ペネトレーションテスト案件の実情｜フリーランスで多い診断案件と単価・資格

セキュリティ診断・ペネトレーションテスト案件の全体像

「セキュリティ診断」と「ペネトレーションテスト」は現場では混同されがちですが、案件の中身はかなり違います。応募前にこの違いを踏まえておくと、条件のミスマッチを防げます。

「セキュリティ診断」と「ペネトレーションテスト」の違い

セキュリティ診断（脆弱性診断）は、対象システムに含まれる既知の脆弱性を網羅的に洗い出す業務です。診断範囲・確認項目があらかじめ決まっており、報告書は「どの項目でどのリスクが見つかったか」を体系的に示す形になります。

ペネトレーションテスト（侵入テスト）は、実際の攻撃者を想定して具体的なゴール（例：顧客情報テーブルへの到達）を設定し、そのゴールに到達できるかを検証する業務です。網羅性より「実害につながる経路の実証」が主眼で、シナリオ設計と成果報告に高い専門性が要ります。

日本の商流では「ペネトレーションテスト」の名称で発注されていても、実態は脆弱性診断寄り、というケースがあります。案件応募時は「診断項目リスト方式か、シナリオ方式か」を確認すると認識を合わせやすくなります。

診断案件の主な種別

フリーランスで案件として切り出される診断領域は、おおむね以下の5系統に分かれます。

公開案件で数が多いのはWebアプリ診断とプラットフォーム診断です。クラウド診断はここ数年で募集が見られる領域、内部侵入テストは案件数が少なめで、参画には実績が求められます。

案件で担当する診断フェーズ

診断案件は「ツールで走査して終わり」ではなく、以下の一連のフェーズで構成されるのが一般的です。

1. スコープ調整：診断対象URL・IPレンジ・確認項目・除外項目を決める

2. 事前ヒアリング：業務仕様、認証フロー、想定リスクを把握する

3. 診断実施：自動ツール走査＋手動での深堀り

4. 報告書作成：検出内容・再現手順・リスク評価・推奨対策

5. 報告会：開発チーム・セキュリティ責任者への説明

6. 再診断（オプション）：修正後の確認

案件によって担当範囲がどこからどこまでかが違います。単価にも直結するため、面談時は担当フェーズを必ず確認しておきます。

このセクションのFAQ

• Q. 「ペネトレテスト案件」という名称で募集されている案件は、実態は脆弱性診断寄りが多いですか？

→ 日本市場ではその傾向が見られます。診断項目リスト方式かシナリオ方式かで判別すると認識を合わせやすくなります。

フリーランスで受けやすい契約形態と稼働

診断案件は準委任契約で募集されることが多い傾向があります。成果物や責任分界の設計次第では請負での発注もあり得ますが、脆弱性の見落としリスクをどちらか一方に寄せすぎない観点から、実務上は準委任が中心になっています。

契約形態と工期のパターン

継続診断・常駐型は月額固定、スポット単発は案件総額での提示になりやすい傾向があります。稼働率で見ると週4〜5日の準委任が中心ですが、公開案件では少数ながら、週2〜3日の非常勤で診断アドバイザーに入る募集も見られます。

リモート・出社の条件

診断業務は扱う情報の機密性が高く、以下のような条件が付くことがあります。

• 完全リモート：Webアプリ診断の一部

• 貸与端末＋VPN：一般的な形態

• セキュアルーム常駐：金融・公共・防衛関連

• NDA＋バックグラウンドチェック：外資・金融・公共

主要エージェントの公開案件を見た範囲では、完全リモート比率はWeb開発案件と比べると低めの傾向があります。金融・公共・防衛の案件は物理出社が前提になりやすく、単価上振れとセットで提示されるケースが多くなります。

