UTMの入れ替えの打ち合わせで、先方から「設定が終わったら、あとはアラートが来たら見ていただければ」と言われました。その「あと」がいつまで続くのかは、誰も口にしないまま、話は次の議題へ進んでいきます。フリーランスとして業務委託でUTMの案件を受けるとき、構築のつもりが監視や設定変更まで広がっていた、という展開は避けたいところです。UTMの案件は、1台の中のどの機能を、いつまで持つかで区切ります。

1. UTMの案件で範囲がぶれやすい理由

UTMが1台に束ねる機能

UTMは統合脅威管理の略です。IPAの「中小企業の情報セキュリティ対策ガイドライン」は用語解説で、ファイアウォールやIDS・IPS、メールフィルタリング、URLフィルタリングなど複数の異なるセキュリティ機能を一つのハードウェアに統合したツールとして説明しています¹。この記事でUTMと書くときは、この意味の機器を指します。

資料が述べているのは、機能が1台に統合されているところまでです。構築と運用をどう分けるか、監視や設定変更をだれが持つかは、資料には書かれていません。そのため、この記事の第4節以降で示す層の分け方や契約で決める項目は、すべて書き手の見立てです。

たとえば、ファイアウォールとメールフィルタリングが別々の機器であれば、設定の依頼も別々に届きます。一方、UTMでは同じ管理画面の中に両方の設定があります。機能ごとに設定を決め、動きを確かめ、必要なときに変える作業が、1台の中にまとめて並ぶ形です。

図の作成：Remogu編集部。IPAのガイドラインの用語解説¹を参考に整理した概念図で、統計データではありません

窓口が1つになると起きやすいこと

機能が1台に集まると、委託元の側から見た相談先も1つになりやすくなります。ここから先は書き手の見立てです。「UTMのこと」と呼ばれる範囲が、ファイアウォールの設定も、メールの設定も、アラートの確認も含む広い言葉として使われ、全部が同じ人に届く展開が考えられます。

冒頭の打ち合わせの「あと」も、この広がりの一例です。「アラートが来たら見ていただければ」は、見る期間も、見たあとに何をするかも決めていません。見るだけなのか、設定を変えるところまで含むのかで、受ける側の負担は大きく変わります。

そこで、受ける前に「どの機能の」「どの作業を」「いつまで」の3つを言葉にしておきます。構築は終わりが見えやすい仕事ですが、運用は終わりの決め方を最初に置かないと続いてしまいます。次の節では、運用の担い手が決まっていない背景を、資料の数字から確かめます。

2. 中小企業で運用の担い手が決まっていない背景

改訂の背景として挙げられた人材の不足

IPAは2026年3月27日に、ガイドラインの第4.0版を公開しました。改訂の背景となった環境変化の1つとして、中小企業等の内部でセキュリティ対策を推進する人材の著しい不足を挙げています²。対策を進める役の不足が、ガイドラインを見直す理由の1つになっているということです。

ただし、この記述から分かるのは背景の1項目としての位置づけまでです。不足の割合や人数は、この記事では扱いません。UTMの運用の状況を示す材料でもありません。

一方で、UTMは入れて終わる機器ではなく、設定を保ち、動きを確かめる人が必要です。内部に推進する人が少ない会社では、その役を外から受ける人が求められる場面もありえます。これは書き手の見立てで、「だから外部の人に仕事が来る」と言い切れる根拠は、ここで使う資料にはありません。

外部委託の実態調査の読み方

IPAの2024年度の実態調査は、中小企業4,191社にウェブアンケートで尋ねたものです。情報セキュリティ業務を外部に委託しているかを複数回答で聞いたところ、「委託していない」と答えた企業が70.4%で、回答の中で最も多くなりました³。

この70.4%は、情報セキュリティ業務全般の外部委託についての数字です。UTMの運用を委託していない割合ではありません。UTMの運用だけを切り出した設問ではないため、UTMの案件が少ない、あるいは多いという話にも使えません。

