セキュリティ人材を SES（準委任）、業務委託、派遣のどれで入れるかは、業務の指示を誰が出すかで決まる。契約の名称ではなく実態で判断されるため、先に業務の中身と指示の経路を決め、そのあとに費用の構成を見積もる。この記事では、契約形態ごとの違い、セキュリティの業務ごとの向き不向き、費用の構成要素、案件票に見る提示単価の分布、発注前のチェック項目を整理する。全体像は セキュリティ人材・体制の相談先 にある。
なお、この記事は一般的な情報提供であり、法的助言ではない。契約形態の判断は、弁護士・社労士などの専門家に確認してほしい。Heyday は SES（準委任）で要員が参画する形の支援を行う会社だが、この記事は特定の契約形態を勧めるものではなく、違いを並べて比べるためのものだ。
結論：契約形態は「業務の指示を誰が出すか」で決まる
外部の人にセキュリティの仕事を任せるとき、最初に決めるのは、業務の指示を誰が出すかだ。
- 発注側が直接、業務の指示を出す：労働者派遣にあたる。派遣元は許可を受けた事業者であることが前提になる
- 受託側の責任者が指示を出し、業務の遂行を約束する：準委任（SES）
- 成果物の完成を約束する：請負
- 個人と直接契約する：業務委託（準委任または請負）。発注側が個人に直接細かな指示を出すと、同じ問題が生じうる
労働者派遣と請負などの区分は、厚生労働省の告示（『労働者派遣事業と請負により行われる事業との区分に関する基準』、37 号告示）が基準を示している。判断は契約書の名称ではなく、指示や管理の実態による。名称が準委任でも、発注側が直接指示していれば、実態は派遣と評価されるおそれがある。
SES（準委任）・派遣・請負・業務委託の違い
4 つの形態を、5 つの観点で比べる。
| 項目 | SES（準委任） | 労働者派遣 | 請負 | 業務委託（個人） |
|---|---|---|---|---|
| 業務の指示を出す人 | 受託会社の責任者。発注側は要員に直接指示しない | 派遣先（発注側） | 請負会社。発注側は直接指示しない | 受託者本人の裁量 |
| 約束する内容 | 業務の遂行（原則、成果物の完成は約束しない） | 労働力の提供 | 仕事の完成と成果物の引き渡し | 契約による（準委任か請負） |
| 契約の相手 | 受託会社 | 派遣元（許可を受けた事業者） | 請負会社 | 個人（フリーランス） |
| 向く業務の例 | 運用の支援、設計・設定の支援、事故後の実装 | 発注側の指示で動く運用の補助 | 診断報告書の納品、構築の一括 | 助言、レビュー、短期の専門作業 |
| 先に確認すること | 窓口と指示の経路 | 派遣元の許可、期間の制限 | 仕様と成果物の定義 | 指示の線引き、秘密保持、代替要員 |
準委任は、民法の委任の規定を準用する契約で、受託者は善良な管理者の注意をもって業務を行う義務を負うとされる。準委任には、成果の完成を約束しない型と、成果の引き渡しなどを約束する型（成果完成型）があるとされる。どちらの型かは、契約書に明記する。
個人への発注には、フリーランス・事業者間取引適正化等法（フリーランス法）が関わる。個人に業務を委託する発注事業者には、取引条件の明示や報酬の支払期日の設定などが求められるとされる。対象と義務の範囲は、公正取引委員会などの公表で確認してほしい。
セキュリティの業務はどれに向くか
業務の性質によって、向きやすい契約形態が分かれる。以下は一般的な整理で、実際の契約は業務の中身で判断される。
| 業務 | 向きやすい契約形態 | 理由と注意 |
|---|---|---|
| 監視運用（SOC の運用要員） | 準委任（SES）、外部サービス、派遣 | 日々の運用が中心で、遂行を約束する形が合う。夜間・休日の体制は契約で決める |
| 脆弱性診断 | 請負（診断サービス）、準委任（診断チームへの参画） | 診断報告書という成果物があるなら請負やサービスが合う。自社の診断チームに人を足すなら準委任 |
| ポリシー策定・規程整備 | 準委任、業務委託（顧問） | 成果物（規程案）の範囲を決めれば請負にもできる |
| インシデント対応 | 準委任（スポット）、専門事業者のサービス | 結果を保証する契約は難しい。連絡先と条件を平時に決めておく |
