独立して最初の打ち合わせで、見つけた脆弱性について「どこまで直すかはそちらで決めてください」と伝えたところ、相手から「それを決める人がいないんです」と返されました。社内にいたころ、それを決めるのは自分でした。セキュリティエンジニアが独立して業務委託で仕事を受けるとき、手が止まるのはこの場面ではないでしょうか。独立したセキュリティエンジニアは、決める人ではなく、決められる状態をつくる人です。

1. 組織の担当から独立して変わる3つの持ち方

組織の中の担当から独立して業務委託で仕事を受けると、変わるのは肩書きだけではありません。判断・権限・責任の3つの持ち方が入れ替わります。この節の内容は書き手の見立てで、調査の数値から導いたものではありません。

図の作成：Remogu編集部。書き手の見立てを整理したもので、統計データではありません

判断の持ち方

社内では、見つけた弱点をどこまで直すか、いつ直すかを、自分の判断で進められる場面がありました。独立後は、直すかどうかを決めるのは相手の組織です。セキュリティエンジニアの役目は、決めるための材料を、相手が受け取れる形にそろえることに移ります。

たとえば、指摘を並べただけの報告では、相手は優先順位をつけられません。何が起きうるのか、直すと何が変わるのか、直さない場合に何が残るのかを並べて渡すと、相手は自分の言葉で決められます。

権限の持ち方

社内の権限は、役割に付いてくるものでした。独立後は、契約で渡された範囲だけが自分の権限になります。触れてよいシステム、使えるアカウント、見てよい情報は、契約と相手の運用で決まります。

一方で、権限が狭いことは弱みとは限りません。範囲がはっきりしていれば、何を任されているのかを相手と同じ地図で話せます。範囲があいまいなまま作業を始めるほうが、あとで食い違いが生まれます。

責任の持ち方

組織の一員として動いていたころは、対策の結果は組織全体で受け止められていました。独立後は、契約で引き受けた範囲の仕事に責任を持ちます。範囲の外にあるシステムの結果まで、一人で背負うことはありません。

この3つの持ち方は、相手の組織がどんな体制かによっても変わります。次の節では、中小企業の体制を調査の数字で見ます。

2. 専任の担当がいるとは限らない相手の組織

中小企業の体制の内訳

IPAは全国の中小企業4,191社に、情報セキュリティ対策の体制を尋ねました。2024年度の調査で、組織的には行っておらず各自の対応にとどまる企業は69.7%、兼務だが担当者が任命されている企業は21.0%、専門部署（担当者）がある企業は9.3%でした¹。69.7%は対策をしていない企業の割合ではなく、組織としての担当や役割を決めていない企業の割合です。

この結果は中小企業の話で、大きい組織には当てはまりません。回答したのも企業であり、セキュリティ担当者の個人ではありません。それでも、専任の担当がいない組織は、独立後に出会う相手の一つの姿として十分に考えられます。

体制	割合
組織的には行っていない（各自の対応）	69.7%
兼務だが担当者が任命されている	21.0%
専門部署（担当者）がある	9.3%

困ったときの相談先

同じ調査で、対策に困ったときの相談先として最も多かったのは社内の担当者の27.7%で、社外のIT関連業者・営業は18.2%でした¹。この設問は複数回答のため、二つを足した割合を作ることはできません。IPAはこの結果から、登録セキスペ等の外部人材を活用できていない実態が読み取れるとしています。

さらに、相談先が特にないと答えた企業は50.8%でした¹。これは相談先がない企業の割合であり、相談先を探している企業の割合ではありません。ここから外部の専門家の需要や仕事の量まで言うことはできません。

判断を受け止める人がいない場面

ここからは書き手の見立てです。社内の担当として持っていた判断を、相手の組織では受け止める人がいない場合があります。冒頭の「それを決める人がいないんです」は、その一つの姿です。

だからこそ、独立して最初に確かめたいのは、相手の側で判断する人が誰なのかです。いない場合は、判断の材料を整えて、決めてもらう場を設けるところまでが仕事の一部になります。次の節では、発注元から要請を受けた場合に中小企業が何を課題と見ているかを確かめます。

3. 発注元から要請を受けた場合に課題になること

要請を受けた経験がある企業の中身

IPAの概要説明資料によると、発注元企業から情報セキュリティに関する要請を受けた経験がある中小企業は1割強でした。その企業が答えた要請の中身では、秘密保持のための措置が79.6%を占めます²。

