副業の打ち合わせで、相手がこう切り出しました。「販売管理のアプリは社内のサーバーにしか置いていないので、作業は弊社の端末でお願いします」。平日の日中に来訪できない身としては無理かと思いかけたところで、相手が「改修したい画面のソースと、再現の手順ならお渡しできます」と続けました。同じ業務アプリの仕事でも、相手の環境にどう入るかで、本業と並べて受けられるかどうかが分かれます。C#の副業は、相手の環境への入り方で選びます。

1. 業務アプリの副業が難しく見える理由

社内のサーバーとつながる業務アプリ

販売管理、在庫管理、勤怠の集計といった業務アプリは、社内のサーバーやデータベースとつながって動いていることが多いと考えられます。この節から先の「多いと考えられます」「分かれます」は、書き手の見立てです。公的な調査の数字ではないので、そのつもりで読んでください。

つながっているなら、画面の文言を1行直すだけでも、直したあとに動かして確かめる環境が要ります。その環境が相手の社内にしかないとき、作業する場所と時間は相手の都合で決まります。ソースコードを読む力があっても、動かす場所に入れなければ、改修の確認までは進めません。

ただし、本業のあるエンジニアにとって引っかかるのは、場所よりも時間です。平日の日中に来訪する、あるいは相手の業務時間に合わせて接続する、という前提がつくと、本業と並べる余地がほとんど残りません。副業のC#案件が難しく見えるのは、技術の難しさではなく、この時間の縛りのせいです。

相手の環境への入り方は3通り

相手の環境への入り方は、大きく3通りに分けられます。相手の端末を借りて相手の場所で作業する方法、リモートデスクトップで相手の環境に接続する方法、ソースと再現手順を受け取って自分の環境で作業する方法です。どれを選ぶかで、時間帯の縛りの強さが変わります。

図の作成：Remogu編集部。入り方と時間帯の関係を書き手の見立てで整理したもので、統計データではありません

冒頭の場面でいえば、「作業は弊社の端末でお願いします」は1つ目の入り方で、「ソースと再現の手順ならお渡しできます」は3つ目の入り方です。相手は同じ業務アプリの話をしていても、用意できる入り方は会社ごとに違います。打ち合わせの早い段階で、どの入り方なら用意できるかを尋ねておくと、本業との両立が成り立つかどうかを先に見極められます。

では、依頼する側の中小企業は、外部の人を自社の環境に入れることをどう考えているのでしょうか。次は、その目安になる公的なガイドラインを見ます。

2. 依頼する側のセキュリティの目安の改まり

第4.0版で加わった対策と診断項目

IPA（独立行政法人情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」は、経営者編と実践編からなります。想定している利用者には、個人事業主や小規模事業者を含む中小企業が入っています¹。依頼する側の中小企業が自社の守り方を決めるときの手がかりになる資料です。

同じガイドラインは、第4.0版が2026年3月27日に公開されました¹。ページの更新履歴にある日付は、第4.0版の公開日です。ページそのものが後から更新されることがあるため、最終更新日とは分けて読みます。

第4.0版では、はじめに取り組む情報セキュリティ5か条に「バックアップを取ろう!」が加わり、6か条になりました¹。あわせて、「5分でできる！情報セキュリティ自社診断」の診断項目に、「外部から内部ネットワークへの不要な通信を遮断する」と「ウェブサイトを安全に運用する」などが加わっています¹。診断の項目はほかにもありますが、ここで挙げたのは資料から確認できた2つだけです。

改定の内容と受ける側の読み方

下の表は、第4.0版について確認できた4項目を並べたものです。公開日、想定する利用者、はじめに取り組む対策の数、自社診断に加わった項目の順に整理しています。いずれも依頼する側の中小企業が自社の環境を点検するための資料の内容で、業務を受ける個人に義務を課すものではありません。

項目	内容
公開	2026年3月27日に第4.0版を公開1
想定する利用者	個人事業主・小規模事業者を含む中小企業1
はじめに取り組む対策	6か条（「バックアップを取ろう!」を追加）1
自社診断に加わった項目	外部から内部ネットワークへの不要な通信の遮断、ウェブサイトの安全な運用など1

