情報セキュリティマネジメントの実務経験なしで受けられるか

情報セキュリティマネジメント試験に合格したのに、案件の募集要項を見ると「実務経験3年以上」と書いてある。自分は資格を取っただけで、現場で手を動かした経験はない。ここで止まってしまう方が、とても多いです。せっかく勉強したのに、と落ち込む気持ちもよく分かります。

でも、大丈夫です。この分野の仕事は、経験を求められるものと、そうでないものが、はっきり分かれています。分かれ方には理由があって、その理由が分かると、自分が今どこから入れるのかが見えてきます。

先にお伝えしておくと、線を引いているのは「実装と判断」か「読み書きと整理」かです。システムに触って設定を変える仕事、事故が起きた直後に何をするか決める仕事には、経験が要ります。一方で、文書を読んで整える仕事、設問の意図を訳して回答案を作る仕事、教育の資料を作る仕事は、試験で学んだ範囲の知識が土台になります。この記事では、その線をできるだけ具体的に引いていきます。

「実務経験」という言葉が、何を指しているのか

募集要項の「実務経験」は、実はいくつもの違うものをまとめて呼んでいます。ここをほどいておくと、自分に足りないものがはっきりします。

ひとつ目は、システムに触った経験です。ファイアウォールの設定、アクセス権限の設計、ログの監視。これは資格の勉強では代わりになりません。触ったことがあるかどうかで、できることが決まります。

ふたつ目は、組織の中で決めごとを回した経験です。規程を作って、社内に説明して、運用してみたら現場から反発が出て、直した。この往復の経験は、文書を書く仕事に直結します。総務や情報システムの部署にいた方なら、思っているより持っています。

みっつ目は、事故の経験です。実際に情報が漏れた、あるいは漏れかけたときに、誰が何をしたのか。これは経験した人にしか語れません。

よっつ目は、業界の言葉に慣れているかどうかです。監査、内部統制、委託先管理といった言葉が飛び交う場にいたことがあるか。これは、金融や医療、製造の現場にいた方なら、セキュリティの担当でなくても持っていることがあります。

自分に足りないのがどれなのかを分けて見ると、「経験ゼロ」ではないことに気づく方が多いです。特にふたつ目とよっつ目は、セキュリティの仕事をしていなくても積まれていることがあります。

案件の紹介サービスが求めているのは、主にひとつ目とみっつ目です。

セキュリティエンジニアとして副業をするにあたり、セキュリティ施策の立案や実装の経験は重要です。受注できる案件には、実務経験の有無が大きく影響します。 出典: freelance-hub.jp

つまり、実装の経験がない状態でエージェント経由の高単価案件を狙うのは、遠回りになります。そこは目指す場所ではなく、後から届く場所だと考えてください。

実務経験が浅くても受けられる仕事

では、今の状態で受けられるのは何か。実際に在宅の依頼として出ているもののうち、試験で学んだ知識が土台になり、経験の不足が致命傷にならない仕事を挙げます。

取引先から届く調査票の回答支援は、最も入りやすい仕事です。設問の言い回しは業界の標準に寄っているので、試験の範囲を理解していれば読めます。この仕事で求められるのは、設問の意図を依頼者に訳して伝えることと、社内で確認しないと答えられない箇所に印をつけて返すことです。手を動かして設定を変える必要はありません。

社内向けの規程や手順書の下書きも、受けられます。ここで大事なのは、完成品を独りで仕上げると思わないことです。下書きを作り、決めなければいけない箇所を空欄にして、選択肢を添える。決めるのは依頼者です。この形なら、実装の経験がなくても価値が出せます。

社内教育の資料作成も向いています。標的型メールの見分け方、パスワードの扱い、私物端末の持ち込み。従業員に伝える内容は、試験で学んだ範囲とほとんど重なります。むしろ、現場を長くやっている人ほど専門的になりすぎて伝わらないことがあるので、学んだばかりの人のほうが分かりやすい資料を作れることがあります。

記事の執筆や、他の人が書いた原稿の内容確認も選べます。文章が書けることが条件になりますが、書ける方なら実績を作りやすい入口です。書く仕事全般の始め方はデータ入力・文字起こしの副業は稼げる？在宅ワークの始め方と相場のような、在宅の作業系の記事にも共通の流れがまとまっています。

用語集や社内向けの説明資料の整備も、依頼として出ます。専門用語を社内の言葉に訳す作業です。これは学んだばかりの人のほうが、どこが分からないのかを覚えているぶん、うまくいきます。

