ISMS・SOC2取得支援案件｜フリーランスの実装・証跡業務と単価

ISMS・SOC2取得支援の案件とは｜「守る側」ではなく「取らせる側」

取得支援案件とは、発注企業が認証や保証報告書を取得するプロジェクトに外部人材として入り、技術面を担当する仕事です。監査を受ける企業の側に立ち、監査人に提出できる状態を作ります。

混同しやすいのが、常駐先のセキュリティルールに自分が従う話です。持ち込みPCの扱いや入館証、USB禁止といった「参画するフリーランス側が守る要件」は、客先セキュリティ要件対応｜ISMS・Pマーク・持ち込みPCの実務で扱っています。本記事はその逆側、企業に認証を取らせる仕事に限定します。

案件が生まれる背景は、エンタープライズ取引とセキュリティチェックシートです。SaaSを大企業や官公庁に売ろうとすると、取引先からISMSやSOC2の提示を求められます。社内に専任者がいないスタートアップが、外部のエンジニアを入れて対応する構図が典型です。

よくある募集名と、案件票の見分け方

検索語と求人票の表記はずれます。「ISMS取得支援」という名前の案件はほとんど出てきません。実際に掲載される名称は次のように分散します。

• セキュリティコンサル／情報セキュリティコンサルタント

• ISMS事務局支援／ISMS認証取得支援

• SOC2対応支援／SOC2 Type2対応

• 内部統制・監査対応支援

• セキュリティチェックシート対応

案件票を見るときは、業務内容に実装の動詞があるかどうかで性質を判断できます。「規程の改訂」「資料更新」「証跡の収集」が並ぶものは事務局寄り、「アクセス権限の設計」「ログ基盤の構築」「IdP統合」が入るものは実装寄りです。必須スキル欄に「ISMSの経験」とだけ書かれている場合、どちらの意味かは面談で確認しないと判別できません。

向いている人・向いていない人

向いているのは、クラウド基盤を横断で触ってきた人です。IAMやログ、CI/CDの設定を自分で変更した経験があると、統制の実装をそのまま任せられます。仕組みを作るだけでなく、なぜその設定なのかを言語化して他人に説明するのが苦にならない人は、監査対応で強く評価されます。

向いていないのは、コードを書く時間を最大化したい人です。この領域は設定・設計・記録の比重が高く、機能開発の量は多くありません。ドキュメント作成や他部署との調整を避けたい場合は、稼働の実感が想定とずれます。

ISMS（ISO/IEC 27001）とは｜2022年版への移行は完了済み

ISMSは、情報セキュリティマネジメントシステムの第三者認証制度です。役割が二層に分かれている点に注意してください。企業を審査して認証を与えるのは認証機関で、その認証機関が適格かどうかを認定するのがISMS-AC（情報マネジメントシステム認定センター）です。ISMS-ACが企業を直接認証するわけではありません。

規格の現行版はISO/IEC 27001:2022（国内規格はJIS Q 27001:2023、2025年5月に追補1が公示）です。

ここは案件で誤解が起きやすい点です。2013年版から2022年版への移行期限は2025年10月31日にすでに終了しています（ISMS-ACの公式告知）。2026年時点では、移行対応そのものより2022年版を前提とした新規取得・維持運用が案件の中心になります。

附属書Aの管理策は93個。組織的・人的・物理的・技術的の4テーマに整理されており、このうち技術的管理策（A.8系）の大半がエンジニアの担当範囲に入ります。

SOC2とは｜認証ではなく監査法人の保証報告書

SOC2は認証ではありません。監査法人が発行する保証報告書です。ここを取り違えると、案件の会話が噛み合わなくなります。

基準はAICPAのTrust Services Criteria（TSC、信頼性に関する評価基準）。2017 TSC（Revised Points of Focus – 2022）が原典で、5カテゴリで構成されます。

必須はSecurityだけで、残り4つは取引先の要求に応じて選びます。案件の初期に「どのカテゴリを対象にするか」が決まっていないと、実装範囲が確定しません。参画時に必ず確認したい項目です。

SOC2の中核はあくまでAICPA基準ですが、日本の監査法人が関与する国内実務では、日本公認会計士協会の保証業務実務指針3850も参照されます。国内案件に入る場合は、この指針の存在を押さえておくと監査法人との会話が通りやすくなります。

ISMS・SOC2・Pマークの違い

3つを並べると、案件で求められる動き方の差がはっきりします。

ミニFAQ：ISMSとSOC2は両方取るものですか？

片方だけのケースが多数です。国内取引が中心ならISMS、海外SaaSや米国系エンタープライズとの取引が絡むとSOC2が求められます。両方取る企業もありますが、その場合は統制の実装を共通化して証跡だけ出し分ける進め方が現実的です。

