RY consulting　SES請求事務代行

サービスの詳細 15分で相談する

セキュリティ案件の需要と単価、SES会社が見直す値付けと情報管理

小松 明子（RY consulting 代表）・2026年10月25日

セキュリティ案件とは

セキュリティ案件とは、企業や官公庁のシステムをサイバー攻撃や情報漏えいから守るための仕事を、外部のエンジニアに任せる案件のことです。守る仕組みを考える上流の仕事（方針づくり・要件定義・設計）から、仕組みを入れる構築、弱いところを探す診断、毎日の監視と事故が起きたときの対応まで、幅はかなり広くなります。

この仕事を担う人をセキュリティエンジニアと呼びます。システムエンジニアやインフラエンジニアが「動くもの」をつくるのに対して、セキュリティエンジニアは「止められない・盗まれない」状態をつくる役目を持ち、ネットワーク・サーバー・アプリケーションのどこか一つではなく、全体を横から見ることが求められます。SESの現場では、インフラやアプリの開発要員として入った人がセキュリティの対応も兼ねている、という形もよくあります。

セキュリティエンジニアの需要が増えている理由

需要が増えている理由は、守らなければならないものが増えたことと、攻撃の側が速くなったことの両方にあります。業務システムの多くがクラウドに移り、社外から社内のシステムにつながる働き方が当たり前になったことで、以前のように「社内ネットワークの入口を固めれば足りる」状態ではなくなりました。取引先や委託先を経由して侵入される例もあり、自社だけでなく取引のつながり全体で対策を問われるようになっています。

もう一つの理由は、広く使われているソフトに深刻な脆弱性が見つかったとき、対応できる人が社内に足りないことです。脆弱性の情報が出てから攻撃が始まるまでの時間は短く、修正版への更新、影響範囲の調査、一時的な遮断の判断を数日のうちに進める必要があります。こうした対応は普段の開発や運用の要員だけでは回らないため、外部のエンジニアに頼む案件として出てきます。

2026年10月のPHPの脆弱性（PHP2Shell）

最近の例が、2026年10月に公表されたPHPの脆弱性です。PHPはWebサイトや業務システムで広く使われているプログラミング言語で、IPA（情報処理推進機構）は10月21日に「PHPのセキュリティリリース公開予定」として事前準備を呼びかけ、翌22日に「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」を公開しています（出典：IPA）。

IPAによると、2つの脆弱性はそれぞれメモリ不足のエラー処理とリクエストの処理に関わるもので、悪用されると遠隔の第三者に任意のコードを実行される可能性があり、この組み合わせがPHP2shellと呼ばれています。深刻度を示すCVSS 4.0の基本値は、2件とも9.2（緊急）と公表されています（出典：窓の杜 2026年10月21日）。修正版はPHP 8.2.35、8.3.36、8.4.27、8.5.12で、PHP 8.1以前はサポートが終わっているため、サポートされている版への更新や移行を検討するよう求められています（出典：IPA）。

この件で現場に求められたのは、自社やお客様のどのシステムがどの版のPHPで動いているかを洗い出し、更新できるものは更新し、すぐに更新できないものは緩和策やアクセス制限、場合によってはサービスの一時停止まで判断することでした。IPAは、システムの役割や維持管理の体制を確認し、継続・移行・廃止を判断するという運用の見直しにも触れています（出典：IPA）。古い版のまま動き続けているシステムの棚卸しや移行は、数日で終わる話ではなく、その後の案件につながっていきます。クラウドフレアのプリンスCEOは、この脆弱性を狙った攻撃が「毎分数百万件」に上ったと話しています（出典：ブルームバーグ 2026年10月23日）。

セキュリティ人材の不足を示す公的データ

人材が足りないことは、国の資料でも数字で示されています。経済産業省の検討会が2025年5月にまとめた資料では、国内のセキュリティ人材が約11万人不足しているという民間調査（ISC2 Cybersecurity Workforce Study 2023）を引いたうえで、国家資格である登録セキスペ（情報処理安全確保支援士）を2030年までに5万人にする目標を掲げています（出典：経済産業省「サイバーセキュリティ人材の育成促進に向けた検討会 最終取りまとめ」2025年5月）。

項目数字出典
国内のセキュリティ人材の不足約11万人（民間調査）経済産業省 最終取りまとめ（2025年5月）、ISC2 Cybersecurity Workforce Study 2023
登録セキスペの登録者数26,424名（2026年10月1日時点）IPA「情報処理安全確保支援士登録者について」
登録セキスペの目標2030年までに5万人経済産業省 最終取りまとめ（2025年5月）
社内にセキュリティ対策の体制がない中小企業回答企業の70%経済産業省 最終取りまとめ（2025年5月）、中小企業実態調査
困ったときの相談先が特にない中小企業回答企業の51%同上
IT人材全体の不足（2030年の試算）約79万人経済産業省「IT人材の最新動向と将来推計に関する調査結果」（平成28年6月）