もうひとつ、意外に見落とされているのが、既存文書の棚卸しです。何年も前に作った規程があるけれど、今の働き方と合っているか誰も見ていない。こういう会社はとても多いです。現行の文書を読んで、実態と食い違っている箇所を一覧にする作業は、判断を伴わないので受けやすく、そのまま改定の依頼につながります。読む力が中心になる仕事なので、試験の勉強がそのまま生きます。

委託先の管理に関する資料作りも同じです。外注先にどんな情報を渡していて、契約にどう書かれているかを整理する。表を作る作業に近いので、経験の浅さが表に出にくい仕事です。

実務経験を求められる仕事

逆に、今は受けないほうがよい仕事もあります。断る判断ができることは、弱さではなく、この分野で長く続けるための力です。

脆弱性診断や侵入テストは、経験が要ります。対象の範囲を書面で確認し、許可を取ってから実施する作法があり、範囲を超えた通信を行うと不正アクセス禁止法に関わります。手順を知らないまま受けると、依頼者にも自分にも危険が及びます。

事故が起きた直後の対応も、避けてください。何を残し、何を止め、誰にいつ知らせるか。判断の順番を誤ると、後の調査ができなくなります。この領域は、経験のある人と組む形以外では受けないのが安全です。

システムの設定変更や、機器の導入も同じです。手を動かす仕事は、動かしたことがある人がやるべきです。

認証取得の全体をまとめる役割も、初期には重すぎます。審査の場で説明を求められたときに答えられる人が必要だからです。ただし、文書整備の一部を担当する形なら入れます。全部を引き受けるか何もしないかではなく、部分で入る道を探してください。

法律の判断が中心になる依頼も、線を引きます。契約書の内容が法的に有効かどうかを述べることは弁護士法が関わり、官公庁に提出する許認可の書類を報酬を得て作成することは行政書士法が関わります。どこからが専門職の領域なのかは依頼の中身で変わりますので、迷ったら引き受ける前に有資格者へ確認してください。当サイトの行政書士の資格ガイドに、その資格が扱う業務の範囲がまとまっています。自分が受けようとしている作業がそちらに寄っていないかを見る材料になります。

境界線の上にある仕事は、条件で受けられる

はっきり分けられない仕事もあります。この場合は、条件を付けて受ける形にすると成立します。

たとえば、ISMSの内部監査の補助。監査そのものを主導するのは経験が要りますが、チェックリストの作成や、証跡の整理を手伝う形なら受けられます。「監査員としてではなく、資料の整備を担当します」と役割を書き分けてください。

クラウドサービスの設定の確認も、境界線上です。設定を変更するのではなく、公開されている推奨設定と現状を突き合わせて一覧にする作業なら、経験が浅くてもできます。変更は依頼者側で行ってもらう形にします。

生成AIの社内利用のルール作りも、近い形です。技術の細部より、入力してよい情報の線引きと、承認の流れを決めることが中心になります。制度が新しいぶん、経験の長さが差になりにくい領域です。

いずれの場合も、自分がやる範囲とやらない範囲を、契約前に文書で分けておくこと。これがあるだけで、後の行き違いがなくなります。

線引きを一覧にしておく

ここまでの内容を、判断に使える形にまとめます。迷ったときに、この表に当てはめてみてください。

仕事の中身	経験が浅くても受けられるか	判断の理由
取引先の調査票の回答支援	受けられる	設問の読み解きが中心で、実装を伴わない
規程や手順書の下書き	受けられる	決めるのは依頼者で、選択肢を示す役割になる
社内教育の資料作成	受けられる	伝える内容が試験の範囲と重なる
用語や制度の説明資料の整備	受けられる	分からない側の視点が生きる
記事の執筆	受けられる	文章力が主な条件になる
内部監査の資料整備の補助	条件つきで受けられる	監査の主導ではなく整備に限る
クラウドの設定の突き合わせ	条件つきで受けられる	変更は依頼者側で行う前提にする
認証取得の全体の取りまとめ	難しい	審査の場での説明責任が伴う
システムの設定変更や機器の導入	受けない	手を動かした経験が前提になる
脆弱性診断や侵入テスト	受けない	範囲の確認と許可の作法が必要
事故が起きた直後の対応	受けない	判断の順序を誤ると復旧が難しくなる
契約や許認可の法的な判断	受けない	専門職の領域に関わる

