情報セキュリティマネジメントの副業の始め方

情報セキュリティマネジメント試験に合格したあと、その合格を副業に換える方法が分からないまま止まっている人がとても多いです。試験の勉強法を書いた記事は山ほどあるのに、合格した翌日から何をすればいいのかを書いたものはほとんどありません。この記事は、すでに合格証書を持っている人が、登録から初回の受注までにやることを順番に並べたものです。資格の取り方や難易度の話はしません。持っているものを、在宅で受けられる仕事に換える手順だけを書きます。

結論から言うと、最初にやるべきことは案件を探すことではありません。3つの準備、つまり「自分の合格が何を証明しているかを言葉にする」「名乗ってよい範囲を法令で確認する」「契約で先に決めることを決める」を済ませてから探し始めた人のほうが、初回受注までが明らかに短くなります。順番が逆になると、応募しても返事が来ないまま数か月が過ぎます。

合格者が在宅の仕事に入れる理由は「管理する側の言葉が分かる」こと

情報セキュリティマネジメント試験は、攻撃の手口を実装する試験ではありません。組織の情報資産を守るために、規程を作り、運用し、点検する側の知識を問う試験です。ここが在宅の副業と相性がいいところです。手を動かしてサーバに入る作業は現地とアクセス権限が要りますが、規程を読む、書く、点検表を作る、教育資料を作る、といった仕事は場所を選びません。

企業側の事情も追い風になっています。取引先から情報セキュリティのチェックシートを送られて回答に困る中小企業、ISMSやプライバシーマークの取得を言われたが社内に読める人がいない会社、テレワーク規程を作りたいが雛形しか手元にない事業所。こうした依頼は、専門の会社に頼むと数十万円からになります。そこまでは出せないが放置もできない、という層が、単発で頼める個人を探しています。

在宅で受けられる仕事の中でも、この分野が置かれている位置は当サイトのAI・マーケティング・セキュリティのお仕事にまとまっています。どんな依頼が実際に出ているのか、依頼文の書かれ方を先に眺めておくと、次の準備が具体的になります。

なお、報酬の水準は業界全体で見ると決して低くありません。フリーランス向けの案件サイトでは次のように公表されています。

フリーランスの求人・案件を探す フリーランス × 情報セキュリティの案件一覧 案件特徴から求人・案件を探す 副業・複業の案件一覧 その他の求人・案件を探す 情報セキュリティ案件のよくある質問 情報セキュリティ案件の月額単価相場はいくらぐらいですか？ 情報セキュリティの平均月単価は89万円です。ただし､この金額はあくまで目安であり､個々人のご経験やスキルなどでも変わってきます｡ 出典: freelance.levtech.jp

ただしこれは常駐や週稼働を前提にした金額で、合格したばかりの人が週末だけ動いて届く数字ではありません。ここを取り違えると、最初の見積もりで相手が黙る原因になります。現実的な入口の水準は後半で扱います。

準備1 自分の合格が何を証明しているかを一文にする

提案文で最も効かないのは「情報セキュリティマネジメント試験に合格しています」だけの書き方です。発注する側の多くは、この試験がどの範囲を扱うのかを知りません。知らない資格名は、相手にとって判断材料になりません。

効くのは、資格名ではなく「この試験の範囲で、あなたの困りごとのここが読める」という翻訳です。たとえば次のように置き換えます。

資格名のままの言い方	依頼者に届く言い方
SGに合格しています	取引先から届く情報セキュリティチェックシートの設問の意図を読み、社内の実態に合う回答案を作れます
情報セキュリティの知識があります	規程がない状態から、社内で運用できる粒度のテレワーク規程の骨子を作れます
リスク管理を学びました	事故が起きたときに誰が何分以内に何をするかを、連絡先まで含めた1枚の手順書にできます

この翻訳を3本用意しておくと、案件ごとの提案文が使い回せるようになります。試験区分そのものは制度として国が実施しているものなので、公式の説明ページを提案文に添えておくと、相手が調べる手間も省けます。情報処理技術者試験の制度は情報処理推進機構が運営しています。

準備2 名乗ってよい範囲を先に確認する

ここが最も事故が起きやすいところです。名乗り方を間違えると、仕事以前の問題になります。

情報処理技術者試験の合格は、試験に受かったという事実を示すものです。合格者が特定の業務を独占的に行える制度ではありません。一方で、情報処理安全確保支援士は情報処理の促進に関する法律に基づく登録制度で、登録した人だけが名乗れる名称が定められています。同じ情報セキュリティ分野の試験でも、この2つは制度上の位置づけが違います。プロフィールでどの名称を使ってよいかは、必ず制度の一次情報で確認してください。紛らわしい名乗り方をしていると、それだけで信用を失います。

