SOCアナリストは、セキュリティの仕事に入る入口になりうる役割の一つだ。ただし「未経験で入れる」とは言えない。この記事で言い切れるのは、次の3点になる。
- 案件票から言える単価は、SOCだけではなく「セキュリティ/SOC/CSIRT」タグ全体の分布まで。上限の中央値は75万円（単価つきの166件）
- 「未経験可」と書かれた案件の件数や割合は、集計していない。入りやすい・入りにくいとは断定せず、案件票のどこを見るかを示す
- シフト勤務や常駐は案件ごとに違う。参画前に確認する点を、後半にまとめた
この記事で言えることと、言えないこと
SOCアナリストの単価を調べると、数字の出どころがばらばらなことに気づく。求人の年収、転職エージェントの職種解説、フリーランス向けサイトの平均単価、案件票の提示単価。同じ「単価」でも、何を数えたかが違う。最初に、この記事で扱える範囲を表にしておく。
| 内容 | |
|---|---|
| 言えること | Heydayが受信した案件票のうち、セキュリティ関連のキーワードを含む358件の単価とリモート可率の分布。他社が公表している、セキュリティエンジニア全体の平均単価 |
| 言えないこと | SOCだけの単価。L1・L2・L3ごとの単価。「未経験可」の案件の割合。年齢別・経験年数別の傾向（経験年数別は件数が少なく、掲載していない） |
分からない部分は分からないと書き、確認する方法を示す。
SOCの仕事：L1〜L3の違い
SOC（Security Operations Center）は、組織のネットワーク・端末・クラウドのログを監視し、攻撃の兆候を見つけて対応する役割、またはそれを担う組織を指す。担当の分け方は組織ごとに違うが、L1〜L3の3段階で説明されることがある。
| 段階 | 主な仕事 | 土台になる知識 |
|---|---|---|
| L1 | アラートの一次確認。誤検知か、調べるべきものかの切り分け。手順書に沿った記録とエスカレーション | ネットワークとOSの基礎、ログの読み方、手順書を守る正確さ |
| L2 | アラートの詳細調査。複数のログの突き合わせ、影響範囲の見立て、封じ込めの提案 | SIEMでのログ検索、EDRの画面の読み方、攻撃手法の知識 |
| L3 | 高度な分析（マルウェア解析、脅威情報の活用）。検知ルールの設計と改善。CSIRTとの連携 | 解析の技術、攻撃者の動きを読む経験 |
案件票に「SOC運用」とだけ書かれていたら、L1相当なのか、L2まで含むのかを、面談の前に確認したほうがいい。
L1が入口として話題になるのは、仕事の中身が「アラートの意味を知る」ことに集中しているからだ。ただし、L1の仕事は自動化の対象にもなる。海外の記事には、AIを備えたSIEMや、対応を自動で処理するSOAR（Security Orchestration, Automation and Response）の普及で、一次対応が自動化され、入門的な職の求人が減っているという指摘がある。国内で同じことが起きているかを示すデータは、確認できていない。「SOCなら入りやすい」という前提は置かず、案件ごとに中身を見るのが安全だ。
SOCを自社で持つか、外部に任せるかという企業側の判断は、SOCは外注か内製かで整理している。
案件票に見る単価：セキュリティ/SOC/CSIRTタグ全体の分布
Heydayが2026年3〜8月に受信した案件メールのうち、必須スキルや案件名にセキュリティ関連のキーワードを含む行を、「セキュリティ/SOC/CSIRT」タグとして集計している。
| 項目 | 値 |
|---|---|
| 掲載行数（重複除去前） | 358件 |
| 単価上限が読めた件数 | 166件 |
| 単価上限 p25／中央値／p75 | 65／75／90万円 |
| 単価上限 最大 | 200万円 |
| 単価下限が読めた件数と、その中央値 | 45件・65万円 |
| 直近3か月に受信した行 | 70件 |
データの読み方
- 出典：Heydayの案件データベース（案件メール由来の掲載行）。2026年3〜8月に受信、重複除去前
- 技術タグ「セキュリティ/SOC/CSIRT」は、必須スキルと案件名に、セキュリティ・SOC・CSIRT・インシデント対応・脆弱性診断・IAM・WAFなどの語を含む行。1つの案件が複数のタグに入る。IAMやWAFの語に一致した行も含むため、セキュリティが主題でない行が混ざる可能性がある
- 単価は案件票に書かれた上限（発注側から SES 会社への企業向けの契約単価）で、エンジニアへの支払額（人材向けの単価）とは別の数字
