案件の説明に「診断範囲：Webアプリ一式、必要に応じて侵入試験」と書かれていたとします。どこまでが自分の仕事なのか、何を基準に選べばよいのか、判断する材料が手元にありません。脆弱性診断のフリーランス案件は、範囲と基準が書かれているかで選びます。この記事では、IPAの2つの公開資料を物差しにして、その見分け方を順に確かめます。

1. 脆弱性診断のフリーランス案件で確かめること

診断範囲の一行が示す2つの確認点

冒頭の「Webアプリ一式、必要に応じて侵入試験」という一行には、確かめる点が2つあります。一つは「一式」がどこまでを含むのか、もう一つは「必要に応じて」がどんな場合に当たるのかです。

ただし、この2点は案件の文面だけでは決まりません。診断の範囲は契約で決めるものなので、委託元と協議し、文書に残すところまでが受ける前の仕事です。

そこで、協議の土台になる物差しを2つ用意します。一つは、発注側が何に備えているかを知るための「情報セキュリティ10大脅威 2026」。もう一つは、サービスを選ぶ基準として使われる「情報セキュリティサービス基準適合サービスリスト」です。

発注側の備えを知る資料

IPAの情報セキュリティ10大脅威 2026は、組織向けの脅威を順位で示した資料です¹。2025年に発生した社会的に影響が大きかった事故や攻撃の状況などからIPAが脅威候補を選定し、研究者や企業の実務担当者など約250名が審議と投票を経て決めたものです¹。

専門家の審議を経た順位なので、発注側がどの脅威を意識しているかを知る手がかりになります。一方で、脆弱性診断の需要の大きさを示す資料ではありません。案件を選ぶ材料として使うときは、この線を越えないようにします。

組織向けの4位には「システムの脆弱性を悪用した攻撃」が入り、6年連続9回目の選出です¹。診断の案件を読むときの前提として、覚えておきたい順位です。

受託側に関わる順位の位置

上位の脅威のうち、案件を受ける側にとって他人事ではないのは、2位と4位の2つです。

出典：IPA「情報セキュリティ10大脅威 2026」をもとに作成

2位の委託先を狙った攻撃は、フリーランスも委託元から見れば委託先の一つに当たる脅威です¹。4位の脆弱性の悪用は、診断が向き合う対象そのものです¹。では、この順位の中身を、表で一つずつ確かめます。

2. 組織が備える脅威の上位

上位に並ぶ3つの脅威

2位はサプライチェーンや委託先を狙った攻撃です¹。3位はAIの利用をめぐるサイバーリスクで、2026年に初めて選ばれました¹。4位はシステムの脆弱性を悪用した攻撃で、6年連続9回目の選出です¹。表では、この3つの順位と選出の状況を並べています。

順位	脅威	選出の状況
2位	サプライチェーンや委託先を狙った攻撃	組織向け脅威の2位1
3位	AIの利用をめぐるサイバーリスク	2026年に初選出1
4位	システムの脆弱性を悪用した攻撃	6年連続9回目の選出1

3つを案件の側から読む

4位の脆弱性の悪用は、案件の中心にあたる脅威です。ただし、順位が高いことと、案件の数や報酬が決まることは別の話です。資料が示しているのは、組織が備える脅威の順位だけです。

2位の委託先を狙った攻撃については、次の節で受託側の立場から確かめます。

一方、3位のAIの利用をめぐるリスクは、2026年に初めて選ばれた脅威です¹。案件の説明にAIを使うシステムの診断が書かれているときは、診断の範囲に含まれるのかを委託元に尋ねます。

リモートで受けられる案件を探すなら、Remoguでは案件の90%以上がフルリモート可能です²。

3. 委託先として見られる立場

2位に入った委託先への攻撃

組織向けの脅威の2位は、サプライチェーンや委託先を狙った攻撃です¹。診断を依頼する組織にとって、外部の受託者は守る対象であると同時に、攻撃の入口になりうる存在として位置づけられます。

