中小企業のセキュリティ投資を再考 ～優先度に合わせた予算の振り分けを～

サイバー攻撃に付いてくる数字

 

行政機関や著名企業がサイバー攻撃を受けると、第一報で情報漏えいの件数を中心にした被害規模と攻撃の手段、続いて被害額の概算が報じられ、インシデントの全容が少しずつ明らかになっていきます。開示の過程で一般企業の経営層とシステム部門、セキュリティ担当者が特に注視するのは、攻撃の手口と被害額です。

 

もう一つ、経営層とシステム関係者が関心を寄せるのは、被害を受けた企業のセキュリティに対する投資額です。“相応の費用を投じていた”、“事業規模の割には少額”といった続報はあっても、具体的な数字まで言及したケースはほとんど見かけません。

 

被害額は投資額を反映？

 

“国の防衛関連費をGDP比2％にすれば、安全度は○％高まる”といった実証が難しいように、セキュリティ投資と攻撃による被害額との因果関係の明示はできません。セキュリティ対策は、事業規模と業態、システムの形態によって必要な要素は異なるからです。また業界の基準や目安になるような物差しがない点も、投資額の判断を難しくしている一因とされてきました。

 

その一方、サイバー攻撃の拡散と被害額の高額化が続いている状況にあっては、経営層はどこまでリスクを許容し、どれだけ予算を確保すればいいかを判断しなければなりません。こうしたニーズを受け、セキュリティ投資に関する検討を支援する試みとして、業界団体と一部のシンクタンクは一定の目安を示す活動を続けています。

 

目安値には大きな幅もある

 

日本サイバーセキュリティ・イノベーション委員会（JCIC）は、「企業規模・業種別にみるセキュリティ投資・人員数の目安値」を2026年2月に公開しました。レポートは大企業（売上高1,000億以上）と中堅企業（同100億円以上1,000億円未満）が対象で、セキュリティ部門が経営層に予算申請するときや、経営層が自社のセキュリティ投資の現在地を把握する際の共通の目安として活用することを想定しています。

 

業界ごとの目安値は、小売り・サービス・その他は売上高の0.1％、製造業0.2％、社会インフラ0.3％、IT・情報通信0.5％、そして金融が0.6％とされています（中堅企業は一律0.3％）。

 

 

セキュリティリソース（投資額と人員数）の目安値

出典：「企業規模・業種別に見るセキュリティ投資・人員数の目安値」

日本サイバーセキュリティ・イノベーション委員会（JCIC）

 

売上規模が数千億円の大企業と1億円の中小企業では、金額の重みがまったく違うため、パーセンテージで示す方法をそのまま当てはめることはできません。対策には規模を問わず、ツールの導入や運用の委託など一定の固定費がかかるため、小規模の組織ほどその重みは相対的に増していくからです。

 

中小の事業者がJCICのレポートから読み取れるのは、業種による差異、例えば、金融取引がリアルタイムで発生する、決済データや個人情報を多く扱う分野は比率が高めなど、差異がある点です。こうした点の考慮を前提として、中小企業の場合はパーセンテージで示す“数字”より、業態とシステム環境に応じた“優先順位”の方が現実的な指針になります。

 

起点の“1人”は確保しよう

 

セキュリティ投資には、人員の確保や従業員教育も含まれます。同レポートでは、大企業・中堅企業におけるセキュリティ人員数／全従業員数の目安値も扱っていますが、中小企業ではITとセキュリティの専任は不在、管理者はいても総務などと兼任というケースも少なくありません。

 

中堅・中小企業の場合、セキュリティ専任者の確保が難しいとしたら、他の業務と兼任する形でも担当者は曖昧にせず、明確にしておくことが大切です。専門知識が必要な状況では、その人を経由して外部の専門家に打診する道を作っておけばいいのです。この“1人”がスタート地点。この人を起点に、優先的に振り分けるべき予算はどこか、補強したい人員はどの分野かなど方向を決めていくことができるはずです。

 

セキュリティ投資の実態は？

 

ここからは方法論から現実論。予算額とその振り分け方を考えてみましょう。まず、中小企業のセキュリティ投資の実態を簡単に振り返っておきます。

 