登録者数は目標の半分ほどで、同じ資料では、登録者数が2019年以降ほぼ横ばいであること、試験に受かった人の6割以上が登録していないことも書かれています（出典：経済産業省 最終取りまとめ）。登録者の平均年齢は44.5歳で、40代と50代を合わせると6割を超えます（出典：IPA 2026年10月1日時点）。経験を積んだ層に人が偏っているため、若手の育成が追いつくまでは、経験者の取り合いが続くと見たほうが現実的です。

セキュリティ案件の種類と求められるスキル・資格

セキュリティ案件は、仕事の段階ごとに大きく分けると次のようになります。同じ「セキュリティ案件」でも、上流の要件定義と、監視の運用とでは、求められる経験も契約の期間もかなり違います。

案件の種類主な仕事よく求められるスキル・知識
方針づくり・コンサルセキュリティポリシーや社内規程の策定、ISMSなど規格への対応、リスク評価規格・ガイドラインの知識（ISMS、NIST CSF、経済産業省「サイバーセキュリティ経営ガイドライン」など）、文書をまとめる力
要件定義・設計システムに必要な守りの要件を決め、ファイアウォール・認証・ログの仕組みを設計するネットワーク・サーバー・クラウドの設計経験、お客様の業務を聞き取る力
構築・クラウドの堅牢化機器やクラウドの設定、権限の設計、ゼロトラストの導入AWS・Azure・Google Cloud のセキュリティ機能、IAMの設計
脆弱性診断・ペネトレーションテストWebアプリやネットワークの弱いところを探し、報告書と対策をまとめるWebの攻撃手法（OWASP Top 10 など）、診断ツール、報告書を書く力
監視・運用（SOC）ログの監視、アラートの一次対応、パッチの適用SIEMやIDS/IPSの運用、ログの読み解き、交代勤務への対応
事故対応（CSIRT・フォレンジック）侵入や漏えいが起きたときの調査、封じ込め、再発防止OSやネットワークの深い知識、証拠を保全する手順

資格では、国家資格の情報処理安全確保支援士（登録セキスペ）がもっとも知られています。試験に受かったあと登録をした人が「登録セキスペ」として名乗れる資格で、経済産業省の資料では、資格の更新に3年間で少なくとも10万円以上がかかると整理されています（出典：経済産業省 最終取りまとめ）。そのほか、入口としての情報セキュリティマネジメント試験、海外の資格であるCISSP・CISM・CompTIA Security+、実技中心のOSCP、クラウドのセキュリティ資格がよく挙がります。

案件の募集では資格よりも実務経験が先に見られることが多く、「ファイアウォールやWAFの設計・運用をしたことがある」「診断の報告書を書いたことがある」「事故対応に関わったことがある」といった具体的な経験がスキルシートに書けるかどうかで、提案できる案件の幅が変わります。

セキュリティエンジニアの単価の考え方

セキュリティエンジニアの単価は、同じ経験年数でも案件の種類と工程で大きく変わります。監視や運用の案件より、要件定義・設計・診断・事故対応のように判断を任される仕事のほうが高くなりやすく、資格があっても実務の経験が伴わないと単価に結びつきにくい、という構造です。

出典のある数字では、フリーランス向け案件の検索サイト「フリーランスボード」に2024年2月から2026年7月までに掲載された案件24,353件を分析した調査で、セキュリティエンジニアの平均月額単価は81.4万円、案件全体に占める比率は4.06%とされています（出典：INSTANTROOM 調査、ITmedia @IT 2026年7月9日）。同じ調査では、リモートで働ける案件が8割を超えています。また、人材紹介会社ロバート・ハーフは、自社のデータとして、サイバーセキュリティエンジニアの年収を650万〜1,250万円としています（出典：ロバート・ハーフ）。

ただし、これはフリーランス向けの案件や正社員の年収の数字で、SESの会社が上位から受ける単価とは、商流の深さも契約の形も違います。SESの単価が商流の段ごとにどう変わるかは → SESの単価 と → SESの商流 で詳しく書いています。

SESの会社から見たセキュリティ案件

ここからは、SESの会社を経営する側の話です。

セキュリティの案件が増えている

セキュリティの案件が増えているという話は、社長の方からよく伺うお話です。業界の交流会でも、主催の方が「セキュリティの要件定義ができる人の案件がすごく増えている」と話していて、参加企業の自社紹介を聞いていても、セキュリティを打ち出す会社がいくつも並んでいたそうです。IT業界の顧問をされている方からも「今の引き合いはセキュリティとAIまわりが多い」という声を伺っています。

一方で、社内にセキュリティの経験者が1人しかいない、という会社も多くあります。案件の募集はあっても出せる人がいない状態なので、その1人をどの案件に、どの単価で出すかが会社の売上を大きく左右します。経験者が1人だけだと、その人が長く入っている現場が終わったときの次の案件探しも、社長が自分で抱えることになりがちです。

社内のセキュリティ経験者の値付けを見直す

セキュリティの経験がある人ほど、今の単価が「入ったときのまま」になっていないかを確かめておく価値があります。単価は入場のときに決まり、そのあと何年も据え置かれることが多いためです。