もう1つ、業務の中身の線引きがあります。相談を受けるうちに、依頼者から「ついでにこの書類も作ってほしい」と頼まれることがあります。官公庁に提出する許認可の書類作成は行政書士法が定める領域に関わり、報酬を得て他人の依頼で作成することには制限があります。契約書の内容について法的な判断を示すことは弁護士法が関わります。どこからが専門職の領域なのかは、依頼の中身によって変わります。当サイトの行政書士の資格ガイドには、この資格が扱う業務の範囲がまとまっているので、自分が受けようとしている作業がそちらに寄っていないかを確認する材料になります。判断に迷う依頼が来たら、断定して引き受ける前に、その分野の有資格者へ確認を取ってください。

書いてよい範囲を自分で決めておくと、断るときに気まずくなりません。「規程の文案は作りますが、法的に有効かどうかの判断は弁護士の先生に確認をお願いします」と最初に伝えておけば、後から揉めません。

準備3 契約で先に決めておくこと

情報を扱う仕事は、成果物が目に見えにくいぶん、認識のずれが揉めごとに直結します。着手前に文書で決めておく項目は次の通りです。

・成果物の形式と分量（規程なら章立てと想定ページ数、点検表なら設問数） ・修正の回数（何回までが料金内か） ・受け取る情報の範囲と、預かったデータの返却または削除の時期 ・秘密保持の期間と、再委託の可否 ・報酬額と支払期日 ・作業に使う端末や保管場所の条件

このうち秘密保持は、相手から出てくる雛形をそのまま受けると、期間が無期限だったり、損害賠償の上限が定められていなかったりします。読まずに押印しないでください。

支払いの条件も先に決めます。フリーランスとして業務委託で受ける場合の基本は、発注者が給付を受領した日から起算して60日以内のできる限り短い期間内に報酬を支払うことと法律で定められています。この点はフリーランス保護新法として整理されているので、受注側も知っておくと、支払いが遅れたときに落ち着いて交渉できます。

業務委託の契約については「業務委託で副業をするには？始め方や注意点について解説！」の記事で詳しく解説しています。併せてご覧ください。 出典: freelance-hub.jp

契約の型そのものに慣れていない場合は、副業を始める側の一般的な流れをまとめた副業 始め方ガイド！星野ゆいが教える失敗しない4ステップとおすすめを先に読んでおくと、分野を問わず共通する部分が片付きます。

手順1 受ける仕事の型を3つに絞る

ここから実際の動き方に入ります。最初にやるのは、受ける仕事の型を絞ることです。何でもできますと書いた人には、何も依頼が来ません。

合格者が入りやすい型は、おおよそ次の6つに分かれます。

仕事の型	依頼される中身	在宅で完結するか
チェックシート回答支援	取引先から届いた情報セキュリティ調査票の回答案作成	完結する
規程・手順書の作成	情報セキュリティ基本方針、テレワーク規程、持ち出し手順	完結する
社内教育の資料作成	標的型メール訓練の教材、新人向けスライド、eラーニング原稿	完結する
記事・監修	セキュリティ分野の解説記事の執筆、他者原稿の内容確認	完結する
認証取得の下支え	ISMSやプライバシーマークの文書整備の一部	一部は打ち合わせが要る
相談対応	事故が起きたときの初動の相談、社内の疑問への回答	完結する

この中から、自分の本業で触れたことがある領域を2つ、触れたことはないが読めば書ける領域を1つ選びます。3つに絞ると、提案文の質が一気に上がります。絞るときの基準は、好きかどうかではなく「相手の質問に、その場で答えられるか」です。答えに詰まる領域を看板にすると、打ち合わせで崩れます。

逆に、最初は避けたほうがよい型もあります。脆弱性診断や侵入テストは、対象への許可の取り方を含めて実務の作法があり、範囲を超えた通信を行うと不正アクセス禁止法に関わります。事故が起きた直後の対応も、証拠の保全を誤ると後の調査ができなくなるため、経験のある人と組む形以外では受けないほうが安全です。受けない領域を決めておくことも、始め方の一部です。

手順2 見せるものを作る

実績がないうちは、作ったものを見せるしかありません。守秘義務があるので実案件は出せませんが、次のような架空の題材で作った成果物なら公開できます。

・従業員20名の設計事務所を想定したテレワーク規程（4ページ） ・取引先から届く調査票を想定した、設問30問の回答例と根拠のメモ ・標的型メール訓練の実施要領と、訓練後に配る解説スライド10枚