・調査に回答した企業の62.6％は「直近過去3期にセキュリティ投資をしていない」

・直近過去3期の投資額が「100万円未満」と回答した企業は調査対象の20.4％

 

IPA（情報処理推進機構）が公開した直近のレポート「2024年度 中小企業における情報セキュリティ対策に関する実態調査」の一部です。特にこの数字を含む「情報セキュリティに関する意識・状況」という章は、IT・セキュリティ関係者の間でかなり話題になりましたから、記憶している方も多いのではないでしょうか。

 

 

 

中小企業の直近過去3期のセキュリティ投資

出典：「2024年度 中小企業における情報セキュリティ対策に関する実態調査 －報告書－」

IPA（情報処理推進機構）

 

現実を直視し優先度を決めよう

 

大企業の子会社・委託先・海外拠点を含めたサプライチェーンリスクの増大、そして攻撃対象が中小企業にも広がってきた実態が指摘される中、中小企業の現実的な行動は、“限られた予算の範囲で何を優先すればいいか”、“どう振り分けるか”を考えていくことです。業種業態によらず共通するステップは以下です。

 

1.現状の把握

2.基本対策の立案・実施

3.情報収集と管理

 

1.現状の把握

自社の業種、サプライチェーンにおける位置を加味した上で、重要なシステムとデータを特定すること。過去に攻撃を受けた経験があれば、現状の一要素として予算配分の参考にします。社内に専門知識が不足する場合は、以下の2.と3.のプロセスと合わせて、外部のセキュリティ企業などに協力を依頼してもいいでしょう。

 

2.基本対策の立案・実施

重要な情報資産と過去の攻撃などの現状から、安全対策を再考します。認証情報（ID／パスワード）の管理、メールセキュリティ、侵入検知、ログ管理などのツールの導入・補強、重要データのバックアップ、社員教育などが挙げられます。業務とシステム形態によって補強すべき要素は異なりますが、認証情報の管理とメールセキュリティ、バックアップ、そして教育は特に優先度が高いと考えてください。

 

3.情報収集と管理

サーバーソフトやVPN装置などの脆弱性を突く攻撃は、企業にとって大きな脅威であり続けています。脆弱性はIPAのサイトなどで報告されますが、数が多すぎて対処できないという悩みをよく耳にします。しかし、全ての脆弱性の危険度が高いわけではありません。ある調査では、以下のように不正アクセスの手口としても脆弱性の放置が最多となっておりは、重大なリスクにつながる脆弱性は全体の3％程度と分析しています。

 

 

 

不正アクセスの手口。脆弱性は危険度の見極めが重要

出典：「2024年度 中小企業における情報セキュリティ対策に関する実態調査 －報告書－」

IPA（情報処理推進機構）

 

外部から悪用できる脆弱性か、悪用ツールは整備されているか、悪用の記録はあるか、そして自社環境との接点はあるか。こうした情報を前提に優先順位を付けることで、安全対策に必要なコストと労力は軽減できます。

 

情報の重要性は脆弱性対策に限りません。企業グループを狙ったDDoS攻撃、新しいランサムウェアを使うグループの活動、メールを起点とした認証情報の窃取多発など、攻撃の兆候を入手できているか否かで、対策の費用対効果は大きく違ってきます。

 

優先順位を定期的に見直そう

 

ここ数年、目立ったセキュリティ投資をしてこなかった企業では、数十万～数百万円の予算を確保すること難しいかもしれません。しかしセキュリティ投資は、任意のIT投資ではなく、事業継続に必要な投資であるという点は、政府機関や業界団体も繰返し訴求しているところです。

 

制度面でも、2027年3月頃から経済産業省などが策定した「サプライチェーン強化に向けたセキュリティ対策評価制度」の運用開始が予定されています。経済産業省やIPAなどの調査報告を見ても、子会社と関係会社、委託先など、サプライチェーン全体を管理しきれていない大企業は少なくないとされています。中小企業にとって、この状況に対応する行動は事業継続と差異化の武器にもなるのです。

 

セキュリティ投資は、機器とサービスを導入して終わりではありません。担当者の明示、継続的な運用管理と従業員教育、そして新しい脅威の動向などの変化を常に把握し、優先順位と対策の内容を定期的に見直すこと。これらを念頭に置いて、限られたリソースを有効活用してください。