では、2つの資料から何が言えるのでしょうか。内部に対策を進める人材が不足していると改訂の背景に書かれ、外部委託をしていない企業が最も多い、というところまでです。担い手が社内にも社外にも決まらないまま運用が続いている会社がありうる、と読むのは書き手の見立てになります。

資料ごとに分かることと読むときの注意

2つの資料は、調べた対象も尋ねた範囲も別です。ガイドラインの公表資料は改訂の背景を述べたもので、実態調査は中小企業4,191社への設問の結果です。同じ「人の問題」を扱っているように見えても、片方は背景の記述、片方は回答の割合なので、束ねて1つの傾向として読むのは避けます。次の表に、確かめられる範囲と注意点を並べます。

資料	確かめられること	読むときの注意
ガイドライン第4.0版の公表資料（IPA・2026年3月27日）	改訂の背景の1つに、内部でセキュリティ対策を推進する人材の著しい不足が挙げられています2	背景の1項目としての記述です。割合や人数は、この記事では扱いません
2024年度の実態調査（IPA・2025年5月）	中小企業4,191社への調査で、情報セキュリティ業務の外部委託を「委託していない」企業が70.4%で最も多くなりました3	情報セキュリティ業務全般の回答です。UTMの運用を委託する割合ではありません

3. ガイドラインが勧める境界の守り方

社内と社外の境界を分けて、通信を遮断する

ガイドラインは技術インフラの境界防護として、社内と社外のネットワークの境界を明確にし、ファイアウォールを導入して設定を有効にするよう、中小企業に勧めています¹。勧めている、という書き方なので、法令上の義務として定められたものではありません。

さらに、第4.0版の改訂では、中小企業が自社で確かめる「5分でできる！情報セキュリティ自社診断」の項目に、「外部から内部ネットワークへの不要な通信を遮断する」が新たに加わりました²。診断項目は自社で確かめる側の問いなので、案件を受ける側に課されるものではありません。

出典：IPA「中小企業の情報セキュリティ対策ガイドライン」¹、IPAプレス発表²をもとに作成

UTMは用語解説で説明されている

UTMは、ガイドラインの本文で導入を勧める対策としてではなく、用語解説で説明される機器です。ここで使う資料から言えるのは、UTMが複数の機能を一つのハードウェアに統合したツールとして説明されているところまでです。UTMを入れる義務がある、UTMがあれば十分だ、と読める根拠はありません。

だからこそ、案件の側でも「UTMを入れること」自体を仕事の目的として受けない方が整理しやすくなります。見るのは、委託元がどの機能で何を守ろうとしているかです。その守り方を実現する道具としてUTMが選ばれている、という順番で聞くと、仕事の範囲を言葉にしやすくなります。

では、その範囲は具体的にどう区切れるのでしょうか。次の節で、UTMの仕事を4つの層に分けます。

4. UTMの仕事を4つの層に分ける

導入は費用をかけて行われる対策の1つ

IPAの2024年度の実態調査には、セキュリティ対策のコスト感を尋ねたインタビューがあります。費用をかけた対策の内容としてはウイルス対策ソフトの回答が最も多く、ほかにサイバー保険の加入、独自システムの構築、UTMの導入が挙がりました³。

この調査はインタビューで、割合は示されていません。費用の額もこの記事では扱いません。ここから言えるのは、UTMの導入が費用をかけて行われる対策の1つとして挙がっている、というところまでです。

費用をかけて入れた機器は、入れたあとも使われ続けます。構築が終わっても運用が残るのは自然な流れです。以降の層分けは書き手の見立てで、資料がこの分け方を示しているわけではありません。

層ごとの中身と終わりの決め方

UTMの仕事は、初期構築、監視、設定変更、更新の4つの層に分けて考えます。層ごとに作業の中身も、終わりを決める基準も違います。初期構築は引き渡しで終わりますが、監視は期間で、設定変更は件数か期間で区切ります。更新は、期限をだれが管理するかを先に決めておく部分です。