このセクションのFAQ

• Q. リモート希望でも診断案件は取れますか？

→ Webアプリ診断・クラウド診断は完全リモート案件が見られます。金融・公共・防衛は原則出社と考えたほうが確実です。

セキュリティ診断・ペネトレーションテスト案件の単価相場

以下の単価は、2026年8月時点で主要フリーランスエージェント数社（首都圏中心）の公開案件ページを、診断領域に該当する募集に絞って観測ベースで整理した目安（週4〜5日準委任案件を中心に見た数字）です。診断領域は他ジャンルより公開案件数が少ないため、観測ベースの目安として読んでください。

以下の表は主に公開案件ベースの目安です。非公開案件では上位ロールで上振れするケースもあり、これらは面談時に個別に提示される前提の数字です。

診断領域の単価レンジ（週5準委任・首都圏）

公開案件を見た範囲では、月70〜130万円に募集が集まりやすい傾向があります。診断PL・アドバイザリまで含めると150万円前後の案件も見られますが、これらは非公開案件で個別条件によって上振れするケースが多く、公開案件で誰でも取れる相場ではありません。

自分の経験・スキルでどの程度の単価を狙えるかは、無料の フリーランスエンジニア単価診断 で現在の市場水準の目安を確認できます。

単価が上がる条件

以下の条件を満たすと、単価が上振れするケースが多く見られます。

• 手動診断の比率が高い経験（自動ツール依存でない）

• 報告書・報告会まで一人で完結できる

• 開発チームへの改修アドバイスができる（コードレベルで修正案を出せる）

• 英語で海外プロダクト・海外拠点と直接やり取りできる

• 業界固有の規制知識（PCI DSS・FISC・GDPR・医療系ガイドライン）

• OSCPまたは同等の実技資格を保有

• CVE報告実績・カンファレンス登壇・OSS貢献

単価が下がりやすい条件

• 自動ツールのレポートを整えるだけの案件

• 未経験・資格のみで実務経験が浅い

• 診断対象が単発・小規模Webサイト

• 日本語のみで英語ドキュメントに抵抗がある

セキュリティ職種全体の単価が上がらないパターンは フリーランスエンジニアの単価が上がらない8つの原因｜自己診断と改善策 と重なる部分が多いので、そちらも合わせて確認しておくと自己診断の解像度が上がります。

観測範囲・母集団の注記

上記単価は、2026年8月時点で確認した主要フリーランスエージェント数社（首都圏中心）の公開案件ページと、面談時に提示される非公開案件情報の傾向を、診断領域に該当する募集に絞って観測ベースで整理した目安です。診断領域の公開案件数は他ジャンルに比べて少なく、地域・業種・時期によって上下します。個別案件の実際の単価は面談時に個別に確認する前提でお読みください。

このセクションのFAQ

• Q. 未経験でも80万円の診断案件は取れますか？

→ 診断実務未経験でその金額の公開案件は難しい傾向があります。まずSOC・開発・インフラで実務経験を積み、副業・OSS等で診断寄りの実績を作る流れが現実的です。

求められるスキル・経験

診断案件では「攻撃側の視点」と「開発・運用側の理解」の両輪が求められます。片方だけだと指摘の説明力が落ちる、あるいは業務影響を踏まえた診断ができない、といった事故につながります。

実装・基礎理解の側

• Webアプリの動作原理：HTTP/HTTPS、Cookie、セッション、CORS、JWT、OAuth2

• 主要な脆弱性クラス：OWASP Top 10 レベルの網羅理解、CWE番号での引き当て

• ネットワーク基礎：TCP/IP、DNS、TLS、ルーティング、ファイアウォール

• OS基礎：Linux/Windowsの権限モデル、AD、レジストリ、systemd

• 暗号・認証基礎：対称/非対称暗号、ハッシュ、電子署名、多要素認証

• クラウドセキュリティ基礎（クラウド診断を狙う場合）：IAM（クラウド上の権限管理）、KMS（鍵管理サービス）、監査ログ

診断ツールと実務ノウハウ

診断ツール自体は公開されているものが多く、名前を知っているだけでは案件では通用しません。「どの状況でどのオプションを使うか」「結果をどう解釈するか」が問われます。