フリーランスも、委託元から見れば委託先の一つです¹。診断の腕とは別に、委託先としてどう扱われるかが、案件の条件に表れます。

案件の説明から読み取る委託元の備え

案件の説明や面談で、診断で預かる情報の置き場所や、診断結果をやり取りする経路が書かれているなら、委託元はこの脅威を意識している手がかりになります。

逆に、何も書かれていないときは、面談で尋ねます。診断で預かる情報をどこに置くのか、結果をどの経路で共有するのか。この2点への答えは、範囲と基準を確かめるときの材料にもなります。

では、サービスを選ぶ側の基準は、どこに書かれているのでしょうか。

4. 情報セキュリティサービス基準という物差し

サービスリストが成り立つ仕組み

IPAは、情報セキュリティサービス基準適合サービスリストを公開しています³。基準は経済産業省が策定したもので、この基準に適合しているかを審査登録機関が審査します³。

適合と認められたサービスは登録台帳に登録されます。そのうえで、誓約書をIPAに提出した事業者のサービスが、リストに掲載されます³。

掲載に至るまでには、基準、審査、台帳の3段を通ります。

図の作成：Remogu編集部。IPAの掲載条件を整理したもので、統計データではありません

掲載されるのは事業者のサービス

リストに掲載されるのは、事業者のサービスです³。フリーランスとして案件を受ける側にとっては、自分が載る名簿ではなく、委託元が事業者のサービスを選ぶときの物差しの一つとして読む資料です。

委託元がリストへの掲載を話に出したときは、個人として受ける案件なのか、事業者のサービスの中で働く案件なのかを、最初に確かめます。立場によって、範囲と基準の決め方が変わるためです。

掲載期間の決まり方

リストの掲載期間は、審査登録機関の定める登録有効期間又は2年間のうち、短い方の期間です³。掲載があっても、いつの時点の掲載かで見方が変わります。

では、脆弱性診断とペネトレーションテストは、このリストの中でどう位置づけられているのでしょうか。

5. 脆弱性診断とペネトレーションテストの関係

リストでの位置づけ

IPAのサービスリストは、ペネトレーションテスト（侵入試験）サービスを、脆弱性診断サービスのオプションサービスとして位置づけています³。診断が本体にあり、侵入試験はそこへ付け加えるサービスという並びです。

ただし、これはリストが示す位置づけです。両者の目的の違いや、どちらが難しいかは、この資料からは言えません。案件の説明に両方の語が出てきたときは、文面の並びを手がかりに、どちらが主でどちらが付け足しなのかを確かめます。

冒頭の一行との突き合わせ

冒頭の「Webアプリ一式、必要に応じて侵入試験」は、リストの位置づけと同じ並びで書かれています。診断が主で、侵入試験は必要に応じて加わる形です。

そのため、確かめる相手は「必要に応じて」の中身になります。どんな場合に侵入試験が加わるのか、加わったときに範囲と報酬の扱いがどう変わるのか。受ける前に委託元と協議し、文書に残します。

文面の読み方と確かめる相手

冒頭の一行は、3つの言葉に分けて読めます。「Webアプリ一式」は診断の対象を示し、「必要に応じて」は条件が書かれていない部分を示し、「侵入試験」は診断に加わるオプションの側を示します。表では、それぞれの言葉の読み方と、委託元に確かめる点を対応させています。

文面の言葉	読み方	委託元に確かめる点
Webアプリ一式	脆弱性診断の対象	一式に含まれる画面や機能の範囲
必要に応じて	加わる条件が文面に無い部分	侵入試験が加わる場合の条件
侵入試験	脆弱性診断のオプションに当たります3	加わったときの範囲と報酬の扱い

では、この3点を、案件ごとにどんな項目へ組み直せば、範囲と基準が書かれているかを見分けられるのでしょうか。

6. 案件で確かめる範囲と基準

確かめる項目の一覧

ここまでの資料から、案件ごとに確かめる項目は5つに整理できます。診断の対象、侵入試験の扱い、基準の拠り所、掲載の時点、そして委託先としての扱いです。表では、それぞれの確かめ方と、根拠になる資料を並べています。根拠の欄が空いている項目は、資料ではなく契約で決める部分です。