層	中身	終わりの決め方
初期構築	ポリシーの設計と、機器への設定	設定を済ませ、委託元へ引き渡した時点で終わりです
監視	ログとアラートの確認	見る期間で区切ります。期間を決めないと続いてしまいます
設定変更	委託元からの依頼を受けた設定の変更	依頼ごとに受けるか、件数か期間で区切ります
更新	ファームウェアとライセンスの期限の管理	期限をだれが持つかを、先に決めておきます

たとえば冒頭の「アラートが来たら見ていただければ」は、監視の層に当たります。この層だけを受けるなら、見る期間と、アラートを受けたあとの連絡先を決めれば足ります。設定を変えるところまで含めるなら、設定変更の層も合わせて決めます。

この層は、1台に機能が集まるUTMだからこそ意味を持ちます。機能の数だけ設定・確認・変更が並ぶので、層を分けずに「運用」と1語で受けると、4つの層がまとめて自分のところへ来ます。層ごとに終わりを決めておけば、受けた範囲と受けていない範囲を、委託元と同じ言葉で話せます。

では、こうした範囲の取り決めを、受託する側はどう受け止めればよいのでしょうか。次の節で、ガイドラインの受託に関する記述から考えます。

5. 受託する側に求められること

ガイドラインの受託に関する記述

IPAのガイドラインは、委託先や取引先の対策にも自社と同じように注意を払う原則を掲げています。その中で、業務を受託している場合には、委託元の要求に応じる必要があると述べています¹。委託する側は委託先の対策を考慮し、受託する側は委託元の要求に応じる、という向き合い方です。

この記述は、会社として業務を受託する場合を想定したものです。フリーランスの個人事業主を名指ししているわけではありません。個人で案件を受けるときに当てはまるかどうかは、この資料だけでは決まらず、次の小見出しで書くのは書き手の読みです。

ガイドラインが述べているのは「要求に応じる必要がある」までで、要求の中身は示していません。ファイアウォールの設定を保つことなのか、アラートに24時間応じることなのかは、委託元と受託側の間で決まる部分です。UTMのように機能が1台に集まる機器では、この中身の幅が広いので、ぶれが出ます。

個人で受けるときの当てはめ

書き手は、この原則を個人にも当てはめて読みます。委託元から何かを求められたとき、応じること自体は自然でも、応じる範囲が決まっていなければ、求めに終わりがありません。そのため、受ける側ができるのは、何を求められるのかを受ける前に書面で示していただくことです。

冒頭の打ち合わせで言えば、「アラートが来たら見ていただければ」は要求の1つです。これをそのまま受けると、見る期間も、見たあとの動き方も、受ける側が自分で補うことになります。要求に応じる姿勢と、要求の幅を決める作業は別のものとして扱うと、話が整理しやすくなります。

出典：IPA「中小企業の情報セキュリティ対策ガイドライン」¹をもとに作成。下段は書き手の見立てです

では、書面には具体的に何を書いておけばよいのでしょうか。次の節で、受ける前に決めておく項目を並べます。

6. 受ける前に契約で決めておくこと

決めておく6つの項目

第4節の4つの層は、そのまま契約で決める項目の骨組みになります。層ごとの終わりの決め方に加えて、アラートを受けたあとの連絡先、管理画面への接続方法、現地作業の有無まで決めておくと、冒頭の「あと」が指す範囲を言葉にできます。以下の項目は、資料が定めたものではなく、書き手の見立てです。

決めること	決め方の例
対象の機能	ファイアウォールだけか、IDS・IPSやメールフィルタリングも含むかを、機能の名前で書き分けます
監視の時間帯と期間	見る時間帯と、いつまで見るかの期間を書きます。期間を決めないと続きます
アラートのあとの連絡先と判断者	連絡する相手と、設定を変えるかどうかを最終的に判断する人を分けて書きます
設定変更の受け付け方と件数	依頼の出し方（窓口・書式）と、期間あたりに受ける件数を決めます
更新の担当	ファームウェアとライセンスの期限を、どちらが管理するかを書きます
接続方法と現地作業	管理画面へのつなぎ方と、機器の設置や交換などの現地作業の有無・分担を書きます