Web診断で広く参照される代表的なリスク整理として OWASP Top 10 があり、技術評価の手順面では米国NISTの SP 800-115（Technical Guide to Information Security Testing and Assessment） が参考になります。より実施手順に踏み込んだ資料としては OWASP Web Security Testing Guide も広く用いられています。

実務経験の目安

• Webアプリ診断：Web開発またはWebセキュリティ実務3年以上

• プラットフォーム診断：インフラ運用・構築3年以上＋診断ツール実務2年以上

• 内部侵入テスト：診断実務3年以上＋シナリオ設計経験

実務経験が薄い段階でも、CTF参加履歴・脆弱性報告実績・登壇歴で補える部分があります。ただし公開案件の応募では実務としての診断案件経験の年数が最重視される傾向は明確です。

必要資格・評価される認定

診断案件では、資格が「実技を証明する材料」として一定重視されます。特に実技試験系（OSCPなど）は面談時の説得力が高い傾向があります。

実務で評価されやすい主要資格

各資格の詳細は セキュリティ資格おすすめ｜支援士・CISSP・CEHの難易度と案件影響 に整理してあります。ここでは診断・監査領域に絞って、案件応募時の実務評価の観点でまとめます。

OSCP（Offensive Security Certified Professional）

24時間の実技試験で複数マシンへ実際に侵入し、プロセスをレポート提出する試験です。合格には診断・ペネトレ実務相当のスキルが要ります。日本の診断案件でも、OSCP保有は実務経験を補強する材料として評価されやすい部類の資格です。

• 対象領域：Web／ネットワーク／サーバ／権限昇格

• 難易度：高（実技試験・英語）

• 有効期限：更新制度あり

• 公式：Offensive Security

CEH（Certified Ethical Hacker）

EC-Councilが提供する国際資格で、ペネトレの体系知識を証明します。知識試験中心で、OSCPほどの実技証明にはならないものの、求人・案件募集の必須条件・歓迎条件として名指しされるケースが見られます。

• 対象領域：攻撃手法の体系知識

• 難易度：中〜高（知識試験）

• 公式：EC-Council

CompTIA PenTest+

CompTIAが提供する中級ペネトレ資格で、実技寄りの問題も含みます。CEHより体系性が高く、価格帯もOSCPより取り組みやすい部類です。

• 対象領域：計画・実行・レポート

• 難易度：中

• 公式：CompTIA PenTest+

情報処理安全確保支援士（登録セキスペ）

国家資格で、公共・金融系では必須または歓迎条件として扱われるケースがあります。制度の詳細は 情報処理安全確保支援士｜難易度・登録費用・フリーランスエンジニアのキャリア活用 にまとめてあります。診断・ペネトレの実技証明としてはOSCPに譲る位置づけですが、日本の公共案件では強く効くのが特徴です。

資格の使い分けと優先順位

案件のターゲットによって、狙う資格の優先度が変わります。

情報セキュリティマネジメント試験は診断業務の評価では控えめですが、セキュリティを扱う開発PM側の関連資格として持たれるケースがあります（情報セキュリティマネジメント試験｜難易度・合格率・勉強時間と取得メリット）。

このセクションのFAQ

• Q. OSCPと支援士、先に取るならどっち？

→ 診断・ペネトレの案件を主に狙うならOSCP、公共・金融の案件と両にらみなら支援士。両方揃うのが理想ですが、直近のCVに近い方から取るのが合理的です。

案件の探し方

診断案件はエージェント経由の非公開案件比率が高いため、公開案件だけを追うと実態を掴みにくくなります。探し方としては、複数エージェントに登録して面談で診断案件の在庫を確認するのが実務的です。