大事なのは、量ではなく粒度です。中小企業が実際に運用できる粒度かどうかで判断されます。大企業向けの分厚い規程をそのまま縮めたものは、現場で回らないので嫌われます。

書く仕事を含めるなら、文章そのものの単価水準も知っておくと値付けの参考になります。当サイトの著述家，記者，編集者の年収・単価相場に、書き手の報酬がどのあたりに分布しているかがまとまっています。

手順3 本業の規定と、届出まわりを片付ける

会社員として働きながら始めるなら、就業規則の副業に関する条項を先に読んでください。届出制なのか、許可制なのか、競業の扱いはどうか。特に情報セキュリティの分野は、本業と同じ業界の会社を支援すると競業に触れる可能性があります。

税務面では、副業の所得が年間20万円を超えると確定申告が必要になるのが原則です。要件は状況で変わるので、国税庁の案内で自分の場合を確認してください。開業届を出すかどうかは、継続して受けるかどうかで判断が変わります。年に数件なら急ぎません。

手順4 探し始める

準備が終わってから探します。探し先は大きく3つです。

エージェント経由は単価が高い代わりに、実務経験を求められます。この点は各社がはっきり書いています。

副業エージェントで高単価の案件を紹介してもらうには、ある程度の実績や実務経験が求められます。 一方で、実務経験が浅いと案件を紹介してもらいにくいので注意しましょう。 出典: freelance-hub.jp

在宅の仕事を扱うサイトは、単発で小さい依頼が出ます。最初の実績を作る場所としてはこちらが向いています。3つ目は、知り合いの会社からの直接の依頼です。合格したことを周囲に伝えておくと、半年ほど経ったころに「うちの会社で困っている」と声がかかることがあります。

キャリアや働き方の相談そのものを仕事にする道もあります。相談を受ける形の仕事がどう成立しているかはキャリア・副業・人生相談のお仕事が参考になります。相談の受け方、時間の区切り方、料金の提示の仕方は、分野が違っても構造が同じです。

手順5 初回の提案文を書く

提案文で書くのは次の4点だけです。長い自己紹介は読まれません。

1. 依頼文のどこを読んで、何が課題だと理解したか（2文）
2. その課題に対して、何をどの順番で出すか（3文）
3. 出せる期日と、修正の回数（1文）
4. 見せられる成果物のリンク（1行）

資格名は3の後ろに1行だけ添えます。先頭に置くと、資格を知らない相手には読み飛ばされます。

手順6 最初の値付けを間違えない

合格したばかりの段階で、月額の大きな数字を提示しても通りません。入口は、成果物ごとの単価で受けるのが現実的です。目安として、規程1本の作成で3万円前後から、チェックシートの回答支援で2万円前後から、教育資料1式で5万円前後からという形で提示している人が多く見られます。

安く受けすぎるのも危険です。情報を預かる仕事は、事故が起きたときの負担が大きいのに、単価を下げると割に合いません。時間で割って、自分の時給が本業を大きく下回るなら、その依頼は受けない判断が要ります。開発寄りの仕事も並行して受けるつもりなら、ソフトウェア作成者の年収・単価相場で近い職種の水準を見ておくと、値付けの物差しが増えます。

手順7 納品と、そのあと

納品時に必ずやることが2つあります。1つは、預かったデータの削除または返却を実行し、その旨を文面で伝えること。もう1つは、成果物をそのまま実績にできる形にしておくことです。公開できないなら、依頼者の許可を取って「従業員規模」「業種」「作ったものの種類」だけを書ける形にしてもらいます。この3項目があるだけで、次の提案文の説得力が変わります。

継続につなげたいなら、納品から1か月後に一度だけ連絡を入れて、運用してみて困っていることがないかを聞きます。ここで出てきた困りごとが、次の依頼になります。

型ごとに、最初の1件をどう取るか

3つに絞った型ごとに、最初の依頼を取るまでの入り方が違います。よく選ばれる型について、実際に何を用意して、どう提案すると通りやすいのかを分けて書きます。

チェックシートの回答支援は、最も入りやすい型です。取引先から届く調査票は、設問の言い回しが業界の標準に寄っているので、初見でも読めます。用意するのは、代表的な設問30問ほどについて「この設問は何を確かめたいのか」を1行で書いた対応表です。提案文では「回答を代筆します」ではなく「設問の意図を訳して、御社の実態に合う回答案を作り、社内で決めないといけない箇所だけ印を付けて返します」と書きます。丸投げできると誤解させると、後で必ず揉めます。