この表で「条件つき」に入るものは、役割を書き分ければ成立します。「監査員としてではなく資料の整備を担当します」「設定の変更は御社側でお願いします」。この一行を契約に入れるだけで、受けられる仕事が増えます。

打ち合わせで経験を聞かれたときの答え方

受注前の打ち合わせで、必ず一度は聞かれます。「これまでどんな案件をされてきましたか」。ここで固まってしまう方が多いので、答え方を用意しておきましょう。

答えは3つの部分で組み立てます。まず、今回の依頼に関係のある経験を先に言う。次に、経験がない領域を正直に言う。最後に、その領域をどう埋めるかを言う。

具体的にはこうなります。「規程の整備は、本業で総務の立場から社内文書の改定に関わってきました。システムの設定を変更する作業は経験がありませんので、今回は文書の作成までを担当し、設定の変更が必要な箇所は一覧にしてお渡しします」。

これだけです。長く話す必要はありません。むしろ、経験を大きく見せようとして話が長くなると、相手は不安になります。

聞かれていないのに「まだ実績が少なくて」と自分から言うのも避けてください。相手は不安になるだけで、誰の得にもなりません。聞かれたら答える。それで十分です。

経験が浅い時期にやりがちなこと

同じところでつまずく方が多いので、先にお伝えしておきます。

まず、できると言い切ってしまうこと。相手を安心させたい気持ちから出るのですが、後で必ず苦しくなります。分からないことは「持ち帰って確認します」と言ってかまいません。その場で嘘をつくより、翌日に正確な答えを返すほうが、はるかに信頼されます。

次に、資格をもっと増やそうとすること。不安を埋めるために次の試験に向かうと、実は動き出しが遅れます。持っている合格を1つ使えるようにするほうが、依頼には近づきます。

3つ目は、無料で受けてしまうこと。実績が欲しいからと無償で引き受けると、その相手からは次も無償を期待されます。金額を下げるにしても、必ず有償にしてください。小さくても対価があると、相手の扱いも変わります。

4つ目は、範囲を決めずに始めること。経験が浅いうちは断りにくいので、依頼がどんどん膨らみます。着手前に、作るものと修正回数を紙に書いて共有してください。これは自分を守る道具です。

5つ目は、比べすぎることです。同じ試験に合格した人が、もう継続契約を持っている。そんな話を見ると焦ります。でも、その人は本業でシステムに触れていたのかもしれません。前提が違う人と比べても、消耗するだけです。見るべきなのは、先月の自分だけで十分です。

半年後に、何が変わっているか

本業を持ちながら進める場合の、現実的な進み方を並べておきます。

最初の1か月は、見せられる成果物を2点作ります。この期間に案件を探し始めなくてかまいません。手ぶらで探すと、断られる経験ばかりが積み上がって、気持ちが折れます。

2か月目から3か月目は、提案を出しながら、本業の中でセキュリティに関わる作業に手を挙げます。この2つを並行させると、提案に書ける材料が毎月増えていきます。

4か月目あたりで、1件目が決まることが多いです。ここで大事なのは、金額ではなく、納品まで行くこと。範囲が明確で、期限に余裕のある依頼を選んでください。

5か月目から6か月目で、同じ種類の依頼を2件目、3件目と受けます。同じものを繰り返すと、作業時間が短くなり、質問への即答ができるようになります。

半年経つと、提案文に書ける実績が3行になります。この3行があると、経験年数を聞かれる回数が明らかに減ります。この分野で最初の壁は、経験そのものではなく、書けることが何もない期間の長さです。そこを短くする工夫が、いちばん効きます。

経験が浅いことは、隠さずに書く

ご相談の中でいちばん多い迷いが、これです。経験が浅いことを書くと選ばれないのではないか、と。

結論から言うと、隠すほうが危険です。打ち合わせで質問されたときに答えられず、そこで信用を失います。それより、書き方を変えてください。

「実務経験はありません」ではなく、「システムの設定変更を伴う作業は経験がないため、今回は文書の整備を担当します」と書きます。できないことを書いているようで、実は「ここはできます」と言っています。

もうひとつ、事実で語ることです。「勉強しました」ではなく「この試験の範囲で、調査票の設問の意図は読めます」「規程の下書きを作った成果物をお見せできます」。事実は、経験年数より強い材料になります。

