出発点は「なぜセキュリティは評価されにくいのか」

　大半の企業の経営陣にとって、セキュリティは「何も起きなければ、成果が見えない支出」になる。直接、売り上げを生まない、利益を押し上げるわけでもない――。結果として、セキュリティはIT投資の中でも優先順位が下がりやすい。しかし、ここにこそ認識のズレがある。

　セキュリティは“利益を生む装置”ではないが、“利益を失わないための装置”だ。

　セキュリティ予算を確保するに当たり、最初に経営陣へ共有すべきなのは、セキュリティ予算を削った場合に何が起きるかという具体的な「被害シナリオ」だ。

「売り上げ創出」ではなく「損失回避額」で考える

　経営陣が投資判断をする際に見ているのは、ROI（投資対効果）だ。しかし、セキュリティ投資に、売上増加型のROIを求めると議論は必ず行き詰まる。ここで必要なのが、発想の転換だ。

　セキュリティの価値は「いくら儲かるか」ではなく、「どれだけの損失を防ぐか」で測る。

　ランサムウェア（身代金要求型マルウェア）攻撃をはじめとしたセキュリティインシデントによって、さまざまな被害が生じ得る。例えば、以下のものが考えられる。

• システム停止による事業中断
• 顧客情報漏えいによる信頼低下
• 取引停止、補償、訴訟対応に伴う長期的コスト

　これらは一度起きれば、数年分のセキュリティ予算を一瞬で上回る損失になる場合がある。つまり、セキュリティとは単なる「保険」ではない。事業継続の前提条件だ。

経営の言葉に翻訳する

　経営陣が知りたいのは、「EDR」（Endpoint Detection and Response）や「SASE」（Secure Access Service Edge）の機能ではない。「それが自社のビジネスにどう影響するか」ということだ。つまり、経営陣を説得するには、ITの話をビジネスの話に変えなければならない。経営陣に語るべきポイントは、次の3点に絞られる。

• 攻撃によってどの事業がどれくらいの期間止まるのか
  • 販売、物流、決済、顧客サポートなどが数時間止まるのか、数日止まるのか。物理的な被害を具体的に示す。
• 止まった場合の損失額とステークホルダーへの影響はどれくらいか
  • 売上機会の損失や賠償金はいくらか、顧客や取引先の信頼失墜が将来にどう響くかを説明する。
• 復旧までに誰が責任を負うのか
  • IT現場ではなく、最終的に説明責任を負うのは経営陣だと伝える。

　この「翻訳」をした瞬間、セキュリティは情シスの課題から、経営リスクに変わって迫力が増す。

予算の出し方を「一括要求」から「段階投資」に変える

　もう一つ、セキュリティに関して経営陣の理解を得にくくする要因がある。それは「何にいくら使うのかが見えない」ことだ。セキュリティ予算確保に成功している企業は、以下の3点を実施している。

• 現状把握
  • どこが最も危険なのか
• 優先順位付け
  • 今、守るべきIT資産は何か
• 段階的対策
  • 効果を確認しながら、徐々に投資を広げる

　この3つによって、セキュリティの予算は青天井のコストではなく、管理可能で、成果を確認できる投資だという印象を与えられる。特にクラウドサービスの利用が進む現在、セキュリティは「使った分だけ払う」サービス利用型に変わりつつある。これはスモールスタートが可能であり、経営判断と相性が良いだろう。

結論：セキュリティ予算は「未来の選択肢を守る投資」

　最後に伝えるべきメッセージはシンプル。セキュリティ予算は未来の選択肢を守る投資――セキュリティに投資しない企業は、成長戦略を選べなくなるということだ。AI（人工知能）といった新しい技術の活用、データ分析に基づいたサービス開発、クラウド移行、システムの外部連携。これらは全て、十分なセキュリティがあって初めて選択肢になる。

　セキュリティ予算とは、「事故を防ぐための支出」ではない。事業を止めず、挑戦し続けるための経営投資だ。この視点に立ったとき、セキュリティ予算の議論は「削るかどうか」から「どう使うか」へと変わる可能性がある。