想定する利用者に個人事業主が入っているので、業務委託で受ける側も、同じガイドラインを目安にして自分の作業環境を点検できます。ここまでは資料から言える範囲です。副業の受け手に何が求められるかは、依頼元との契約や相手の方針によって変わります。ガイドラインが受け手に守る義務を課している、という意味ではありません。

自社診断に「外部から内部ネットワークへの不要な通信を遮断する」が加わった点は、依頼する側が外から入る経路を絞る方向にあることを示す材料の1つです。外部の人を入れなくなったという意味ではなく、入るなら必要な経路に限る、という方向だと書き手は読んでいます。この読みは書き手の見立てで、資料がそう述べているわけではありません。

3. 外から入る経路と委託先の脅威

組織向け10大脅威の2位と8位

IPAが2026年1月29日に公表した「情報セキュリティ10大脅威 2026」の組織向けでは、「サプライチェーンや委託先を狙った攻撃」が2位で、8年連続の選出でした²。同じ組織向けの一覧では、「リモートワーク等の環境や仕組みを狙った攻撃」が8位で、6年連続の選出です²。

この順位は組織向けのもので、個人向けの一覧とは別です。連続の年数も、その脅威が一覧に選ばれ続けた年数を指します。攻撃の件数が増えたことや、被害が大きいことを示す数字ではありません。2位と8位の間にある脅威の名前や、順位が決まる手順は、ここでは扱いません。

出典：独立行政法人情報処理推進機構「情報セキュリティ10大脅威 2026」（2026年1月29日）をもとに作成。棒の長さは連続して選出された年数に合わせています

依頼元から見た副業の受け手

依頼する側の目線に立つと、副業で業務を受ける個人は「委託先」にあたります。しかも、相手の環境に外から入る人でもあります。2つの脅威の名前に、どちらも当てはまる立場です。これは書き手の見立てで、資料が副業の受け手を名指ししているわけではありません。

そう考えると、依頼元が「どの入り方にするか」を先に決めたがる理由が見えてきます。入り方を決めておけば、どの経路を開け、誰にどの権限を渡すかを事前に絞れます。打ち合わせで入り方を先に尋ねられたら、細かいことを気にされているのではなく、経路を絞る準備だと受け取れます。

なお、リモートワーク等の環境や仕組みを狙った攻撃が8位に入っているからといって、リモートデスクトップが危ないという意味にはなりません。脅威の名前は攻撃の種類を表したもので、特定の接続方法の良し悪しを述べたものではないからです。次は、Windowsの業務アプリに入る手段を、誰が用意するのかを整理します。

4. Windowsの業務アプリに入る手段の用意

総務省の資料一覧にある設定解説

総務省の「テレワークにおけるセキュリティ確保」のページには、製品別の設定解説資料が掲載されています。その中に「Windows リモートデスクトップ」があります³。依頼する側の中小企業が、自社の環境を設定するときに参照する資料の一覧です。

この一覧は、特定の製品の利用を勧めるものではありません。載っているから安全、という読み方もできません。ここから言えるのは、Windowsの環境にリモートで入るための設定を、依頼する側が調べられる資料が公的な機関から出ている、という点までです。設定の中身にはここでは触れません。

副業の受け手にとっての意味は、準備を担うのが基本的に相手側だという点にあります。接続の設定もアカウントの用意も、環境を持っている依頼元の仕事です。受ける側が相手の環境の設定を自分で整えにいく必要は、ふつうはありません。

入り方ごとの用意の分担

下の表は、図1の3通りの入り方ごとに、相手が用意するものと受ける側が用意するものを並べたものです。相手の端末で作業するなら席と端末、リモートデスクトップなら接続の設定とアカウント、ソースの受け渡しならソース一式と疑似データが要ります。分担は書き手の見立てで、実際の取り決めは依頼元によって異なります。

