経営層｢セキュリティ投資って本当に必要？｣→被害コストを5つに分解すれば会議で通る！懐疑的な人に"数字"で示すコツ

「セキュリティに年間これだけ投資しているが、効果があるのかわからない」。経営会議でこうした声が上がったことはないでしょうか。売り上げを生まないコストに見えるセキュリティ投資は、どうしても「本当に必要なのか」という疑問がつきまといます。

しかし、投資の妥当性が見えないのは、セキュリティそのものが測りにくいからではなく、「もし被害に遭ったらいくらかかるのか」という比較対象を持っていないことが原因です。被害額の見積もりなしに投資額だけを見ても、高いのか安いのか判断のしようがないのです。

被害コストを5つの要素に分解すれば、「いくらまでなら投資する意味があるか」が見えてきます。今回は、その具体的な考え方を解説します。

セキュリティ被害は｢想像より高くつく｣という現実

実際の被害額を見ておきましょう。トレンドマイクロの調査「セキュリティ成熟度と被害の実態2023」では国内企業1社あたりの累計被害額は平均1.3億円、ランサムウェア（身代金要求型マルウェア）被害では1.8億円に達しています。

この連載はこちら

KPMGが日本経済新聞社と共同で行った調査では、1億円以上の被害企業が10.1%まで増え、「10億円以上」の企業も同サーベイで初めて確認されました。

2024年のKADOKAWAへのランサムウェア攻撃では約24億円の特別損失が計上されており、信用毀損コストはこの上にさらに積み上がります。

次ページが続きます：
【被害コストを｢5つの費目｣に分解する】