具体的な探し方

• 主要フリーランスエージェント数社に登録し、「セキュリティ」「診断」「ペネトレーション」タグで検索する

• 公開案件がヒットしにくい場合、面談で「診断・ペネトレの非公開案件を確認したい」と伝える

• クラウド診断・SaaSプロダクト診断など成長領域は、Webエージェントよりセキュリティ特化エージェントのほうが情報が濃いケースがある

• CTF・カンファレンス（Black Hat、CODE BLUE、AVTOKYO等）でのネットワーキングから紹介されるケースも一定ある

案件一覧を確認する場合は、フリコンの案件一覧 で公開案件のセキュリティ関連を見られます。

業種別の需要傾向（観測ベース）

公開案件と面談情報を見る限り、業種別の需要は以下のような傾向が見られます。

金融・公共の詳細は 官公庁・公共系のフリーランスエンジニア案件｜単価相場・契約形態・セキュリティ要件を徹底解説 側でも整理しています。防衛・機密系案件で条件になる制度は セキュリティクリアランス制度とエンジニア案件｜対象・適性評価7項目・IT案件への影響 を参照してください。

ケース別解説（現職からの参入ルート）

診断領域は未経験からの直接参入が難しい部類の職種です。ここでは、隣接職種からの参入パターンを整理します。

ケース1：SOCアナリストから診断へ

SIEM・EDRのアラート分析経験があるSOCアナリストは、攻撃側の動きを既に知っているため診断側への遷移がしやすい部類です。ただし「見る」から「攻める」に軸足を移すため、以下の追加スキルが必要になります。

• Burp SuiteでのWebアプリ手動診断

• 権限昇格・ラテラルムーブメント（侵害後に横展開して権限を広げる動き）の実践知識

• 報告書・改修提案のライティング

SOC職種の実務内容は セキュリティアナリストとは｜仕事内容・年収・SOCの役割となり方を解説 に整理しています。SOC実務2〜3年＋CTF・OSCP取得を1年ほど積んだ段階で、Webアプリ診断のジュニア案件に応募できる水準が現実的です。

ケース2：Webアプリ開発者から診断へ

Webフレームワークでの開発経験3年以上あるエンジニアは、Webアプリ診断への親和性が最も高い部類です。開発の裏側を知っているぶん、脆弱性の再現手順や修正案の説得力が上がります。

追加で必要になるのは以下です。

• OWASP Top 10 の実装レベルでの理解

• Burp Suite での手動診断実務

• 認証・セッション・CORS・JWT の実装バリエーション理解

• 診断報告書のテンプレート運用

副業でセキュリティ勉強会に参加しつつ、CTF・脆弱性報奨金プログラム（バグバウンティ）で実績を作ってから応募すると、面談時の説得材料が揃います。

ケース3：インフラエンジニアから診断へ

サーバ構築・ネットワーク運用経験があるインフラエンジニアは、プラットフォーム診断・内部侵入テストへの遷移が近い部類です。

• Nessus・OpenVAS でのプラットフォーム診断

• Active Directory（Windows環境の統合認証・権限管理基盤）の権限モデル・攻撃経路

• Windowsドメイン内の権限昇格・ラテラルムーブ

クラウド構築経験がある人にとっては、クラウド診断（AWS/Azure/GCP）は比較的親和性の高い領域です。公開案件でも一定の募集が見られ、単価もWebアプリ診断より上振れするケースがあります。

よくある失敗と対策

診断案件の応募・参画で、実際に起きやすい失敗パターンを整理します。事前に押さえておくと、無駄な応募や参画後の齟齬を減らせます。

資格だけで応募して実務経験不足を突かれる

CEHやPenTest+を取得しただけで診断案件に応募すると、「実務経験何年ですか」で詰まるケースが多くなります。資格は評価対象になりますが、公開案件は実務経験年数が先に見られる傾向が強いため、副業・OSS・バグバウンティで実績を積むステップを飛ばすと通りにくくなります。

対策：応募前に、以下のいずれかを準備しておきます。

• HackerOne / Bugcrowdでの有効な脆弱性報告実績

• CTF大会での上位入賞（国内外問わず）

• OSS プロジェクトへのセキュリティ関連コントリビュート

• 前職での診断業務経験（内製診断でも可）

報告書スキルを軽視して低評価を受ける

診断業務のアウトプットは報告書と報告会です。ツールで検出しても、リスク評価・再現手順・改修推奨がまとまっていないと開発チームは動けません。参画後に「ツールの結果コピペのような報告書」を出すと、次回発注が来なくなります。