規程や手順書の作成は、単価が上がりやすい型です。ただし、雛形をそのまま出すと見抜かれます。用意するのは、従業員規模別に「この規模なら、この条項は要らない」と削った版です。10名の会社に大企業向けの規程を渡しても、誰も読まないまま棚に入ります。削る判断ができることが、この型での差になります。

社内教育の資料作成は、継続に化けやすい型です。年に1回の実施が定着している会社が多いので、初年度に作った資料の翌年の差し替えが依頼として戻ってきます。用意するのは、スライドではなく「実施要領」です。誰がいつ配って、いつ集計して、結果を誰に報告するのか。運用の段取りまで書ける人は多くありません。

記事や監修の型は、書ける人が受けます。既存の原稿を読んで、事実として誤っている箇所と、断定しすぎている箇所を指摘する仕事です。この型は成果物が短く、時間あたりの単価が安定しやすい一方で、名前を出す形になると責任も伴います。名前を出すかどうかは、契約前に決めてください。

最初の打ち合わせで必ず聞く7つのこと

受注が決まりそうになったら、着手前に短い打ち合わせを入れます。オンラインで30分あれば足ります。ここで聞くことを決めておくと、見積もりの精度が上がり、後から範囲が膨らむのを防げます。

1. その文書や回答は、誰に見せるために必要なのか（取引先か、監査か、社内か）
2. 期限はいつで、その期限は何で決まっているのか（取引先の締切なら動かせません）
3. 社内に、決裁できる人と、実態を知っている人がそれぞれ誰なのか
4. 既にある文書はあるか。あるなら、いつ作られて、誰が運用しているのか
5. 従業員の人数と、テレワークの有無、私物端末の使用の有無
6. 預けられる情報の範囲と、渡し方（メール添付は避けたいと申し出るのが安全です）
7. 今回で終わりか、継続を見込んでいるか

4番目の質問は特に効きます。既にある文書が出てくれば、ゼロから書く必要がなくなり、作業量が半分になることもあります。逆に「あるはずだが、どこにあるか分からない」と言われたら、探すところから工数に入れてください。

5番目は、規程の分量を決める材料です。従業員10名と300名では、要る条項も、運用に耐える書き方も違います。

自分側の作業環境を先に整える

情報を扱う仕事は、成果物より先に、扱い方を見られます。次の項目は、依頼を受ける前に整えておいてください。相手から聞かれてから慌てると、それだけで信用を落とします。

・作業に使う端末を家族と共用しない。共用しかできないなら、専用のアカウントを分ける ・端末の暗号化と自動ロックを有効にする。ロックまでの時間は5分以内に設定する ・預かったファイルの置き場所を1か所に決め、案件ごとにフォルダを分ける ・クラウドに置く場合は、共有リンクの発行を止め、共有相手を個別に指定する ・パスワードは使い回さず、管理用の仕組みを使う。多要素認証は必ず有効にする ・作業が終わったら、削除の日付を自分の記録に残す

これは相手を守るためであると同時に、自分を守るためでもあります。万一の事故が起きたとき、決められた手順で扱っていた記録が残っているかどうかで、その後の話が変わります。

もう1つ、生成AIの使い方も先に決めてください。預かった規程や顧客情報をそのまま外部のサービスに入力してよいかは、契約に書かれていることがあります。書かれていない場合は、着手前に確認します。「便利だから使いました」は、この分野では通りません。

つまずきやすいところと、その手当て

始めた人が止まる場所は、だいたい決まっています。

依頼が来ない場合、原因の多くは提案文の先頭にあります。資格名から始まっている提案文は読まれません。依頼文の中の言葉をそのまま拾って「御社が困っているのは、おそらく取引先から届いた調査票の設問3割ほどが自社の状況に当てはまらないことですね」と書き出すと、返信率が変わります。

見積もりで止まる場合、範囲が曖昧なまま金額だけを出しているのが原因です。「規程作成一式」ではなく「基本方針1本、テレワーク規程1本、持ち出し手順1本、修正2回まで、初稿は10営業日」と書きます。範囲が見えると、相手は社内で承認を取れます。

途中で膨らむ場合、追加の依頼を無料で受けてしまっています。範囲外の依頼が来たら、その場で断らなくて構いません。「それも対応できます。追加分として別途お見積もりします」と返すだけで、関係を壊さずに線が引けます。

続かない場合、単価が低すぎることが多いです。時間で割って本業の時給を大きく下回るなら、その依頼は続けても消耗するだけです。値上げが言い出しにくいなら、次の依頼から新しい料金表を出す形にします。