- p25・p75は、単価を小さい順に並べたときの4分の1・4分の3の位置の値。中央値は真ん中の値
読み方は3つある。
- 上限が読めた166件のおよそ半分は、65万円から90万円の間にある。75万円は真ん中の値で、これが「SOCの相場」というわけではない
- 下限が読めたのは45件しかない。中央値65万円は、参考程度に見てほしい
- このタグはSOCだけの集計ではない。CSIRT、脆弱性診断、IAMなどを含むため、SOCだけの単価やL1〜L3別の単価は出せない
セキュリティ職種全体の単価の見方は、セキュリティエンジニアのSES単価にまとめてある。
他社が公表している数字
セキュリティエンジニア全体の平均単価は、他社もサイトで公表している。いずれも各社の自社集計で、SOCだけの数字ではない。
| 集計元 | 平均（または中央値） | 時点・母集団 | 注意 |
|---|---|---|---|
| INSTANTROOM「フリーランスボード」 | 平均月額単価81.4万円 | 2026年7月6日公表。掲載案件24,353件（2024年2月〜2026年7月の延べ） | 件数は掲載案件の延べで、人数ではない |
| レバテックフリーランス | 平均77万円 | ページに日付表示なし。掲載1,320件 | 参画者の受取額（税込）の上限表記とされる。募集終了の案件が混ざる |
| フリーランススタート | 平均75.5万円、中央値80万円 | ページに日付表示なし。募集中89件・累計563件 | 自社に掲載された案件の集計 |
（出典：INSTANTROOM「セキュリティエンジニア調査」、2026年7月6日公表、PR TIMES。レバテックフリーランス「セキュリティエンジニアの案件一覧」、ページ。フリーランススタート「セキュリティエンジニアの案件」、ページ）
3社の数字は75.5〜81.4万円に収まり、Heydayの上限の中央値75万円とも近い。ただし、時点も母集団も単価の定義も違うので、どれが正しいかを比べる数字ではない。「このあたりに分布している」という目安として読むのがよい。
個別の案件の例も見ておく。レバテックフリーランスの掲載案件には、SOCとCSIRTの経験を条件にして、上限が月145万円の案件があった。一方、CSIRTサービスの運用管理で上限65万円の案件もあった。いずれも検索した時点の掲載例で、募集が終了した案件を含み、代表値ではない。同じセキュリティの案件でも、求める経験によって上限が大きく開くことは読み取れる。
月額単価を12倍した数字は、年収ではない。稼働日数、契約形態、税や社会保険で、手元に残る額は変わる。この記事では年収の数字は出さない。
未経験可の案件票を見分ける6つの確認点
「未経験可」「未経験歓迎」と書かれていても、中身は案件ごとに違う。Heydayは未経験可の案件の件数を集計していないので、割合は示せない。その代わり、案件票や面談で確認する点を並べる。
| 確認する点 | 見る場所 | なぜ見るか |
|---|---|---|
| 研修 | 案件票、面談 | 期間と内容（座学だけか、実機を触るか）、費用を誰が負担するか。研修がないと、手順書だけで現場が始まる |
| 業務範囲 | 案件票の業務内容 | 監視だけか、一次切り分けとエスカレーションまで含むか。手順書があるか。積める経験の範囲が決まる |
| シフト | 勤務時間の欄、面談 | 日勤のみか、交代制か。夜勤と休日の頻度。手当が単価に含まれるか、別に出るか |
| 勤務地 | 勤務地の欄 | 常駐先、入退室の管理、リモートの可否 |
| 次の案件 | 面談 | L1の後にL2や別の業務へ移れる設計か。契約期間 |
| 求める経験 | 必須スキルの欄 | 「未経験可」と書きながら、必須スキルにSIEMの運用経験などが並んでいないか |
必須スキルと「未経験可」の記載が食い違う案件票は、書き手が経験者を想定している可能性がある。確認の質問を送る材料になる。
シフト勤務と常駐の現実
24時間体制で運用されるSOCでは、監視を交代制（シフト）で回す。夜間や休日にも人が入る。夜勤があるかどうかは案件ごとに違うので、案件票の勤務時間の欄と面談で確認する。
リモートの可否は、数字で見ておく。
| 技術タグ | リモート可率 | 母数（可否の記載があった件数） |
|---|---|---|
| セキュリティ/SOC/CSIRT | 56.5% | 214件 |
| インフラ/NW | 52.9% | 476件 |
| Java | 60.7% | 1,009件 |
| Python | 71.5% | 459件 |
| AWS | 73.3% | 744件 |
