる仕事

データベースの仕事には、本番に入らなくても進むものがあります。ここからは書き手の見立てです。たとえば性能改善の分析は、実行計画やスロークエリのログを受け取り、改善案を返す形で区切れます。移行設計は、スキーマ定義とデータ量の見積りを受け取り、移行計画書を返します。

SQLやDDLのレビューも同じです。対象のSQLやDDLを受け取り、指摘と修正案を返します。手順書の作成も、検証環境でのリハーサルまでを受け持てば、作業手順書という成果物で区切れます。いずれも、受け取るものと返すものがはっきりしているので、成果物で区切れるかという3つ目の基準に当てはまります。

図の作成：Remogu編集部。仕事の分け方を書き手の見立てで整理したもので、統計データではありません

本番の実行は誰が行うか

本番での実行は、発注側の担当者が行い、受け手は手順書と立ち会いで関わる形もあります。これも書き手の見立てで、すべての案件がこの形とは限りません。ただ、この形なら、受け手は本番の権限を持たずに、作業の中身には責任を持てます。

一方で、立ち会いが夜間に入ると、時間帯の問題がまた出てきます。立ち会いが必要かどうか、必要なら何時から何時までかは、受ける前に聞く項目です。次の節では、この聞く項目を表にして並べます。

6. 本番の権限と時間帯について、受ける前に決めておくこと

権限と接続について決める項目

ここからは書き手の見立てで、受ける前に発注側と話しておきたい項目を挙げます。まず権限です。本番に接続するのか、しないのか。接続するなら、読み取りだけか、更新もするのか。さらに、実行は誰の権限で行うのかも決めます。

個人データを含むデータベースに触る場合は、マスキングの有無と、接続する端末と経路も決めておきます。発注側が不正アクセスから保護する仕組みを運用している²以上、受け手の端末や経路も、その仕組みの中に入れてもらう形になるからです。

時間帯と記録について決める項目

次に時間帯です。作業が必要になるメンテナンスの曜日と時刻、障害時に呼び出しがあるかどうかを聞きます。夜間の作業が月に何回あるのか、立ち会いが何時間かかるのかが分かれば、翌日の本業との兼ね合いを自分で判断できます。

作業の記録の残し方も、受ける前に決めておく項目です。誰が、いつ、何を実行したかを残す方法を合わせておくと、あとで作業を振り返るときに、発注側とのやり取りが滑らかになります。項目を表にすると、次のとおりです。

決めること	例
本番への接続	接続の有無、読み取りだけか更新もするか
実行の権限	誰の権限で実行するか
作業の時間帯	メンテナンスの曜日と時刻
障害時の対応	呼び出しの有無
個人データの扱い	個人データを含むかどうか、マスキングの有無
接続の経路	接続する端末と経路
作業の記録	作業記録の残し方

7. 本業と並べるための受け方

3つの基準を順番に当てる

これまでの内容を、判断の順番に並べ直します。まず、本番のデータベースに触るかを見ます。触らない仕事なら、権限の話は小さくなります。触る仕事なら、発注側がアクセス制御を講じる立場にある²ので、権限の範囲を協議して決めます。

次に、時間帯が決まっているかを見ます。決まっているなら、頻度と時刻を聞き、翌日の本業との兼ね合いで受けるかどうかを決めます。最後に、成果物で区切れるかを見ます。区切れるなら、権限や時間帯の条件を軽くしやすくなります。いずれも書き手の見立てで、法令や資料が定めた順番ではありません。

図の作成：Remogu編集部。判断の順番を書き手の見立てで整理したもので、統計データではありません

夜間の作業を受けるとき

夜間の作業を受けるなら、頻度と翌日の本業との兼ね合いで決めます。月に1回の切替作業なら受けられる人もいれば、週に何度も呼び出される形は難しい人もいます。どちらが正しいという話ではなく、自分の本業の予定と照らして決める項目です。

そのため、打ち合わせでは、夜間の作業が週や月にどのくらい入るのかを、早めに聞いておきます。聞いた答えを、契約の条件に書いておけば、受けたあとで予定が合わなくなる事態を減らせます。

打ち合わせの席で決めておく

冒頭の場面に戻ります。遅いクエリを直してほしいと言われ、手応えを感じた直後に、本番と深夜2時の話が続く。その席で慌てなくて済むのは、どこに、いつ触るかを先に決めてあるからです。データベースの副業は、どこに、いつ触るかを先に決めます。

Remogu（株式会社LASSIC運営）は、リモートワーク案件特化のエンジニアマッチングで、案件の90%以上がフルリモート可能です。データベースの経験に近い案件を見ながら、権限と時間帯の条件を確かめてみる。登録して、自分の経験に合う条件を知ることが、最初の一歩になります。

8. よくある質問

Oracleの副業も同じ考え方で受けられますか

書き手の見立てでは、同じ考え方で受けられます。製品が違っても、本番に触るか、時間帯が決まっているか、成果物で区切れるかで仕事を分ける点は変わりません。Oracleの移行を扱う案件では、移行の判断材料を整理した別の記事も参考になります。

夜間メンテナンスの作業だけを受けるのは無理がありますか

無理とは言い切れません。頻度、時刻、呼び出しの有無と、翌日の本業との兼ね合いで決まります。夜間の作業が月に数回で、翌日の予定を空けられるなら受けられる人もいます。逆に、時刻が不規則で呼び出しが多い形は、本業と並べにくくなります。条件は受ける前に確かめます。

本業と同じ業界の副業を受けるときに確かめることは何ですか

書き手の見立てでは、本業の契約や社内規程で副業がどう扱われているかと、秘密保持の範囲の2つです。同じ業界だと、本業で知った情報と副業で扱う情報の境目が曖昧になりやすいので、秘密保持の範囲を先に自分で整理しておきます。不明な点は、本業の担当部署や契約の相手に確かめます。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 個人情報保護委員会「令和７年度個人情報保護委員会 年次報告」（2026年7月・2026年10月確認）
＊2 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（2026年6月・2026年10月確認）