経営者の心を動かす サイバーセキュリティ投資の説得術

サイバー攻撃による被害は待ったなしの経営リスクです。しかし、目に見える直接的な利益を生まないセキュリティ投資に、経営層の理解を得ることは容易ではありません。
実際、多くの情報システム部門が予算確保に苦心する中、成功している組織には共通点があります。それは、セキュリティを単なるコストとしてではなく、企業価値を守り、高める投資として位置づけているということです。
では、経営者の心を動かし、適切な予算を確保するために、私たちは何を準備し、どのように説明すべきなのでしょうか。本コラムでは、経営者が納得する効果的な予算獲得のアプローチを必要性、時期、金銭、効果の4つに分類しQ＆A形式でご紹介します。
これらのアプローチは、相互に補完し合う関係にあり、4つの視点を組み合わせることで、より説得力のある予算要求が可能となります。それでは、各アプローチの具体的な展開方法を見ていきましょう。

必要性に関するアプローチ

「なぜ、セキュリティ投資が必要なのか」。この問いに対して、単にインシデント事例を挙げたり、脅威を強調したりするだけでは、経営者の心は動きません。重要なのは、自社のビジネスに沿った必要性の提示です。業界動向、取引先からの要請、法規制の変化など、経営者が重視する文脈の中で、セキュリティ投資の必然性を語ることから始めましょう。

「うちの会社が狙われるわけがない。大企業だけの問題では？」

「社長、サイバー犯罪者って実は"賢い"んですよ。大企業は守りが固くて手間がかかる。でも中小企業なら... 実は去年のデータでも、攻撃の5割が中小企業狙いなのです。私たちみたいな会社が"おいしい標的"になってるんですよ。『ここなら簡単に侵入できそう』って思われたくないですよね？」

「自社は狙われない」という認識は実態と大きく異なります。警察庁の発表ではランサムウェアの被害にあった会社の52％が中小規模の会社でした。 その理由として、中小企業はセキュリティ対策が比較的脆弱で、攻撃者にとって侵入しやすい標的となっていることです。また、取引先である大企業への攻撃経路として中小企業が利用される「サプライチェーン攻撃」の実例も増加していることを経営層に説明してください。

「法律で決まっているわけではないでしょ？」

「社長、夜、事務所に鍵をかけて帰られますよね？あれも法律で決まってはいないですよ。なぜ物理的な鍵はかけるのに、サイバーセキュリティという鍵はかけないのですか？」

実際には情報セキュリティに関する法的な要件は確実に増えています。個人情報保護法では、個人データの安全管理措置が義務付けられており、違反した場合は罰則の対象となります。
また、欧州のGDPRのように、海外の法規制の影響も無視できません。当社が直接欧州と取引がなくても、取引先を通じて間接的にGDPRの要件を求められるケースが増えています。 さらに、各業界団体が定めるセキュリティガイドラインへの準拠も、取引条件として一般化しつつあります。
現在のビジネス環境では、適切な情報セキュリティ投資は、事業継続のために必要不可欠な経営判断だとご理解いただくよう伝えましょう。

「セキュリティ担当者を増やせば十分ではないのか？」

「社長、IT人材不足が問題になっているなかでも、特に不足しているのがセキュリティエンジニアです。日本の平均給与460万円（国税庁：令和５年分　民間給与実態統計調査）に対してセキュリティエンジニアは800万円～1000万円と言われています。とてもわが社に来てくれるとは思えません。というか私こんなにもらっていないです。転職しますよ？」

セキュリティ人材の採用だけでは、効果的な情報セキュリティ対策として十分とは言えません。現在、日本国内ではセキュリティエンジニアが著しく不足しており、経験豊富な人材の採用は困難を極めています。
人材市場の需給バランスから、セキュリティエンジニアの年収は800万円から1,000万円程度が相場となっており、経験や専門性によってはさらに高額となります。このような人件費は、多くの中小企業にとって大きな負担となってしまいます。
そこで、自動化されたセキュリティツールやAIを活用したセキュリティ製品の導入を検討することをお勧めします。これらは24時間365日稼働し、一定水準の防御を維持できます。初期投資と年間の運用費用を考慮しても、人材採用と比較して費用対効果が高いと言えることを伝えましょう。

時期に関するアプローチ

投資のタイミングは、経営判断において極めて重要な要素です。「なぜ今年度なのか」「なぜ来期まで待てないのか」という問いに対する説得力のある回答が必要です。システムの更新サイクル、業界のセキュリティ動向、規制の施行時期など、投資の適切なタイミングを示す客観的な指標と、先送りすることのリスクを組み合わせて説明することで、投資の時期的妥当性を示していきます。

