中小企業のセキュリティ予算と経営層への説明術｜費用対効果の数字で通す稟議の作り方

2026年7月3日

情シスが1人で担う中小企業では、「セキュリティを強化したいのに予算が取れない」という壁にぶつかることが多いものです。技術的に何が必要かは分かっていても、経営層への説明で詰まってしまう担当者は少なくありません。

この記事では、セキュリティ予算を通すための「経営層目線の伝え方」と、費用対効果を数字で示す稟議書の作り方を現場目線で解説します。専門用語を使わずに経営判断を引き出す方法から、段階的な予算化プランまで、情シス1人でもすぐ活用できるかたちで紹介します。

セキュリティ予算が承認されない根本原因

予算申請が通らないとき、多くの情シス担当者は「経営層がセキュリティを軽視している」と感じます。しかし実際には、判断に必要な情報が経営層に伝わっていないことが原因であるケースがほとんどです。

経営層がセキュリティ投資の判断を迷う理由は、主に3点です。

・「何が起きるのか」がイメージできない: 「脆弱性がある」「不正アクセスのリスクがある」という説明は、具体的な損失イメージにつながりにくい
・「いくら使えばよいか」が分からない: セキュリティ対策は「これだけやれば十分」という終わりが見えにくく、投資判断が難しい
・「他社も同じなら急がなくていい」と思っている: 業界での立ち位置が分からないと、優先度が下がりやすい

技術的な必要性をいくら説明しても、経営層が必要とする「ビジネス上の判断材料」が揃っていなければ承認は得られません。

経営層が判断基準にしていること

経営層が投資を判断するとき、頭の中にあるのは「リスクとリターンのバランス」です。セキュリティは直接的な売上貢献が見えにくいため、「リスクを避けるための支出」として説明する必要があります。

具体的に経営層が気にしているポイントは次の通りです。

・インシデントが起きたとき、いくらの損失になるか: 業務停止日数 × 売上機会損失 + 復旧費用 + 罰則・賠償リスクという形で試算できる
・何もしない場合と対策した場合の差: 「対策コスト」と「インシデント発生時の損失額 × 発生確率」を比較できると判断しやすい
・競合他社・取引先が求めるレベル: 取引先からセキュリティ要求が来ていれば、それは「ビジネス継続のための必須投資」に変わる
・法規制・認証要件: 個人情報保護法・改正電気通信事業法・各種認証（ISO 27001・Pマーク等）の要件は外部圧力として機能する

費用対効果を「経営言語」で伝える3つの手法

1. 損失見込み額でリスクを可視化する

セキュリティリスクを「確率 × 影響額」で表現すると、経営層に伝わりやすくなります。

たとえばランサムウェア感染を例に取ると、次のような試算が可能です。

項目	概算
業務停止期間	平均10日間前後（国内調査より）
1日あたりの売上機会損失	自社実績から試算（例: 50万円/日）
復旧作業・外部委託費用	100万円～500万円（規模による）
顧客・取引先への謝罪・対応コスト	数十万円～
合計損失見込み	600万円～1,000万円以上

対してバックアップ強化やEDR（端末保護ソフト）の導入費用が年間50万円前後であれば、費用対効果は明確です。「50万円の対策で600万円以上の損失を防ぐ」という表現は、経営判断にとって非常に分かりやすい材料になります。

2. 業界事例・調査データを活用する

自社だけのリスク試算では「うちは大丈夫」という反応が返ってくることがあります。そこで業界全体のデータを使って外圧を見せます。

IPA（情報処理推進機構）が毎年発表する「情報セキュリティ10大脅威」や、警察庁のサイバー犯罪統計は、社内説得に活用しやすい公的データです。

・ランサムウェア被害の報告数: 警察庁発表によると、国内企業のランサムウェア被害は年々増加しており、中小企業が標的になるケースが増えている
・被害に遭った企業規模: 大企業だけでなく、従業員数十名規模の企業でも被害事例が報告されている
・取引先からのセキュリティ要求の広がり: 製造業・医療・行政の取引先がセキュリティチェックシートの提出を要求し始めている事例は、自社の取引先に照らし合わせると説得力が増す

3. 「何もしないコスト」を先に計算する

「セキュリティ対策にXX万円かかります」と言うと、出費として見られます。しかし「何も対策しないと、インシデント発生時にYY万円の損失が出ます」と言うと、リスクマネジメントの話になります。