79.6%は、要請を受けた経験がある企業を母数にした割合です。中小企業全体の8割が秘密保持を求められている、という意味ではありません。母数を取り違えないことが、この数字を使うときの前提です。

要請を受けた場合に課題となること

同じ概要説明資料は、発注元企業から対策の要請を受けた場合に、実施に向けて何が課題になるかも尋ねています。対策費用の用意・費用負担の検討が51.3%、販売先（発注元企業）との契約内容の明確化が47.0%、専門人材の確保・育成が32.9%でした²。複数回答なので、3つの割合は合計しません。

設問は「要請を受けた場合」という聞き方で、すでに要請を受けた企業だけの回答とは限りません。また、契約内容の明確化は発注元との契約の話で、独立したエンジニアとの契約の話ではありません。専門人材の確保・育成にも一定の割合が挙がっている、という範囲で読みます。

出典：独立行政法人情報処理推進機構「2024年度 中小企業における情報セキュリティ対策に関する実態調査報告書（概要説明資料）」（2025年5月）をもとに作成。複数回答のため合計は100%になりません

外部の立場で受けやすい手伝い

ここからは書き手の見立てです。要請の文面を読み解き、何をどこまでやるかを整理する手伝いは、組織の外にいる立場でも受けやすいと考えます。契約内容の明確化が課題に挙がっているので、要請の言葉を相手の運用に置き換える作業には居場所があります。

ただし、調査の数字から、独立したセキュリティエンジニアへの需要があるとまでは言えません。整理の手伝いが役に立つかどうかは、相手の組織の体制と、渡せる成果物の形で決まります。次の節では、外から受ける仕事をどう区分けして考えるかを見ます。

4. 外から受ける仕事の区分

IPAのサービスリストの区分

IPAは、経済産業省が策定した「情報セキュリティサービス基準」に適合するサービスのリストを、区分ごとに公開しています。たとえばデジタルフォレンジックサービスのリストは、2026年9月18日に掲載されています³。確認できたのはこの掲載日までで、ほかの区分の掲載日はここでは書きません。

このリストに載るのは事業者のサービスです。個人が載る仕組みの話ではなく、載らなければ仕事を受けられないという意味でもありません。区分の名前を、仕事の種類を考えるときの地図として借りる、という使い方にとどめます。

区分ごとの仕事のイメージ

次の表は、リストの区分の名前に、独立後に受ける仕事のイメージを添えたものです。右の列は書き手の見立てで、IPAが示した内容ではありません。診断の中身や案件の選び方は、脆弱性診断案件の選び方の記事で扱っています。

区分	独立後に受ける仕事のイメージ（書き手の見立て）
情報セキュリティ監査	規程と運用の点検
脆弱性診断（ペネトレーションテストはオプション）	診断と報告
デジタルフォレンジック	事故の痕跡の調査
セキュリティ監視・運用	監視と一次対応
機器検証	機器の検証

5つの区分は、仕事の種類としては分かれていても、渡す成果物の形で見ると共通点があります。相手の組織が受け取って判断できる形で残すことです。次の節では、独立後の仕事の形を、相手に残すものとあわせて整理します。

5. 独立後に受ける仕事の形

この節は、書き手の見立てを整理したものです。調査や統計から導いたものではなく、独立後の仕事の実態を示す資料もありません。独立後の仕事は、相手の組織に何を残すかで4つの形に分けて考えられます。

図の作成：Remogu編集部。書き手の見立てを整理したもので、統計データではありません

4つの形の違い

相談窓口は、相手の組織が迷ったときに話を聞き、判断の材料を渡す形です。診断は、システムの弱点を調べて指摘し、直す順番を示す形です。要請への対応の支援は、発注元から届いた要請を読み解き、どこまで対応するかを整理する形になります。

インシデント対応の支援は、事故が起きたときに経緯を記録し、再発防止の案を出す形です。どの形でも、自分が決めるのではなく、相手が決められる材料を残す点は共通しています。

調整と説得を資料に置き換える

社内では、関係する部署を回って話し、納得してもらう調整を自分で担っていた場面があったかもしれません。外部の立場では、その役目を相手の窓口に渡す資料の形に置き換えます。口頭の説得に頼らず、資料だけで相手が社内に説明できる状態を目指します。

そのため、報告の書き方が成果物の質を左右します。誰が読むのか、読んだ人が何を決めるのかを先に決めてから、資料を組み立てます。次の節では、仕事を受ける前に契約で何を決めておくかを見ます。