診断そのものを成果物として納めてもらう場合は、専門の診断サービスが選択肢になる。要員が自社の体制に参画して運用や修正を支える場合は、準委任が合う。
費用の構成要素
費用は、次の項目に分けて見積もりを比べる。この記事は Heyday の料金を示すものではない。
| 項目 | 決めること | 見落としやすい点 |
|---|---|---|
| 月額の単価 | 人月単位の金額、役割と経験の水準 | 役割の幅が広いと水準が上がる |
| 稼働日数・時間 | 月の稼働の日数と時間、常駐する日 | 常駐かリモートかで条件が変わる |
| 精算幅 | 稼働時間の上下限と、範囲を外れたときの精算方法 | 上下限を超えた場合の扱い |
| 夜間・休日、立ち会い | 夜間・休日の作業や待機の扱い | 待機の費用、割増の有無 |
| 交通費・端末・ライセンス | 誰が負担するか | 貸与端末の有無、接続に必要な費用 |
| 契約期間・更新・解約 | 初回の期間、更新、解約の予告 | 最低の契約期間 |
| 引き継ぎ・ドキュメント | 成果に含めるか | 契約終了時の手順書 |
| 追加・交代 | 要員の追加や交代の条件 | 交代時の引き継ぎの扱い |
契約形態の相談
SOC・CSIRT・脆弱性診断・クラウドセキュリティの要員と体制づくりについて、Heyday がお話を伺います。
案件票に見る提示単価の分布
月額の水準を見る材料として、Heyday が受信した案件票の集計を示す。発注企業が実際に支払う額とは別の数字だ。
| 項目 | 値 |
|---|---|
| 案件票の掲載行数 | 358 行 |
| うち単価の上限が数値で読めた行 | 166 件 |
| 単価の上限 p25（小さい順の 4 分の 1 の位置） | 65 万円/月 |
| 単価の上限 中央値 | 75 万円/月 |
| 単価の上限 p75（同じく 4 分の 3 の位置） | 90 万円/月 |
| 単価の上限 最大 | 200 万円/月 |
| 単価の下限が読めた行（45 件）の中央値 | 65 万円/月 |
| リモート可と読めた割合 | 56.5%（可否の記載があった 214 件が母数） |
出典：Heyday の案件データベース（案件メール由来の掲載行）。2026 年 3〜8 月に受信、重複除去前。技術タグ「セキュリティ/SOC/CSIRT」は、必須スキルと案件名にセキュリティ関連のキーワードを含む行で、1 行が複数のタグに入ることがある。単価は案件票に書かれた上限（発注側から SES 会社への企業向けの契約単価）で、エンジニアへの支払額（人材向けの単価）とは別。商流の途中で金額が変わることがある。
読み方の注意は次のとおりだ。
- 商流の途中で金額が変わることがあり、案件票の数字は発注企業の支払額と一致するとは限らない。案件票に発注元との関係が書かれていたのは 29 件（発注元と直接 22、1 次 3、2 次以深 4）にとどまり、大半は読めない。商流の仕組みは 商流の階層構造を理解する にまとめている
- 単価の上限が読めた 166 件のうち、真ん中の半数は 65〜90 万円に収まる。最大は 200 万円で、役割や条件によって上側の案件もある
- 外部の公開値として、フリーランス向けの案件サイトの平均月額は 75.5〜81.4 万円の範囲にある（フリーランススタート 75.5 万円、レバテックフリーランス 77 万円、INSTANTROOM 81.4 万円）。各社の自社集計で、時点と母集団が異なる。（出典：INSTANTROOM の調査、2026 年 7 月 6 日公表、レバテックフリーランス、フリーランススタート）
セキュリティ特有の条件と、偽装請負にならない運用
常駐・秘密保持・端末・権限
リモート可と読めた割合は 56.5% で、機密性の高い環境では常駐や閉域網での作業を求める案件がある。発注前に、次の項目を決める。
- 作業の場所：常駐か、リモートか、接続の方法は何か
- 秘密保持契約：作業の開始前に結ぶ
- 端末：貸与か、持ち込みか。持ち込みなら管理の条件を決める
- アカウントと権限：個人ごとに発行し、業務に必要な範囲に絞る。多要素認証に例外を作らない
- ログと終了時の手順：作業のログを残し、契約の終了時にアカウントを削除する