項目	確かめ方	根拠
診断の対象と範囲	「一式」に含まれる対象を文書に残す	契約で決める部分
侵入試験の扱い	「必要に応じて」の条件を協議する	脆弱性診断のオプションです3
基準の拠り所	事業者のサービスなら、リストへの掲載を尋ねる	審査登録機関の審査と登録台帳です3
掲載の時点	掲載がいつの時点かを尋ねる	登録有効期間又は2年間のうち短い方です3
委託先としての扱い	預かる情報の置き場所と結果の共有経路を尋ねる	委託先を狙った攻撃は2位です1

5つの項目を3つに束ねる

5つの項目は、面談の場では3つの束にして持っておくと扱いやすくなります。診断の対象と侵入試験の扱いが「範囲」、基準の拠り所と掲載の時点が「基準」、預かる情報と共有経路が「立場」です。

図の作成：Remogu編集部。IPAの2つの資料をもとに確認項目を整理したもので、統計データではありません

文書に残す部分と尋ねる部分

3つの束のうち、「範囲」は契約で決める部分です。診断の対象と侵入試験の扱いは、資料に答えが書かれているわけではないので、委託元と協議して文書に残します。

一方、「基準」と「立場」は尋ねて確かめる部分です。基準は、事業者のサービスならリストへの掲載と、その時点を尋ねます³。立場は、委託先として扱われる以上、預かる情報の置き場所と結果の共有経路を尋ねます¹。

では、この3つの束を、実際にどんな順番で確かめれば迷わずに選べるのでしょうか。

7. 脆弱性診断の案件を選ぶ順番

上から4つ確かめる

選ぶ順番は、範囲から基準、立場へと進めます。範囲が決まらないうちは、基準や立場を尋ねても、何についての基準なのかが定まらないためです。

最初に診断範囲の文書、次に侵入試験の扱い、そのあとで基準の拠り所、最後に委託先としての扱いを確かめます。4つのうち、文書で答えが返ってこない項目があれば、その案件は条件が固まっていないと判断できます。

図の作成：Remogu編集部。IPAの2つの資料をもとに確認の順序を整理したもので、統計データではありません

冒頭の一行に戻る

「診断範囲：Webアプリ一式、必要に応じて侵入試験」の一行は、読み解く物差しが手元にあれば、迷う文面ではなくなります。「一式」の中身を協議し、「必要に応じて」の条件を文書にし、基準と立場を尋ねる。その流れで、案件の輪郭が見えてきます。

案件は、範囲と基準が書かれているかで選びます。書かれていない部分は、受ける前に尋ねる材料です。尋ねるところまで進めれば、判断する材料が手元に無い状態は終わります。

次の一歩は、自分の経験に合う条件を、実際の案件で確かめることです。まず登録して、診断範囲と基準が書かれた案件がどのくらい並んでいるかを見てみてください。

8. よくある質問

脆弱性診断とペネトレーションテストは別の案件ですか

IPAのサービスリストでは、ペネトレーションテスト（侵入試験）サービスは脆弱性診断サービスのオプションサービスです³。案件として別に立つかどうかは、この資料からは言えません。案件の文面で、診断が主なのか侵入試験が主なのかを確かめ、侵入試験が加わる条件は委託元と協議して文書に残します。

サービスリストに個人で載れますか

リストに掲載されるのは、審査登録機関の審査を経て登録台帳に登録され、誓約書をIPAに提出した事業者のサービスです³。個人が載る仕組みとして書かれた資料ではありません。フリーランスとして案件を受ける場合は、自分が載る名簿ではなく、委託元が事業者のサービスを選ぶ物差しとして読みます。

委託先を狙った攻撃は受託側にも関係しますか

情報セキュリティ10大脅威 2026では、組織向け脅威の2位にサプライチェーンや委託先を狙った攻撃が入っています¹。フリーランスも委託元から見れば委託先の一つです。診断で預かる情報の置き場所と、結果の共有経路を尋ねられる側にも、尋ねる側にもなる立場だと考えておきます。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 IPA「情報セキュリティ10大脅威 2026」（2026年・2026年10月確認）
＊2 Remogu（株式会社LASSIC運営）公開情報：扱う案件の90%以上がフルリモート可能
＊3 IPA「情報セキュリティサービス基準適合サービスリスト」（2026年9月・2026年10月確認）