ミニFAQ：ISMSを取れば個人情報も対応済みになりますか？

なりません。ISMSは情報資産全般の枠組みで、個人情報に特化した要求は別です。国内で個人情報の取扱いを訴求する必要があるならPマーク、法令面は個人情報保護委員会の示す枠組みで確認します。

エンジニアが担う範囲｜文書仕事とどう違うか

結論から書くと、エンジニアの主担当は「規程に書いたことを実際に動く状態にして、動いている証拠を出す」部分です。規程そのものの執筆が中心になることは多くありませんが、技術章の草案作成やレビューを求められるケースはあります。

案件には役割の分担があります。ここが曖昧なまま入ると、想定外の文書作業を抱えることになります。

事務局・コンサルが担う部分

情報セキュリティ方針、リスクアセスメント手順、適用宣言書（SoA。どの管理策を適用し、除外する場合は理由を示す文書）、教育計画、内部監査の運営。ここは認証コンサルや社内の事務局が主担当です。エンジニアは技術的な妥当性のレビューで関わります。

エンジニアが手を動かす部分

アクセス権の設計と棚卸し、ログの集約と保全、脆弱性対応のフロー整備、構成管理、バックアップと復旧試験、暗号化の適用。そしてそれぞれについて「実施した証拠」を取り出せる状態にすることです。

現場で一番時間を取られるのは、最後の証跡部分です。統制が動いていても、監査人に見せられる形で記録が残っていなければ「実施していない」と判断されます。

この観点は、既存の運用をそのまま監査対応に載せ替えられないケースで顕在化します。共有アカウントで運用していた、本番アクセスに承認フローがない、ログの保管期間が決まっていない。こうした設計上の問題を先に潰す上流の仕事が発生します。むしろ、ここが取得支援案件で最も技術力を問われる部分です。

統制→実装→証跡の対応表

ここが本記事の中心です。「何を実装し、何を提出するのか」を管理策単位で整理しました。管理策番号はISO/IEC 27001:2022（JIS Q 27001:2023）附属書Aに基づきます。

なお、管理策と実装・証跡は1対1で決まるものではありません。 実際の適用範囲や証跡の受け入れ方は、対象スコープ・監査法人・認証機関の判断で変わります。以下は代表例として読んでください。SOC2側についても、ここに挙げた実装がそのままCommon Criteriaの要件に対応するわけではありません。

この表の使い方として、A.8.13の「復旧テスト」のように、実装だけでは足りず実施の記録が別途必要な項目に注意してください。バックアップが動いていることと、復旧できることを確かめた記録があることは別物です。監査で指摘が出やすい典型です。

ログ基盤の設計そのものに踏み込むなら、SIEMの考え方が役に立ちます。Splunkとは｜ログ分析とSIEMの基本・フリーランス案件単価を解説で整理しています。クラウド設定の逸脱検知はCSPMとは｜クラウド設定不備対策の実務と案件単価・必要スキルが近い領域です。

コンプライアンス自動化SaaSを触る案件

証跡収集を自動化するSaaSを導入・設定する案件があります。Vanta、Drata、SecureFrame、国産のSecureNaviあたりが名前として挙がります。

やることは、クラウドやIdP、デバイス管理ツールとAPI連携し、統制ごとの証跡を自動で集め続ける設定です。連携が効かない範囲は手動証跡として運用に落とします。導入して終わりではなく、アラートが鳴り続けない状態まで整えるのが実務です。

この領域は日本語の情報が少なく、事業会社が公開している取得体験の記事が参考事例の一つになります。MC Digitalの技術ブログ（SOC2 Type2取得までの道のり）では、Vantaの採用に至る比較検討の経緯が公開されています。一社の事例であり、一般的な標準手順ではない点は踏まえて読んでください。

SOC2 Type 1とType 2で仕事が変わる

Type 1とType 2は、案件としては別物と考えたほうが安全です。 稼働期間も、求められる動き方も変わります。

Type 1｜一時点の設計評価

ある基準日時点で、統制が適切に設計され実装されているかを評価します。プロジェクト型で、実装を作り切るところが山場です。期間は短めに収まります。

Type 2｜一定期間の運用有効性

一定の運用期間を通じて、統制が継続して有効に機能していたかを評価します。期間は監査スコープや監査法人との合意で決まりますが、3〜12か月で設定されるのが一般的です。初回は3〜6か月と短めに置き、以降は12か月で回すケースが多く見られます。

ここが重要な差です。Type 2では、期間中ずっと証跡が出続けていなければなりません。アクセス権の棚卸しを四半期ごとに実施する運用なら、その期間内に実施した記録が必要です。月次のレビューを定義したなら、抜けた月があると指摘対象になります。