「今まで何も起きていないのに、なぜ今投資が必要なのか？」

「社長、今まで何も起きていないのではないです。何か起きていても検知する仕組みがないのです、わが社には」

近年のサイバー攻撃は、気づかれにくい巧妙な手法で組織内部に潜入し、徐々に感染範囲を拡大させていきます。攻撃者は、最初に比較的防御の弱い端末や従業員をターゲットとし、そこを足がかりに重要なシステムへとアクセス範囲を広げていきます。特に警戒すべきは、2023年頃から確認されている「ノーウェアランサム攻撃」です。これは従来のランサムウェアと異なり、データを暗号化せずに直接窃取・削除を行う手法で、被害に気付いた時には既にデータが失われている可能性があります。

「今は業績が悪いので、もう少し様子を見たい」

「社長、病気で弱っているシマウマが、ライオンに狙われやすいのと同じです。今、多くの中小企業が業績で苦しんでいる。それを知っているサイバー犯罪者は、まさにライオンのように、弱っている会社を探しているんです。
最低限の防衛力を維持することは、群れと行動を共にするようなもの。たとえ体力が落ちていても、基本的な警戒は怠れません。むしろ、弱っている時こそ、身を守る工夫が必要なんです。」

景気後退局面では、企業では人員の流動性が高まったり、コスト削減を迫られ、多くの場合、情報セキュリティ投資も見直しの対象となります。しかし、この時期こそセキュリティ強化が重要な理由が複数存在します。

まず、不況期には従業員の不満や不安が高まり、内部不正のリスクが上昇します。また、失業率の上昇に伴い、経済的な動機による外部からのサイバー攻撃も増加する傾向にあります。特に、ランサムウェアによる攻撃は、攻撃者にとって容易な金銭獲得の手段となるため、不況期に急増することが知られています。
さらに、コスト削減でセキュリティ投資を控えている企業は、サイバー犯罪者にとって格好のターゲットとなります。防御が手薄な組織を狙う傾向が強まるためです。皮肉なことに、セキュリティ投資を削減することで、より大きな金銭的損失を被るリスクが高まってしまいます。
加えて、一度情報セキュリティインシデントが発生すると、その対応コストは平時の何倍にも膨れ上がります。景気後退期は、そのような予期せぬ支出に対する耐性が特に低い時期でもあります。つまり、必要最低限のセキュリティ投資は、不測の事態への保険として捉えるべきなのです。

このように、景気後退局面だからこそ、情報セキュリティの強化は経営上の重要課題として認識し、計画的な投資を継続することが求められます。それは単なるコストではなく、事業継続のための必要不可欠な投資として位置づけるべきです。

金銭的なアプローチ

セキュリティ投資は、直接的な収益を生まないことが多く、その点が予算獲得の壁となりがちです。しかし、投資判断において重要なのは、コストではなく投資対効果（ROI）です。ここでは、インシデント発生時の想定損失額、保険料の軽減効果、取引機会の創出など、金銭的なメリットを定量的に示すアプローチを解説します。セキュリティ投資を、コストではなく「リスクマネジメントへの投資」として捉え直す視点を提供します。

「セキュリティに完璧はないのだから、保険に入れば十分ではないか？」

「社長、セキュリティに完璧はないという認識は正しいです。ただ、保険では金銭的な部分しかカバーできません。取引先からの信頼や長年培ってきたブラインドイメージはお金で解決することができません。それに、不健康（セキュリティ的に脆弱）なひとは保険に入れなかったり、保険料が高くなったりします。」

サイバー保険は、サイバー攻撃による損害を補償する重要な選択肢として注目されていますが、その活用には慎重な検討が必要です。

まず、サイバー保険は金銭的な損失に対する補償を提供しますが、企業が直面する被害の本質は、必ずしも金銭だけではありません。長年かけて築き上げた取引先やお客様との信頼関係、企業ブランドなど、金銭では計り知れない無形の資産が一瞬にして失われる可能性があります。これらの損失は、いかなる保険でも回復することはできません。

また、保険加入にあたっては、基本的なセキュリティ対策の実施が前提条件となります。多くの保険会社は、ウイルス対策ソフトの導入や定期的なバックアップ、従業員教育など、最低限の対策を要求します。つまり、「保険に入れば安心」という考え方自体が適切ではなく、保険はあくまでも包括的なセキュリティ対策の一部として位置づけるべきなのです。

さらに、近年のサイバー攻撃の増加と被害規模の拡大に伴い、保険料は年々上昇傾向にあります。特に、重大なインシデントが発生した業界では、保険料が大幅に引き上げられたり、場合によっては更新を断られるケースも出てきています。この状況は、保険に依存したリスク管理の限界を示しています。