3か月の進め方の目安

会社員として本業を持ちながら始める場合の、現実的な進み方を並べます。

時期	やること	目安の時間
1か月目	型を3つに絞る、見せる成果物を2点作る、就業規則を確認する	週4時間
2か月目	プロフィールを整える、提案を週3件出す、契約書の雛形を用意する	週5時間
3か月目	初回案件の受注と納品、実績の書き方を依頼者と決める	週8時間

提案を出し始めてから初回受注までは、10件前後の提案が必要になることが多いです。最初の数件で返事が来なくても、それが普通です。提案文の型が固まると、1件あたりにかかる時間が20分ほどに縮みます。

当サイトのデータから見えること

当サイトで在宅の依頼を見ていると、情報セキュリティ分野の依頼には共通した特徴があります。

第一に、依頼文が短いことです。「セキュリティのチェックシートに答えられる人」「規程を作れる人」といった数行で終わっているものが目立ちます。これは発注側が何を頼めばいいのか自分でも分かっていないためで、逆に言えば、提案文で「おそらくこういう状況ですね」と言い当てられると一気に決まります。

第二に、単発で終わらず継続に化けやすいことです。規程を1本作った会社は、翌年に見直しが必要になり、教育資料も要るようになります。最初の1件を丁寧にやることの見返りが、他の分野より大きい領域です。

第三に、依頼が集中する時期があることです。取引先からの調査票は年度の変わり目に届くことが多く、教育の実施は上半期と下半期の区切りに寄ります。認証の更新審査は取得月に紐づくので通年で散らばりますが、更新の3か月前から準備の相談が増えます。本業を持ちながら受けるなら、この山を避けて予定を組むか、山の時期だけ受注を絞るかを決めておくと、無理な引き受けをしなくて済みます。

第四に、対応できる人が単純に少ないことです。手を動かす技術者は多くても、管理する側の文書を書ける人は多くありません。合格して間もなくても、文章が書けるならそこが差になります。文章力そのものを伸ばしたいなら、書く仕事の入口をまとめたフリーランス 英語 案件 未経験 始め方！2026年最新の海外副業術のような、別分野の入口記事の構成が参考になります。どの分野でも、実績の見せ方と提案文の型は共通しています。

新しい道具の扱いも、依頼のきっかけになります。社内で生成AIを使い始めた会社が、入力してよい情報の線引きを決められずに止まっている、という相談は増えています。この領域は制度も社内規程も追いついていないので、整理して書ける人が重宝されます。道具の側から入りたい場合はAI 始め方ガイド！初心者が仕事や副業でAIを使いこなす5ステップが入口になります。

最後に、始める前の心構えを1つだけ。この分野は、断る判断ができる人が長く続きます。分からないことを分からないと言い、専門職の領域には踏み込まず、預かった情報を確実に消す。地味ですが、それができる人にしか二度目は来ません。法律も契約も、あなたを縛るものではなく、あなたを守るものとして使ってください。

よくある質問

Q. 情報セキュリティマネジメント試験に合格しただけで、副業は受けられますか？

受けられる仕事はあります。規程や手順書の作成、社内教育資料の作成、取引先から届くチェックシートの回答支援などは、合格者の知識の範囲で対応できます。一方、脆弱性診断やインシデント対応の実作業は実務経験を求められることがほとんどです。入口は文書を作る仕事に絞るのが現実的です。

Q. 最初の報酬はどのくらいで提示すればよいですか？

成果物ごとの単価で提示するのが現実的です。規程1本で3万円前後、チェックシート回答支援で2万円前後、教育資料1式で5万円前後から提示している例が多く見られます。月額の大きな金額は常駐や週稼働を前提にした水準なので、週末だけの稼働で同じ数字を出すと話が止まります。

Q. 実績がまったくない状態で、何を見せればよいですか？

架空の題材で作った成果物で構いません。従業員20名規模の会社を想定したテレワーク規程、設問30問の調査票の回答例、標的型メール訓練の実施要領などです。大企業向けの分厚い文書ではなく、中小企業がそのまま運用できる粒度で作ることが評価されます。

Q. 依頼者から書類作成や契約の相談まで頼まれたらどうすればよいですか？

引き受ける前に、その作業が専門職の領域に入っていないかを確認してください。官公庁に提出する許認可書類の作成は行政書士法、契約内容の法的判断は弁護士法が関わります。最初の打ち合わせで「文案は作るが法的な判断は有資格者に確認をお願いする」と伝えておくと、後の行き違いを防げます。