6. 受ける前に契約で決めておくこと

契約で決める6つの項目

この節も書き手の見立てです。社内では暗黙のうちに決まっていたことが、独立後は契約で決めておかないと食い違いになります。判断する人、作業の範囲、渡される権限、秘密保持、報告、事故の連絡の6つを、仕事を受ける前に相手と合わせます。

専任の担当がいない組織が相手の場合は、判断する人を決める作業から始まることもあります。この6項目は、冒頭の場面で足りなかった「決める人」を、契約の段階で先に置くための項目でもあります。

決めること	確かめる内容（書き手の見立て）
相手側で判断する人（窓口）	指摘を受けて、直すかどうかを決める人は誰か
作業の範囲と対象のシステム	どのシステムのどこまでを仕事の対象にするか
渡される権限とアカウント	触れてよい範囲と、使えるアカウントの種類
秘密保持の範囲	見てよい情報と、持ち出さない情報の線引き
報告の形と頻度	何を、いつ、誰に、どの形で渡すか
事故が起きたときの連絡の順番	誰に先に知らせ、誰が次に動くか

権限と範囲の読み方

権限と範囲は、契約書の文面だけで決まるものではなく、相手の運用とも結びつきます。文面にある権限が、実際のアカウントでどう渡されるのかを、作業の前に相手と照らし合わせます。権限の範囲の読み方は、別の記事で詳しく扱っています。

また、仕事の範囲は、発注側が仕事をどう切り出すかとも関わります。切り出し方によって、同じ名前の仕事でも責任の範囲が変わります。セキュリティ案件の切り出され方の記事とあわせて読むと、範囲の食い違いを防ぎやすくなります。

7. 独立までの順番

4つの順番で進める

これまでの内容を、独立までの順番に並べます。最初に、社内でやってきた仕事を判断・権限・責任の3つで棚卸しします。次に、外から受ける区分を選び、相手に残す成果物を決めます。最後に、契約で決めることを相手と合わせます。この順番は書き手の見立てです。

図の作成：Remogu編集部。書き手の見立てを整理したもので、統計データではありません

棚卸しは、社内でやってきた仕事を、判断した件、渡されていた権限、責任を持った範囲に分けて書き出すところから始まります。書き出したものを、第4節の区分に当てはめると、外から受けられる仕事の候補が見えてきます。

決める人をつくる側に立つ

冒頭の「それを決める人がいないんです」に戻ります。社内にいたころは、決めるのは自分でした。独立後、相手の組織に決める人がいなくても、材料を整えて、決めてもらう場をつくることはできます。独立したセキュリティエンジニアは、決める人ではなく、決められる状態をつくる人です。

Remogu（株式会社LASSIC運営）は、リモートワーク案件特化のエンジニアマッチングで、案件の90%以上がフルリモート可能です。まず登録して、自分の経験に合う条件を確かめてみる。その一歩が、決められる状態をつくる仕事の入口になります。

8. よくある質問

独立に情報処理安全確保支援士の登録は要りますか

この記事の資料には、独立に登録が要るかどうかを示す内容はありません。要件として決まっているかどうかは、書き手の見立てでも言い切れません。仕事を受ける相手が条件として示すかどうかは、契約の前に相手に尋ねて確かめます。登録と更新の手続きは、別の記事で扱っています。

社内で扱った情報や手順書を独立後に使ってよいですか

書き手の見立てとして、前の組織との間で交わした秘密保持の取り決めを、独立前に読み返して確かめます。取り決めの範囲が分からないうちは、前の組織の情報や手順書を、独立後の仕事に持ち出さないほうが安全です。判断の考え方や自分の技術は、自分の経験として持ち続けられます。

一人でインシデント対応を受けても回りますか

書き手の見立てとして、一人で受ける場合は、夜間や休日の連絡の取り決めを、契約の前に先に決めます。一人で受けない範囲もあわせて決めておくと、対応できない場面で相手が困りません。表3の「事故が起きたときの連絡の順番」を、ここで具体的に詰めます。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 独立行政法人情報処理推進機構「2024 年度 中小企業における 情報セキュリティ対策に関する実態調査」（2025年5月・2026年10月確認）
＊2 独立行政法人情報処理推進機構「2024年度 中小企業における 情報セキュリティ対策に関する実態調査報告書 （概要説明資料）」（2025年5月・2026年10月確認）
＊3 IPA「情報セキュリティサービス基準適合サービスリスト」（2026年9月18日・2026年10月確認）