個人情報保護委員会は 2026 年 10 月 7 日の注意喚起で、フィッシング耐性のある多要素認証、EDR による監視、アクセス権限の最小化、ログの保存・分析などを対策例として示している。（出典：個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」、2026 年 10 月 7 日）要員が個人データを扱う場合は、委託先の監督という観点でも管理項目が要る。詳しくは 委託先の情報漏えいは誰の責任か で扱う。
身元確認と国籍
身元確認は、業務上の必要性と本人の同意が前提になる。取引先の要請や法令に基づいて求められる場合（たとえば、重要経済安保情報保護活用法に基づく適性評価が必要な情報を扱う案件）は別だが、そうでない場合に国籍だけを理由に一律に断る運用は、必要性を説明できるかが問われる。個別の判断は弁護士に確認してほしい。発注条件の背景は 外国籍不可SES案件と経済安保推進法 に整理がある。
偽装請負にならない運用
準委任や請負で要員を受け入れる場合、次の点を運用で守る。
- 指示の経路を一本化する：発注側の担当者から受託会社の責任者へ依頼し、責任者が要員に伝える
- 勤怠、残業、休暇は受託会社が管理し、発注側が直接指示しない
- 業務の範囲を、契約書や仕様書で特定する
- 発注側の社員と同じ立場で、評価や配置を行わない
- 要員の交代や増員は、受託会社との協議で決める
確認項目は SES偽装請負チェックリスト にもまとめている。契約形態の違いは、SES そのものの仕組み（SESとは？）を押さえておくと理解しやすい。
発注前チェックリストと相談の流れ
発注前に確認する 8 項目
- 任せたい業務と、成果物の有無
- 業務の指示を出す人と、社内の窓口
- 契約形態（準委任・派遣・請負・業務委託）と、その理由
- 常駐かリモートか、必要な時間帯
- 秘密保持、端末、アカウント、権限
- 再委託の可否と条件
- 費用の構成（月額、精算幅、夜間・休日、契約期間）
- 契約終了時の引き継ぎとアカウントの削除
相談の流れ
- 課題と、社内に残す役割を整理する
- 契約形態の方向性を決める
- 要員の要件と条件をそろえる
- 準委任の場合は、参画前に要員と面談する
- 契約を結び、アカウントと窓口を整えて立ち上げる
決まっていない項目があっても、そのまま相談してよい。
よくある質問（FAQ）
Q. SES と派遣の違いは何ですか？
業務の指示を誰が出すかが違う。SES（準委任）では受託会社の責任者が要員に指示し、発注側は直接指示しない。派遣では派遣先、つまり発注側が指示を出す。派遣元は許可を受けた事業者であることが前提になり、期間の制限などのルールもある。
Q. 月いくらかかりますか？
一律の相場は示せない。役割、経験の水準、時間帯、常駐の有無、契約期間で変わる。参考として、案件票の単価の上限は中央値が 75 万円、p75 が 90 万円だった（Heyday の案件データベース、2026 年 3〜8 月受信・重複除去前、単価つき 166 件）。発注企業の支払額ではなく、Heyday の料金でもない。
Q. フリーランスと直接契約するリスクは何ですか？
個人に発注側が直接細かな指示を出すと、契約の名称にかかわらず、指示の線引きが問題になりうる。ほかに、秘密保持の担保、個人の端末の管理、不在時の代替要員、契約上の責任の範囲を確認する。フリーランス法に基づく取引条件の明示なども必要になるとされる。
Q. 身元確認や国籍の確認は、どこまで求めてよいですか？
業務上の必要性と本人の同意が前提になる。法令や取引先の要請に基づく場合を除き、必要以上に広げないほうがよい。国籍だけを理由にした一律の扱いは、必要性を説明できるかが問われるため、専門家に確認してほしい。
Q. 再委託は可能ですか？
契約書で可否と条件を決める。民法では、受任者が復受任者を選任するには、委任者の許諾などが必要とされている。再委託を認めると商流が深くなり、要員の身元、端末、権限の管理が難しくなる。個人データを扱う場合は、再委託先を含めた監督が求められる場面がある。
関連記事
- セキュリティ人材・体制の相談先
- セキュリティエンジニアが採用できない理由と代替策
- 委託先の情報漏えいは誰の責任か
- セキュリティ案件は常駐が多い？（エンジニア側から見た常駐と入場条件）
- SES偽装請負チェックリスト10項目
- 商流の階層構造を理解する