この6項目は、すべて埋まっていなければ受けられないという基準ではありません。決まっていない項目を、決まっていないと分かった状態で受けるのか、打ち合わせで決めてから受けるのかを選べる、というのが整理の狙いです。分からない項目が見つかったら、その項目名を持って委託元に聞きます。

現地作業の切り分け

6項目のうち、リモートで受けるかどうかに直接かかわるのが、現地作業です。UTMは機器なので、設置や交換、配線の確認など、現場に行かなければできない作業が残ることがあります。これを契約に入れるのか、委託元側の別の担当に任せるのかで、リモートで受けられる範囲が変わります。

セキュリティ分野の案件で役割を切り出して受ける考え方は、セキュリティエンジニアの案件で役割を切り出す方法でも整理しています。UTMの案件も、設定と監視は遠隔で、設置は委託元側の担当で、と分ける形があります。

では、リモートで受けるなら、どこから始めるのが無理のない形でしょうか。次の節で順番を考えます。

7. リモートで受けやすい範囲から始める

決める順番

書き手の見立てでは、決める順番は、機能の範囲、構築か運用か、運用なら期間と件数、接続方法と現地作業、契約の順です。大きな枠から細かい取り決めへ進めるほうが、後から範囲が広がった、という展開を避けやすくなります。

図の作成：Remogu編集部。書き手の見立てを順番に整理した概念図で、統計データではありません

この順番は、リモートで受けやすい範囲から始めるための並べ方でもあります。機能の範囲を絞り、構築だけを受けるなら、引き渡しで終わる仕事になります。運用まで受けるなら、期間と件数で区切ったうえで、接続方法と現地作業を決めます。

インフラ案件で任される範囲が広がる流れは、インフラエンジニアが任される範囲と自動化でも書いています。範囲を自分で決めてから受ける、という考え方は、UTMの案件にも通じます。

冒頭の「あと」に戻って

冒頭の打ち合わせで先方が口にした「あと」は、悪意のある言葉ではありません。設定が終わったあとの運用を、先方も具体的にはまだ描けていない、という状態を表しているだけかもしれません。その「あと」の中身を、機能と期間の言葉に置き換えて確かめるところから、案件は始まります。

Remogu（株式会社LASSIC運営）は、リモートワーク案件特化のエンジニアマッチングで、案件の90%以上がフルリモート可能です。ネットワークやセキュリティの案件を、場所に縛られずに探す入口として、登録しておくのもひとつの方法です。範囲を言葉にしてから受ける進め方と、リモートで探せる案件は、相性のよい組み合わせです。

UTMの案件は、1台の中のどの機能を、いつまで持つかで区切ります。

8. よくある質問

UTMの案件とはどんな仕事ですか

UTMは、ファイアウォールやIDS・IPS、メールフィルタリング、URLフィルタリングなどの機能を一つのハードウェアに統合したツールです¹。案件としては、初期構築、監視、設定変更、更新の4つの層のどれか、または複数を受ける形が考えられます。この層の分け方は書き手の見立てで、資料が定めたものではありません。

特定のメーカーの機器の経験しかなくても受けられますか

書き手の見立てでは、機能の考え方は機種が変わっても共通する部分があります。一方で、管理画面の作りや設定の手順は機種によって違います。参画前の打ち合わせで、委託元の機器がどの機種なのかを確かめ、自分の経験とどこが重なるかを話しておくと、受ける範囲を決めやすくなります。

ゼロトラストが広がるとUTMの案件は無くなりますか

この記事で使った資料からは、無くなるとも、残るとも言い切れません。ガイドラインは、社内と社外の境界を明確にして守る対策を中小企業に勧めています¹。境界型とゼロトラストの違いは、ゼロトラストの考え方と案件の関わり方で整理しています。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 情報処理推進機構「中小企業の情報セキュリティ対策ガイドライン」（2026年3月・2026年10月確認）
＊2 独立行政法人情報処理推進機構「「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開」（2026年3月27日・2026年10月確認）
＊3 独立行政法人情報処理推進機構「中小企業における 情報セキュリティ対策に関する実態調査」（2025年5月・2026年10月確認）