つまりType 2は取得作業ではなく、運用を回し、記録を積み上げる仕事です。案件も「週2〜3日で運用期間を並走する」形になりやすく、短期集中型のType 1とは稼働設計が違います。

ミニFAQ：Type 2の期間中に統制を変更したらどうなりますか？

変更自体は問題になりません。変更管理のプロセスに沿って承認と記録を残せているかが問われます。記録なしに設定を変えた形跡が残るほうが、はるかに厳しく見られます。

案件の単価相場｜フリーランスの月額レンジと母集団

ISMS・SOC2の取得支援は、セキュリティコンサル系の職種区分で募集されることが多く、実装まで担える人材は同区分の中でも上振れしやすい傾向があります。

以下の数字は、2026年9月時点で確認した主要フリーランスエージェント2社（レバテックフリーランス、フリーランスHub）の公開案件ページを観測ベースで整理した目安です。「ISMS・SOC2取得支援そのものの相場」として集計された統計は存在しません。 そのため、関連職種の公開集計値と、取得支援に近い個別の掲載例を分けて示します。ISMS・SOC2に限定した公開案件は件数自体が多くない領域のため、確定した相場ではなく観測ベースの目安として読んでください。

関連職種の公開集計値

これは取得支援に限定した数字ではなく、脆弱性診断やSOC運用なども含む職種区分全体の集計です。また、最低・最高値は稼働率や案件条件（スポット・短時間稼働を含む）の差を反映しているため、フルタイム前提の相場としては平均値や中位レンジを中心に見るのが安全です。

取得支援に近い個別の掲載例

個別例が月55〜65万円台であるのに対し、職種区分全体の平均は月97万円です。ただし2件の掲載例から相場を断定することはできません。これらはいずれも事務局支援・現状分析が業務の中心に記載されている案件で、統制の設計や基盤の実装まで含む案件とは担当範囲が異なるという読み方にとどめるのが妥当です。

非公開案件については別の話として切り分けてください。エージェント面談で提示される案件には個別条件で上振れするものがありますが、公開案件のように再現性を確認できる情報ではありません。

単価が上がるケース・下がるケース

上振れしやすいのは、クラウド基盤の設計変更まで踏み込める場合です。IAM再設計、ログ基盤の構築、SSO統合を自分で引ける人は、コンサルと実装者を兼ねられるため募集レンジの上側で扱われやすくなります。AWS・Azure・GCPいずれかの実務経験に加え、IaCとIdPの経験がある、といった人物像が該当します。

下振れしやすいのは、文書更新とスクリーンショット収集が中心の稼働です。これは事務局支援に近く、技術単価としては評価されにくい構成になります。

セキュリティ領域全体の単価感はセキュリティエンジニアのフリーランス単価相場｜案件動向とスキル別レンジ、インフラ寄りのレンジはSREフリーランスの単価相場｜DevOps案件の月額レンジと参入目安が参考になります。

自分がどのくらいの単価を狙えるか気になる方は、無料のフリーランスエンジニア単価診断で現在の市場単価の目安を確認できます。単価を体系的に上げる考え方は『フリーランスエンジニアの単価相場と単価の上げ方』で整理しています。

必要スキルと案件の探し方｜インフラ・SRE経験からの参入ルート

監査やコンサルの出身である必要はありません。 求人票の「ISMSの経験」という一行が求めているのは、多くの場合、統制として説明できる形でインフラを設計・運用した経験です。

核になるのは次の4つです。クラウドのIAM設計、ログの集約と保全、IaCによる構成管理、IdPとSSOの統合。いずれも通常のインフラ・SRE業務で触れる領域で、やってきたことを管理策の言葉に翻訳できるかどうかが入口の分かれ目になります。

ケース別の入り方

インフラ・SRE経験者の場合

最短です。IAM棚卸しやログ集約の実績を、A.8.2やA.8.15といった管理策に紐づけてスキルシートに書き直します。「CloudTrailをログアーカイブ用アカウントに集約し、保管期間を設定した」は、そのまま監査ログ保全の実装経験として通ります。書き方はインフラエンジニアのスキルシートの書き方｜構築・運用実績の数値化と職種別テンプレを参照してください。

アプリ開発中心の場合

セキュアコーディング、CI/CDでの静的解析・シークレット検知、変更管理あたりが接続点です。A.8.28とA.8.32の領域から入り、権限管理へ広げる順序が現実的です。

公共・金融系の経験がある場合

セキュリティ要件の厳しい現場の経験は評価されます。官公庁・公共系のフリーランスエンジニア案件｜単価相場・契約形態・セキュリティ要件を徹底解説で扱った要件対応の経験は、統制の実装側にも転用できます。