社長の方から伺ったお話では、もとは高い年収だった定年後のシニアの方が、月50万円ほどで決まった例がありました。条件としては本人も会社も納得のうえですが、経験の中身から見れば、もう少し高い単価で提案できた可能性もあります。別の会社では、給与に対して上位からの単価が月77万円の方について、セキュリティの経験を前に出せば月100万円でも通るのではないか、という見立てが出ていました。どちらも個別の例で、相場として言える数字ではありませんが、同じ人でも「何を前に出して提案するか」で単価の話が変わることはよくあります。

見直すときに確かめておきたいのは、次のような点です。

  • スキルシートに、セキュリティの経験が「インフラ構築」などの中に埋もれず、何をしたかが分かる形で書かれているか（設計・診断・事故対応・規程づくりなど）
  • 経験年数が短くても、需要のあるスキル（クラウドの権限設計、診断、要件定義など）を前に出して提案しているか
  • 今の現場の契約更新のときに、担当範囲が広がった分を単価の話として持ち出せているか
  • 資格（情報処理安全確保支援士など）を持っている人の登録・更新の費用を、会社としてどう扱うか決めているか

単価を上げる交渉は、上位との関係や今の現場の評価にも関わるので、更新の時期や話の持ち出し方は慎重に選ぶ必要があります。粗利の見方は → SESの利益率 で、契約の更新の考え方は → SESの準委任契約 で書いています。

自社の情報管理を見直す

セキュリティの案件を扱うなら、自社の情報の扱い方も見られます。SESの会社の営業は、単価・取引先・要員の情報を毎日やりとりしていて、これらは会社にとって大事な情報です。

単価や取引先の一覧は、営業担当の手元のスプレッドシートやメールにばらばらに置かれていることが少なくありません。不正競争防止法では、「秘密として管理されている」「事業に役立つ」「公に知られていない」の3つを満たす情報が営業秘密として守られますが、その前提として、会社が秘密として管理していることが必要です（出典：経済産業省「営業秘密」のページ）。誰が見られるファイルなのか、社外に持ち出せる情報なのかを決めておくことが、いざというときに会社を守る土台になります。

スキルシートの送り方も見直しどころです。スキルシートには名前・年齢・経歴など個人を特定できる情報が入るため、個人情報保護法の対象になり、個人データを第三者に提供するには、原則として本人の同意が要ります（出典：個人情報保護法27条1項、個人情報保護委員会）。BPの要員のスキルシートを上位に送るときに、本人の了解を取っているか、名前をイニシャルにして送る運用にしているか、パスワード付きのファイルや共有リンクで送るかなど、社内で決めておくと、営業担当によって扱いがばらつくことを防げます。BPとの毎月のやりとりについては → SESのBP でも書いています。

もう一つは、退職するときの秘密保持です。営業担当やエンジニアが辞めるとき、在籍中に知った単価や取引先の情報をどう扱うかを、入社時と退職時の誓約書で決めておく会社が多くあります。経済産業省は秘密保持誓約書などの参考例を公開しているので、自社の書式をつくるときの下敷きにできます（出典：経済産業省「営業秘密」のページ、参考資料2「各種契約書等の参考例」）。契約や誓約書の中身をどこまで定めるかは会社ごとに事情が違うので、個別の判断は弁護士などの専門家に相談してください。

取引先から確認書類を求められることがある

取引の開始や継続にあたって、上位の取引先から決算書などの確認書類を求められることがあります。セキュリティの案件では、扱う情報の重さから、取引先の側も委託先の体制をより丁寧に見る傾向があるため、会社の数字や社内の決まりをすぐに出せるようにしておくと、話が早く進みます。契約書で確認しておきたい条項は → SES契約書 にまとめています。

請求事務は RY consulting に任せる

セキュリティの経験者をどの案件にどの単価で出すかを考えるのは、社長にしかできない仕事です。一方で、毎月の請求事務は社長でなくても回せます。RY consulting はセキュリティの仕事を引き受ける会社ではなく、SESの会社の請求事務だけを引き受けるサービスです。お客様先への請求書を御社の書式で作成し、BP・フリーランスからの請求書を照合して相違だけをお知らせし、稼働表の提出状況を営業担当ごとにお伝えし、月に一度、入場・終了・単価変更の確認事項をお聞きします。御社にお願いするのは、稼働表と請求書を共有フォルダに入れていただくことと、月1回の確認事項へのご回答だけです。月額はエンジニア10名まで50,000円、11〜20名70,000円、21〜30名90,000円、31名以上は個別のお見積り、初期費用は100,000円で（いずれも税別）、契約期間の縛りはなく、最短3営業日で作業を始められます。単価の見直しに時間を使いたいとお考えなら、まずは15分で相談するところから始めてみてください。

15分で相談する

出典

RY consulting　〒106-0032 東京都港区六本木2-1-19 S-Building 3階　a-komatsu@ry-consulting.jp　プライバシーポリシー　SESの請求と経営の基礎知識