依頼する側が怖いのは、経験が浅いことではありません。できないことをできると言われることです。ここを外さなければ、経験の浅さは決定的な壁になりません。

プロフィールの書き方も、同じ考え方で整えます。冒頭に資格名だけを並べると、その資格を知らない相手には何も伝わりません。最初の2行に「何を作れるか」を書いて、その根拠として資格名を後ろに置く。順番を変えるだけで、読まれ方が変わります。

もうひとつ、対応できる時間帯と連絡の速さは、必ず書いてください。経験の浅い時期に選ばれる理由として、これは思っているより大きく効きます。平日の夜と週末に確実に返せるなら、それは相手にとって具体的な安心材料です。

経験の代わりになるものを3つ用意する

経験がない期間を埋めるのは、次の3つです。

ひとつ目は、見せられる成果物です。実案件は守秘義務で出せませんから、架空の題材で作ります。従業員20名の会社を想定したテレワーク規程、設問30問の調査票の回答例と根拠のメモ、標的型メール訓練の実施要領。この3点があると、経験年数の話をされにくくなります。中小企業がそのまま運用できる粒度で作ることが大事です。分厚ければよいわけではありません。

ふたつ目は、本業の周辺経験の翻訳です。総務で規程を回した、経理で委託先の管理をした、営業で取引先の調査票に答えた。セキュリティの担当でなくても、隣接する経験は必ずあります。それを「情報を扱う仕事の経験」として書き直します。

みっつ目は、調べて答えられる範囲を広げておくことです。制度は変わります。個人情報の扱い、電子帳簿の保存、テレワークの指針。最新の情報がどこにあるかを知っていて、聞かれたその日のうちに根拠つきで返せる人は、経験年数に関わらず頼りにされます。

短い期間で足場を作りたい方には、取れる資格を組み合わせる考え方もあります。1ヶ月で取れる副業に役立つ資格8選｜短期集中で即戦力になるに、短期間で取得できるものがまとまっています。ただし、資格を並べることが目的にならないように気をつけてください。増やすより、持っているものを1つ使えるようにするほうが、依頼には近づきます。

本業の中で、経験に換えられること

副業で経験を積む前に、本業の中で積めることがあります。これがいちばん確実で、そして急がなくて済む道です。

社内で情報セキュリティの担当を兼務させてもらう、取引先から届いた調査票の回答に手を挙げる、社内研修の資料作りを引き受ける。どれも、断られにくい申し出です。人手が足りていない領域だからです。

こうして本業で触れた経験は、そのまま副業の提案文に書けます。会社名を出さなくても、「従業員規模」「業種」「担当した作業」だけで十分伝わります。

紹介サービス側も、この順番を勧めています。

座学で身につけた知識だけではできる業務が限られてしまい、なかなか収入に結びつかない可能性があります。実務経験が浅いときは、先に本業で経験を積み、臨機応変に対応できるスキルを身につけてから副業を始めることがおすすめです。 出典: freelance-hub.jp

急いで外に出るより、まず社内で1回まわしてみる。その1回が、次の1年を楽にします。

最初の3件で、何を積むか

受けられる仕事から入るとして、最初の数件で何を残すかを決めておくと、後が変わります。

1件目は、小さくても完結させることを優先してください。金額より、納品まで行くことです。途中で止まった案件は実績になりません。範囲が明確で、期限に余裕があるものを選びます。

2件目は、依頼者の許可を取って、書ける実績の形を決めます。「従業員50名の製造業向けに、テレワーク規程を作成」。この一行があれば、次の提案が通りやすくなります。会社名は出さなくてかまいません。

3件目は、1件目と同じ種類の仕事を選びます。同じものを繰り返すと、時間が短くなり、質問への即答ができるようになります。ここで初めて、時間あたりの報酬が上がります。

3件を終えるまでの期間は、本業を持ちながらなら6か月ほどを見ておくと無理がありません。焦って並行して受けると、どれも中途半端になります。

在宅の副業を始める順番そのものに迷いがあるときは、副業 始め方ガイド！星野ゆいが教える失敗しない4ステップとおすすめに、分野を問わない共通の流れがまとまっています。

高い単価の案件は、後から届く

案件紹介のサービスで公表されている水準を見ておきます。

フリーランスの求人・案件を探す フリーランス × 情報セキュリティの案件一覧 案件特徴から求人・案件を探す 副業・複業の案件一覧 その他の求人・案件を探す 情報セキュリティ案件のよくある質問 情報セキュリティ案件の月額単価相場はいくらぐらいですか？ 情報セキュリティの平均月単価は89万円です。ただし､この金額はあくまで目安であり､個々人のご経験やスキルなどでも変わってきます｡ 出典: freelance.levtech.jp