入り方	相手が用意するもの	受ける側が用意するもの
相手の端末で作業する	作業する席と端末	来訪できる日時の確保
リモートデスクトップで接続する	接続の設定とアカウント	接続できる時間の確保と、通信の安定した作業場所
ソースと再現手順を受け取る	ソース一式と疑似データ	ソースを動かせる自分の開発環境

表から読み取れるのは、3つ目だけ、受ける側が用意するものの中心が自分の開発環境である点です。1つ目と2つ目では、受ける側は日時や時間を空けることが主な準備になります。本業のある人にとって、どちらの準備のほうが続けやすいかは、本業の忙しさによって変わります。

疑似データは、本番のデータを渡さずに画面や処理の動きを再現するために、相手が作って渡すものです。受ける側が本番のデータを預かる必要はありません。本番のデータが手元にないと進まない仕事は、1つ目か2つ目の入り方になると見ておきます。では、客先に入らなくても進む仕事には、どんな形があるのでしょうか。

5. 客先に入らずに進む仕事の形

ソースと再現手順で成り立つ作業

客先に入らずに進むのは、相手が手元へ渡せるものだけで成り立つ仕事です。ソースコードと、不具合や改修の内容を再現できる手順があれば、自分の開発環境で動かして確かめられます。画面や帳票の改修、不具合の調査、.NETの更新の下調べ、テストコードの追加が、その形に当てはまりやすい作業です。この分け方は書き手の見立てで、公的な調査の結果ではありません。

たとえば画面の改修なら、受け取るのはソースと、直したい画面の見本です。不具合の調査なら、ログと、不具合を再現する手順が要ります。更新の下調べでは、プロジェクト一式を受け取って、自分の環境でビルドが通るかを見ます。テストコードの追加には、ソースと疑似データがあれば足ります。

図の作成：Remogu編集部。作業と受け取る資料の組み合わせを書き手の見立てで整理したもので、統計データではありません

受け取らないもの

この形を成り立たせる前提は、本番のデータを受け取らないことです。本番のデータには、相手の顧客や取引の情報が入っていると考えられます。手元に置く必要がない作業を選べば、預かる情報も、守る範囲も小さく済みます。これも書き手の見立てです。

一方で、本番のデータが手元にないと原因をつかめない不具合もあります。その調査は、前の節の表にある相手の端末かリモートデスクトップの入り方になります。ソースの受け渡しで進むかどうかは、作業の種類で決まります。C#の業務システム案件で担当する範囲の詳しい分け方は、別の記事で整理しています。

6. 受ける前に決めておく項目

打ち合わせで取り決める6つの項目

入り方が決まっても、細かい取り決めが残っていれば、始めてから食い違いが出ます。接続の方法、アカウントと権限の範囲、接続できる時間帯、データの扱い、バックアップの担当、作業の終わりのアカウント停止の6つは、受ける前に口頭でもよいので相手と確かめておきたい項目です。この6項目は書き手の見立てで、資料の一覧ではありません。

決めること	例
接続の方法	相手の端末、リモートデスクトップ、ソースの受け渡しのどれにするか
アカウントと権限の範囲	触れるサーバーやデータベースの範囲と、読み取りだけか書き込みも含むか
接続できる時間帯	平日の夜や休日に接続できるか、接続できない時間に何を進めるか
データの扱い	本番データを手元に持ち出さず、疑似データで再現する
バックアップの担当	作業の前の状態を、どちらがいつ取っておくか
作業の終わりのアカウント停止	終了日にアカウントと権限を、どちらがいつ止めるか

表の中で、権限の範囲は読み方に迷いやすい項目です。画面の改修に必要な権限と、データベースの構造まで触る権限は、同じ「権限」でも重さが違います。渡される権限の読み方は、セキュリティ権限の渡され方を扱った別の記事で整理しています。

資料と照らして読む項目

6項目のうち2つは、第2節で見たガイドラインの改定と重なります。第4.0版では、バックアップが、はじめに取り組む対策に加わりました¹。作業の前の状態を取っておく担当を決める、という使い方は、書き手の見立てです。ガイドラインが受ける側に担当を割り当てているわけではありません。

