セキュリティ予算

計算式と考え方

推奨予算は「売上高 × IT予算比率 × 業種別のセキュリティ配分比率」で求めます。売上50億円・IT予算比率1.5%ならIT予算は75百万円です。一般業種の配分比率10%を掛けると推奨予算は7.5百万円となり、売上高に対しては0.15%、従業員800人なら1人あたり9,375円にあたります。現在予算が5百万円なら2.5百万円の不足です。被害額150百万円・発生確率8%とすると年間の期待損失は12百万円になります。

業種別のセキュリティ予算配分（IT予算比）

セキュリティ予算の詳しい解説

セキュリティ予算をIT予算に対する比率で語るのは、守るべき対象の規模がIT投資額とおおむね比例するためです。システムの数、扱うデータ量、外部との接続点はIT予算の増加とともに増え、それに応じて防御・検知・対応の負荷も増えます。売上高比で見ると業種による差が大きく出すぎるため、実務ではIT予算比のほうが比較しやすい指標として使われています。業種で配分比率が変わるのは、想定される攻撃者と規制の強さが違うためです。金融は資金そのものが目的になるため標的型攻撃の対象になりやすく、監督官庁の検査で体制の妥当性を説明する必要があります。医療や重要インフラは停止による影響が金銭に換算しにくく、復旧時間の短縮に費用がかかります。一般の製造業やサービス業は規制の直接的な圧力が弱い一方、近年は取引先からの供給網に対する要求が実質的な基準として機能しはじめており、監査への回答工数を含めた費用が増えています。実務で判断が分かれるのは、予算を製品の購入に充てるか人と運用に充てるかという配分です。検知製品を導入しても警告を読む人がいなければ機能しないため、監視の外部委託や訓練を含めた運用側に一定割合を残す設計が求められます。目安として、製品費に対して運用費が同程度かそれ以上になる構成が現実的とされます。見落とされやすいのは、費用が単年で完結しないことです。ライセンスは毎年更新され、監視委託は月額で続き、認証の維持審査は定期的に発生します。初年度の導入費だけで計画を立てると、二年目以降に運用費が積み上がって予算が破綻します。また、期待損失との比較は説得力のある材料ですが、発生確率は自社の実績から推定できるほどの件数がないことが普通で、公表されている被害事例や業界統計を参照した幅のある推定にとどまります。期待損失が推奨予算を大きく上回る場合でも、その差額をそのまま増額の根拠にするのではなく、被害額の内訳のうちどこを減らせる投資なのかを対応づけて説明するほうが、経営層の合意を得やすくなります。制度面では、個人情報の漏えい時に報告が義務づけられている点など、確認しておくべき要件があります。

業界・現場での使い方

よくある間違い・注意点

• 製品の購入費だけを予算に計上する — 検知の仕組みは運用する人がいて初めて働きます。監視委託や訓練を含めた運用費を同程度は見込んでください。
• 初年度の費用で計画を立てる — ライセンス更新や監視委託は毎年発生します。二年目以降の継続費を含めた複数年の計画にしてください。
• 期待損失の差額をそのまま増額根拠にする — 発生確率の推定は幅が大きく、単独では根拠になりません。被害の内訳と対策の対応づけまで示してください。

関連する規格・法規

• NIST
• IPA

※本ツールは公的基準に基づく参考計算です。実際の設計・施工・法令適用は最新の告示・規格および所轄官庁の判断に従ってください。

よくある質問（FAQ）

関連計算ツール