この数字は、週5日に近い稼働の専業向けです。実務経験を積んだ人が企業の中に入って手を動かす形の金額なので、今の段階で目標にすると、届かないことばかりが目につきます。

最初に見るべきは、1件2万円から5万円の単発です。そこから始めた人が、2年ほどで継続契約を持つようになる例が見られます。開発寄りの領域まで広げるつもりならソフトウェア作成者の年収・単価相場で近い職種の水準を、書く仕事を続けるなら著述家，記者，編集者の年収・単価相場を見ておくと、次に上がる階段が見えます。

経験の浅さが問題にならない場面を選ぶ

同じ依頼でも、状況によって経験を問われる度合いが変わります。選べる立場にあるなら、次の条件が揃っている依頼から入ってください。

期限に余裕がある依頼を選びます。急ぎの依頼は、聞きながら進む余地がありません。2週間以上の余裕があると、確認しながら進められます。

提出先が社内である依頼を選びます。取引先や監査に出す文書は、求められる精度が上がります。まずは社内で使う下書きから入るほうが安全です。

依頼者に、社内の実態を知っている人がいる依頼を選びます。丸投げされる依頼は、一見自由に見えますが、実は難しいものです。決めてくれる人がいると、経験の不足を相手の知識で補えます。

すでに前の版がある依頼を選びます。ゼロから作るより、既存の文書を読んで直すほうが、はるかに取り組みやすくなります。前の版は、その会社の実態を教えてくれる資料でもあります。

逆に、この4つが全部欠けている依頼は、経験のある人でも苦労します。断ることは、能力の問題ではありません。

当サイトのデータから見えること

当サイトに出ている在宅の依頼を見ていると、この分野には、経験の浅い人にとって追い風になる特徴があります。

ひとつは、依頼文に経験年数が書かれていないものが多いことです。「セキュリティのチェックシートに答えられる方」「規程を作れる方」といった短い依頼文が目立ちます。発注する側も、何年の経験が必要なのかを決めかねているためです。この場合、提案文で「今回の作業に必要なのはこの範囲ですね」と示せると、経験年数の話にならないまま決まることがあります。

もうひとつは、丁寧さが評価されやすいことです。情報を扱う仕事なので、預かったデータの扱い方、削除の報告、連絡の速さが見られています。ここは経験に関係なく、今日から自分で決められる部分です。

どんな依頼が実際に出ているのかは、当サイトのAI・マーケティング・セキュリティのお仕事にまとまっています。相談を受ける形の仕事に興味があればキャリア・副業・人生相談のお仕事も、時間の区切り方や料金の考え方の参考になります。

最後に、ひとつだけ。経験がないことを、ずっと引け目に感じ続ける必要はありません。経験は、受けた仕事の数だけ増えていきます。今できることから1件受ければ、来月のあなたは経験のある人です。焦らず、断るべきものは断って、できる範囲から始めてください。それがいちばん、遠くまで行ける道です。

よくある質問

Q. 情報セキュリティマネジメントに合格しただけで、在宅の仕事は受けられますか？

受けられる仕事はあります。取引先から届く調査票の回答支援、社内規程や手順書の下書き、社内教育の資料作成、記事の執筆などは、試験で学んだ範囲の知識が土台になります。一方、脆弱性診断や事故が起きた直後の対応、システムの設定変更は経験が求められるため、初期は避けたほうが安全です。

Q. 募集要項の「実務経験3年以上」は、必ず満たす必要がありますか？

その条件が付いている案件の多くは、システムに触る作業や事故対応を含んでいます。文書の整備や教育資料の作成が中心の依頼では、経験年数が書かれていないものも多く見られます。狙う案件の種類を変えるほうが、経験年数を埋めようとするより早く受注に届きます。

Q. 経験が浅いことは、提案文に書くべきですか？

書いたほうが安全です。ただし「経験がありません」ではなく「設定変更を伴う作業は経験がないため、今回は文書の整備を担当します」と、できる範囲を示す形にします。隠して受けると打ち合わせで答えられず、そこで信用を失います。

Q. 経験の代わりになるものは何ですか？

架空の題材で作った成果物、本業で積んだ隣接する経験、そして制度の最新情報を根拠つきで返せることの3つです。特に成果物は、従業員20名規模を想定した規程や、設問30問の回答例など、中小企業がそのまま運用できる粒度で作ると評価されます。