したがって、サイバー保険は「最後の砦」として検討すべきもので、まずは自社での適切なセキュリティ対策の実施が不可欠です。保険は補完的な役割を果たすものであり、決して基本的な対策の代替にはならないという認識が重要です。

「社員教育だけで十分でしょ。システムにお金かけなくてもいいんじゃない？」

「社員教育は確かに重要な対策の一つですが、それだけでは十分とは言えません。
例えば、社員がフィッシングメールを見分ける訓練を受けていても、メールセキュリティがないために大量の不審メールが届けば、いずれミスを起こすリスクが高まります。そもそも、先日の標的型メール攻撃の模擬訓練で真っ先にフィッシングメールを開封したの、社長じゃないですか。」

サイバー攻撃対策において、社員教育は確かに重要な要素ですが、それだけでは十分な防御とはなりません。なぜなら、現代のサイバー攻撃は、人間の注意力や判断力の限界を超えた手法で行われることが多いからです。

・高度な標的型フィッシング攻撃
AIや機械学習を活用した非常に巧妙なフィッシングメールは、従来のセキュリティ訓練では見破るのが困難です。攻撃者は個人の詳細な情報を収集し、極めて本物らしいメールを作成できるため、最も注意深い従業員でも騙される可能性があります。

・ゼロデイ攻撃
これは、まだソフトウェアベンダーに知られていない未知の脆弱性を悪用する攻撃です。最新のセキュリティパッチが存在しないため、いかに優秀な社員でも防ぐことは極めて困難です。

・サプライチェーン攻撃
信頼できるはずのベンダーやサプライヤーを経由して行われる攻撃は、社内教育だけでは防ぐのが難しいです。2020年に発生したSolarWinds社のサイバー攻撃は、その最も有名な例の一つで、多くの大企業や政府機関が影響を受けました。


さらに、人間は疲労や忙しさによってミスを犯すものです。24時間365日、常に完璧な判断を下せる社員はいません。たった一度の判断ミスが、重大なセキュリティインシデントにつながる可能性があります。
そのため、多層的な防御体制が必要不可欠です。社員教育に加えて、入口対策としてのファイアウォールやアンチウイルスソフト、内部対策としての権限管理やログ監視、出口対策としての情報漏洩防止システムなど、技術的な対策を組み合わせることで、はじめて効果的なセキュリティ体制を構築することができます。社員教育は、この総合的なセキュリティ対策の重要な一部として位置づけるべきなのです。

効果測定に関するアプローチ

セキュリティ対策の効果を、経営者に分かりやすく示すことは容易ではありません。なぜなら、「何も起こらないこと」が成功の証だからです。しかし、投資効果の可視化は可能です。セキュリティ成熟度の向上、インシデント対応時間の短縮、従業員の意識向上など、具体的なKPIの設定と測定方法を示すことで、投資効果の見える化を実現します。ここでは、経営者の関心を引く効果測定の手法について解説していきます。

「サイバーセキュリティに投資する際の費用対効果を知りたい」

「社長、『泥棒に入られないように鍵をかけることの費用対効果を知りたい』ということですか。では、泥棒に入られた上に、火を付けられたあとの始末を想像してください。金銭的な被害だけじゃなく、仕事を休んだり、ご近所に挨拶周りにいったりと大変じゃないですか？」

サイバーセキュリティインシデントによる損失額を試算する際の考え方をご説明します。 直接的な損失費用
・フォレンジック調査費用：1件あたり500-2,000万円
・システム復旧費用：影響を受けたサーバー・端末の台数×20-50万円
・個人情報漏洩時の見舞金：1件あたり500円×影響を受けた人数
・コールセンター設置費用：オペレーター1名あたり月50万円×必要人数×対応月数
・弁護士費用：着手金100-300万円＋時間報酬
・社内対応の人件費：対応要員の人数×平均時給×対応時間
・再発防止のためのセキュリティ投資：数千万円規模

間接的な損失
・営業停止による機会損失：1日あたりの売上×営業停止日数
・取引先からの損害賠償：契約内容による（数千万円規模）
・株価下落による時価総額の減少：上場企業の場合、10-30%程度
・レピュテーション毀損による売上減少：年間売上の5-15%程度
・取引先との契約解除によるビジネス機会損失：年間取引額ベース

合計すると、従業員1,000人規模の企業で、個人情報10万件の漏洩があった場合、直接費用だけで1-2億円、間接損失を含めると10億円規模の損失となることも珍しくありません。

このような具体的な試算を示すことで、経営層のセキュリティ投資への理解を深めることができます。

まとめ