対策：応募段階でサンプル報告書を準備しておくと面談で強い材料になります。個人情報や実案件の情報を含めず、疑似案件でも構いません。リスク評価の根拠、再現手順、修正案の3点をきちんと書けることが伝わる形式にします。

診断範囲の思い込みで炎上する

「Webアプリ診断」という名目でも、案件によっては認証機能のみ・特定機能のみ・外部公開部のみ、と範囲が細かく指定されます。範囲外に手を出すと契約違反リスクがあり、範囲内を漏らすとリスク見落としになります。

対策：面談・キックオフ時にスコープ定義書（対象URL・IPレンジ・除外項目・確認項目）を文書化し、疑問点は着手前に潰しておきます。

業務影響を軽視して本番環境で事故る

診断ツールの走査は本番システムに負荷をかけたり、意図せずデータを書き換えたりする可能性があります。「本番診断可」の案件でも、負荷レベル・時間帯・退避手順を確認せずに走らせると障害を起こしかねません。

対策：走査前に対象環境のバックアップ状況・監視状況・営業時間を確認し、危険なペイロードの実行前は必ず発注側に事前確認します。

実践チェックリスト｜案件応募前に確認する8項目

診断案件に応募する前、以下を自己チェックしておくと通過率が上がります。

• [ ] 実務経験（診断または隣接領域）が3年以上あるか

• [ ] Burp Suite / Nessus など主要ツールの実務利用経験があるか

• [ ] OWASP Top 10 を実装レベルで説明できるか

• [ ] サンプル報告書（疑似案件でも可）を用意しているか

• [ ] OSCP / CEH / PenTest+ / 支援士のいずれかを取得済み、または学習中か

• [ ] 面談時に診断対象の技術スタックについて具体的に質問できるか

• [ ] 英語ドキュメント（CVE、CWE、Advisory）を読み込めるか

• [ ] 単価診断で、自分が狙える単価レンジの目安を把握しているか

診断案件で自分がどの程度の単価を狙えるか把握しておくと、面談時の希望単価の伝え方が変わります。まずは フリーランスエンジニア単価診断 で現在の市場水準を確認しておきます。市場価値そのものの見立て方は エンジニア市場価値の診断5ステップ｜スキル・実績・単価の見立て方 でも整理しています。

まとめ

セキュリティ診断・ペネトレーションテスト案件は、Webアプリ診断とプラットフォーム診断を中心に、月70〜130万円の単価レンジで公開案件が見られる領域です。内部侵入テスト（本来のペネトレ）はフリーランス案件としてはやや少なく、実務経験3年以上とOSCP等の実技資格が実質的な参入条件になります。

• 診断は準委任契約が中心、期間はスポット2〜4週間から常駐18か月まで幅がある

• 単価目安はWebアプリ診断で月70〜110万円、クラウド・内部侵入で上振れ

• 主要資格はOSCP・CEH・PenTest+・情報処理安全確保支援士の4つ

• 未経験からの直接参入は難しく、SOC・開発・インフラからの遷移が現実的なルート

• 案件はエージェント数社の非公開案件を面談で確認するのが実務的

特に、Web開発・SOC・インフラの実務が3年前後あり、報告書作成まで担える人は応募候補に入りやすい層です。次のアクションとしては、①現時点のスキルで狙える単価レンジを フリーランスエンジニア単価診断 で確認する、②フリコンの案件一覧 でセキュリティ関連の公開案件を眺めて条件感を掴む、の2つから始めるのが動きやすくなります。

参照した一次情報：OWASP Top 10、NIST SP 800-115、Offensive Security（OSCP公式）、EC-Council（CEH公式）、CompTIA PenTest+ 公式。