データ基盤の経験がある場合

機密区分やアクセス制御の設計はISMSの情報資産管理と重なります。データガバナンス案件の単価相場｜データカタログ実務と探し方・参入ルートが隣接領域です。

資格は必須ではありませんが、書類選考での説得力にはなります。基礎の整理には情報セキュリティマネジメント試験｜難易度・合格率・勉強時間と取得メリット、上位資格の選び方はセキュリティ資格おすすめ｜支援士・CISSP・CEHの難易度と案件影響で比較しています。

案件を探す際は、フリコンの案件一覧で職種を絞り込んだうえで、ISMS・ISO27001・SOC2のキーワードを併用すると該当案件を見つけやすくなります。

よくある失敗と対策

担当範囲を曖昧にしたまま参画する

「ISMS支援」の一語には、事務局の文書作業から基盤の再設計まで幅があります。契約前に、規程作成が範囲に入るのか、実装まで持つのかを明文化してください。ここを詰めないと、技術単価で受けた案件が文書作業で埋まります。

Type 2の運用期間を見落とす

Type 1のつもりで受けたら3〜6か月の運用並走が前提だった、という食い違いが起こります。契約時に対象がType 1かType 2か、Type 2なら運用期間の開始日と終了日を確認します。

証跡の形式を後から決める

統制を実装してから「監査人に何を出すか」を考えると、取得し直しになります。実装の前に、監査人が受け入れる証跡の形式を確認する順序が正解です。スクリーンショットで足りるのか、エクスポートしたログが必要なのか、取得日時の記録が要るのか。ここで手戻りが出ると数週間単位で遅れます。

自動化SaaSのアラートを放置する

導入後に未対応項目が溜まり、監査直前に一気に片付ける状況になりがちです。週次で棚卸しする運用を、導入と同時に決めておきます。

実践チェックリスト｜参画前に確認する項目

参画を判断する前に、この10項目を確認してください。案件票に書かれていない情報がほとんどなので、面談で聞き出す前提です。

1. 対象はISMSか、SOC2か、両方か

2. SOC2の場合、Type 1かType 2か。Type 2なら運用期間の開始日と終了日

3. SOC2で選択するTSCカテゴリ（Securityのみか、可用性・機密保持等を含むか）

4. 初回取得か、維持審査・更新審査か

5. 自分の担当範囲は実装か、文書作成か、その両方か

6. 監査法人・認証機関、または認証コンサルがすでに決まっているか

7. コンプライアンス自動化SaaSを導入済みか、これから導入するのか

8. 現状のアクセス管理の状態（共有アカウントの有無、SSO統合の有無）

9. ログの集約先と保管期間が定義されているか

10. 稼働日数とリモート可否、監査対応日の出社要否

とくに5番と8番は単価の妥当性に直結します。SSO未整備・共有アカウント運用の企業は、統制実装の前段で基盤の再設計が必要になり、実際の工数が案件票の想定を上回りやすくなります。

まとめ

ISMS・SOC2の取得支援案件は、規程を書く事務局仕事ではなく、統制を実装して監査人に出せる証跡を残す技術案件です。 インフラ・SREの経験があれば、管理策の言葉に翻訳するだけで参入できます。

• ISMSは第三者認証、SOC2は監査法人の保証報告書。Pマークは個人情報に特化した国内制度で、求められる場面が異なる

• ISO/IEC 27001:2022への移行期限は2025年10月31日に終了済み。2026年現在の案件は新規取得か運用・維持が中心

• エンジニアの担当は統制の実装と証跡の整備。実装だけでなく「実施した記録」が別途必要な項目（復旧テスト等）に注意する

• SOC2 Type 2は3〜12か月の運用期間を並走する仕事で、Type 1とは稼働設計が変わる

• 「ISMS取得支援」の名前では募集されにくい。セキュリティコンサル・情報セキュリティ支援・事務局支援・SOC2対応支援といった名称に分散する

• 単価は関連職種であるセキュリティコンサルの公開集計で平均月97万円。取得支援に近い個別掲載例は月55〜65万円台で、担当範囲によって開きがある

• 応募前に確認すべきは「Type（Type 1かType 2か）」「担当範囲（実装か文書か）」「現状のアクセス管理の状態」の3点

次のステップとしては、直近の案件で担当したアクセス制御やログ関連の実績を管理策番号に紐づけてスキルシートに整理し、セキュリティコンサル系の職種でISMS・SOC2のキーワードを併用して案件を探すところから始めてください。

参照した一次情報は次のとおりです。

• ISMS-AC 情報マネジメントシステム認定センター

• ISO/IEC 27001:2022への対応について（ISMS-AC）

• 2017 Trust Services Criteria（AICPA & CIMA）

• 保証業務実務指針3850（日本公認会計士協会）

• プライバシーマーク制度 概要（JIPDEC）

• 情報セキュリティ10大脅威 2026（IPA）