もう1つは、自社診断に加わった「外部から内部ネットワークへの不要な通信を遮断する」です¹。依頼する側がこの診断項目に取り組んでいれば、外から入れる経路は絞られているはずです。接続の方法と接続できる時間帯を事前に決めておくと、その経路の絞り込みと話が合いやすくなります。これも書き手の見立てで、診断項目が受ける側に求めることを述べているわけではありません。

最後の「作業の終わりのアカウント停止」は、終わったあとに残るものを決める項目です。終了日にアカウントと権限を止める担当を決めておくと、副業の終わりが曖昧になりません。では、これらを本業と並べるには、どの順で決めるのがよいのでしょうか。

7. 本業と並べるための受け方

決める順番は入り方から

決める順番は、入り方、権限の範囲、接続の時間帯、契約の順が収まりがよいと考えています。入り方が決まれば、渡される権限の種類が絞られます。権限の範囲が決まれば、接続が必要な時間も見えてきます。最後に、決まったことを業務委託の契約に書き込みます。順番は書き手の見立てです。

図の作成：Remogu編集部。受け方の順番を書き手の見立てで整理したもので、統計データではありません

この順番の効き目は、本業との両立が成り立たない話を、早い段階で見分けられる点にあります。入り方が来訪だけの相手なら、手順1の時点で平日の日中に縛られることが分かります。逆に、ソースと再現手順で進められる相手なら、手順3の接続の時間帯は大きな問題になりません。

冒頭の打ち合わせに戻って

冒頭の打ち合わせに戻ります。「作業は弊社の端末でお願いします」と言われても、そこで諦める必要はありませんでした。相手に用意できる入り方がほかにないかを尋ねると、「ソースと再現の手順ならお渡しできます」という答えが返ってくることがあります。入り方が変われば、時間帯の縛りも、必要な権限も変わります。

本業と並べて副業を始める最初の一歩は、案件の一覧から入り方の合うものを探すことです。Remogu（株式会社LASSIC運営）は、リモートワーク案件特化のエンジニアマッチングで、案件の90%以上がフルリモート可能です。まず登録して、自分の経験に合う条件を確かめてみてください。入り方の合う案件に、早く出会えます。

相手の端末に出向く仕事も、リモートデスクトップで進む仕事も、ソースを受け取って自分の環境で進む仕事も、同じC#の業務アプリです。違うのは入り方だけです。C#の副業は、相手の環境への入り方で選びます。

8. よくある質問

VB.NETやVBAで作られた業務アプリの改修も、同じ考え方で受けられますか

入り方で分けて考える点は同じです。相手の端末で作業する、リモートデスクトップで接続する、ソースと再現手順を受け取る、の3通りは、使われている言語が変わっても成り立ちます。ただし、これは書き手の見立てです。VB.NETやVBAの案件で用意される入り方は、相手の環境によって異なります。

平日の日中に接続できなくても受けられる仕事はありますか

ソースの受け渡しで進む改修や調査は、時間帯を選びにくい場面が少なくありません。受け取った資料を自分の開発環境で動かして確かめる作業なら、接続の時間を相手に合わせる必要がないからです。一方、本番のデータが手元にないと進まない調査は、相手の端末かリモートデスクトップの入り方になり、時間帯の縛りが残ります。

本業で使っているパソコンで副業の作業をしてもよいですか

先に、本業の契約や社内の規程と、本業で負っている秘密保持の取り決めを確かめます。副業の作業と本業の作業は、使う端末もアカウントも分けておくほうが無難です。本業の端末に副業のソースや資料を置くと、どちらの情報なのかが混ざります。分けた環境で進められるかは、受ける前に決めておく項目の1つです。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 独立行政法人情報処理推進機構「中小企業の情報セキュリティ対策ガイドライン」（2026年3月27日・2026年10月確認）
＊2 独立行政法人情報処理推進機構「情報セキュリティ10大脅威 2026」（2026年1月29日・2026年10月確認）
＊3 総務省「テレワークにおけるセキュリティ確保」（2026年1月・2026年10月確認）