（出典：Heydayの案件データベース。2026年3〜8月に受信、重複除去前。リモート可否の記載がなかった案件は含まない。定義は前の節の注記と同じ）
セキュリティのリモート可率は、AWSやPythonより低い。ただし、これはタグ全体の数字で、SOC案件だけのリモート可率は分からない。監視用の端末が閉じたネットワークの中にある、入退室を管理した部屋で作業する、といった条件の案件は、仕組みの上で出社が前提になる。
他社の集計には、もっと高い割合もある。INSTANTROOMの調査（前出）は、リモート案件を80.3%としている。母集団も数え方も違うので、Heydayの56.5%と並べて優劣は付けられない。自分が入る案件のリモート可否は、案件票で個別に確認するしかない。
SOCから先へ：CSIRT・脆弱性診断・資格の位置づけ
SOCの次の方向は、大きく3つある。
- 調査と対応を深める方向。アラートを受ける側から、インシデントに対応する側へ。CSIRT・インシデント対応への転職で整理している
- 攻撃者の視点を持つ方向。脆弱性診断やペネトレーションテストへ。脆弱性診断の案件単価で扱っている
- 基盤側に寄る方向。EDRやID管理、クラウドのセキュリティ設定の運用へ
どの方向でも、土台になるのは「SOCで見たアラートの意味を、自分の言葉で説明できる」ことだ。L1の間に、アラートがなぜ上がったか、エスカレーション先が何を知りたがるかを意識して記録を書くと、次の面談で話せる材料になる。
資格は、実務の代わりにはならない。情報処理安全確保支援士を含む資格の位置づけと、案件票での扱いは情報処理安全確保支援士はフリーランスで意味ないのかに書いた。順序は、実務が先で、資格はその説明を補う材料と考えている。
SESでSOCに入るとき、会社に確認すること
SESでSOCの案件に入る場合は、案件票だけでなく、間に入る会社にも確認することがある。答え方で、その会社の姿勢が分かる。
- どの案件に入るかを、業務内容つきで事前に説明してもらえるか
- 案件を断れるか。断った場合に、次の案件の提示がどうなるか
- 契約単価と商流（入る現場までに、どの会社が間にいるか）を、参画前に教えてもらえるか
- 研修の内容と、費用の負担
- 夜勤・休日対応の手当は、単価に含まれるか、別に出るか
- 次の案件で、何の経験を積ませる設計か
- 契約形態は準委任か、派遣か。指揮命令の関係が曖昧になっていないか
商流は、案件票だけでは分からないことが多い。Heydayのタグでは、商流が読めたのは358件中29件で、残りの329件は商流が不明だった。案件票からは分からないので、会社に聞くのが現実的な確認方法になる。契約形態の確認はSES偽装請負チェックリストが使える。
ここで挙げた質問は、Heydayにもそのまま聞いてほしい。
よくある質問（FAQ）
Q. 未経験でSOCに入れますか？
入れるとは約束できない。「未経験可」と書かれた案件はあるが、研修の有無、業務範囲、求める経験は案件ごとに違い、Heydayは未経験可の案件の割合を集計していない。前の節の6つの確認点のうち、特に研修、業務範囲、シフト、次の案件を確認してから判断してほしい。いまの経験で何が足りないかは、状況を伺ったうえでお伝えする。
Q. SOCは夜勤が必須ですか？
必須とは言えない。24時間体制で運用されるSOCでは交代制になるが、勤務の形は案件によって違う。夜勤の有無と頻度、手当が単価に含まれるかを、参画前に確認する。
Q. L1の次は何を目指せばよいですか？
L2（詳細調査）が一つの方向で、そこからCSIRT、脆弱性診断、EDRやクラウドの運用へ広がる。どの方向でも、L1のうちにアラートの意味を説明できる状態にしておくことが土台になる。方向の選び方は、前の節で挙げた記事を参照してほしい。
Q. フリーランスでSOCの案件は取れますか？
案件の契約形態と、求める経験で決まる。案件票の経験条件を満たしていることが前提になる。公開されているフリーランス向けの平均単価（75.5〜81.4万円）は、セキュリティエンジニア全体の値で、SOCだけの値ではない。
個別に相談したいとき
単価の数字と、自分の経験との距離は、この記事だけでは測れない。いまの経験が案件票のどの条件を満たしているか、足りない経験をどの案件で積めるかは、状況を伺ったうえでお伝えする。企業側がセキュリティ人材をどう確保しようとしているかは、セキュリティ人材・体制の相談窓口にまとめている。
関連記事
- セキュリティエンジニアのSES単価
- セキュリティエンジニアは未経験からSESで目指せる？
- CSIRT・インシデント対応への転職
- 脆弱性診断の案件単価