この視点の転換が、経営層の判断を変えるカギです。

・「0か100か」でなく「確率とコスト」で語る: 「完全に防ぐことはできませんが、インシデント発生確率を大幅に下げ、発生時の被害を最小化できます」という表現が現実的で伝わりやすい
・「保険料」のたとえ話が効く: 火災保険に加入するのと同じロジックで、「リスクに備えるコスト」として提示すると理解が得やすい

通りやすい稟議書の作り方

1. 現状の課題と対策内容をシンプルに整理する

稟議書は「技術的な詳細説明書」ではありません。経営層が5分で読んで判断できる資料を目指します。

構成は次のシンプルな3ブロックで十分です。

・現状のリスク（問題提起）: 今何が問題なのか、それによってどんな損失が起きうるのか
・提案内容（対策）: 何をいくらで導入するのか
・期待効果（リターン）: 対策によってどのリスクがどの程度軽減されるのか

専門用語は極力使わず、「ランサムウェア」「フィッシング」などの用語は1行で補足説明を加えると読みやすくなります。

2. 費用・効果・リスクを表で比較する

比較軸	対策なし	今回の対策あり
ランサムウェア感染時の想定損失	600万円以上	早期検知・隔離により被害を大幅に限定できる
取引先からのセキュリティ要求への対応	対応不可（取引停止リスク）	基本要件をクリア
年間導入・運用コスト	0円	約50万円（規模・ツールによる）

3. 段階的なロードマップを提示する

一度に大きな予算を要求すると、「リスクが高い」と判断されて却下されやすくなります。優先度の高い対策から始める「フェーズ分け」を提示することで、承認のハードルを下げられます。

・フェーズ1（3か月以内・低コスト）: 多要素認証の全社展開、OSアップデートの自動化、バックアップの定期確認
・フェーズ2（半年以内・中コスト）: EDR / エンドポイント保護ツールの導入、パスワードマネージャーの全社展開
・フェーズ3（1年以内・追加検討）: セキュリティ教育の定期実施、外部診断（脆弱性スキャン）の導入

「まず今期はフェーズ1だけお願いします」という提案は、経営層にとって判断しやすく、承認が得やすいです。実績を積んでからフェーズ2以降の予算を取りに行くのが現実的な進め方です。

経営層が動く「3つの外部トリガー」

通常の稟議が通りにくいとき、次の3つの外部要因が後押しになることがあります。タイミングを逃さずに提案を持ち込むのが重要です。

・取引先からのセキュリティ要求: 「発注先にセキュリティチェックシートの提出が求められた」という実例は、経営判断を強制的に前進させます。このチェックシートの項目を稟議書に添付するのが効果的です
・同業他社のインシデント報道: 競合企業や業界内の企業がランサムウェア被害にあったタイミングは、「うちも対策が必要だ」という気運が高まりやすい提案の好機です
・法規制・認証取得の必要性: 個人情報保護法の改正対応・ISO 27001取得・ISMS認証・Pマーク更新など、外部から要求される認証要件がある場合は、それを前面に出すと経営層が動きやすくなります

法律・規制に関わる要件の詳細については、法律の専門家にご確認ください。

よくある失敗パターンと注意点

・「最悪のシナリオ」を強調しすぎる: 脅威を過度に煽ると「大げさに言っているだけでは」と受け取られ、信頼性が下がります。データに基づいた現実的なリスク説明にとどめましょう
・初回で全ての予算を取ろうとする: 金額が大きいほど反射的に却下されやすくなります。段階的な提案で実績を作り、翌年度以降に追加予算を取るのが現実的です
・一度否決されたら終わりだと思わない: 経営環境は変わります。業界の事件・取引先の要求・法改正など、次の稟議が通りやすいタイミングを見計らって再提案する姿勢が大切です
・「費用削減」の文脈でも提案できる: 「今使っているツールを整理・統廃合してコストを下げながらセキュリティも向上できます」という提案は、承認を得やすいパターンのひとつです

本記事のまとめ

セキュリティ予算を通すために重要なのは、技術的な説明ではなく「経営言語への翻訳」です。リスクを損失額で示し、費用対効果を分かりやすく整理し、段階的な提案で承認のハードルを下げることが鍵になります。

ポイント	具体的なアクション
リスクの可視化	インシデント発生時の損失額を試算して提示する
外部データの活用	IPA・警察庁の統計・業界事例を引用する
段階的な提案	フェーズ分けで初回の承認ハードルを下げる
外部トリガーを逃さない	取引先要求・インシデント報道・法改正のタイミングを活用する