セキュリティにお金をかけても、売上は1円も増えない
公開日：2026年11月4日｜カテゴリ：セキュリティ・経営・投資判断
「セキュリティにお金をかけても、売上は1円も増えない」。経営会議でこう言われて、予算を削られた経験のある担当者は少なくないはずです。実際、IPA（情報処理推進機構）の2024年度調査では、中小企業の62.6％がセキュリティに「投資していない」と回答しています。理由の上位は「必要性を感じない」「費用対効果が見えない」「コストがかかりすぎる」でした。
しかし、この判断は数字で検証すると成り立ちません。本記事では、セキュリティ対策を投資として評価する具体的な計算方法、どのくらいの金額をかけるべきかの目安、そして「被害にあわない」ことが会社にどれだけの利益をもたらすかを、行動経済学と成功している経営者の考え方から解説します。
第1章 被害は「決算書」に表れる
まず、サイバー攻撃が企業の業績にどう響いたのか、公表された数字で確認します。
【図1】サイバー攻撃が業績に与えた影響（公表情報より）
| 事例 | 何が起きたか | 業績への影響 |
| アスクル （2025年） |
ランサムウェア攻撃で受注・出荷が停止 | 中間期の売上12.3％減、営業利益は約90億円悪化、特別損失52億円 |
| アサヒグループ （2025年） |
受注システムの復旧に約2か月、全商品の出荷再開まで約半年 | 2025年の一時費用は約170億円。2026年も一時費用約60億円、セキュリティ費用約35億円を見込む |
| 中小企業の平均 （IPA調査） |
過去3期の被害。復旧期間は平均5.8日、最長360日 | 平均73万円、最大1億円。被害企業の約7割が取引先にも影響 |
中小企業の平均73万円という数字を見て「大したことはない」と感じたなら、注意が必要です。これは平均値であり、被害の分布は極端に偏っています。多くの企業は小さな被害で済む一方、ごく一部の企業が事業継続を揺るがす損失を負います。経営判断で見るべきなのは平均ではなく、「自社が最悪のケースになったときに耐えられるか」です。
第2章 なぜ経営者は「投資しない」を選ぶのか
① 損失の局面では、人はギャンブルを選ぶ
ノーベル経済学賞を受賞したカーネマンとトヴェルスキーのプロスペクト理論によれば、人は利益の局面では確実さを好み、損失の局面では一か八かの賭けを好む傾向があります。「確実に500万円払う（対策費）」と「10％の確率で1億円失う（被害）」を比べると、多くの人は後者の賭けを選びます。確実な出費の痛みの方が、不確実な大損より強く感じられるからです。
② 確率の丸め込み——「10％」は「起きない」に変換される
人間の脳は、小さな確率を正確に扱うのが苦手です。年10％の確率は、1年単位では「たぶん起きない」と丸められます。しかし、10年間で一度も起きない確率は約35％しかありません。10年経営を続ければ、約3社に2社が一度は被害にあう計算です。
③ 予防のパラドックス——防いだ成果は誰にも見えない
思想家ナシーム・タレブは、ある議員が航空機の操縦室ドアの施錠を義務づけ、テロを未然に防いだとしても、彼が英雄として称えられることはないと指摘しました。何も起きなかったことは、誰の目にも成果として映らないからです。セキュリティ対策がうまくいくほど「何も起きないのだから、予算は不要では」という声が強くなる。これが予防のパラドックスです。
第3章 「いくらかけるべきか」を数字で出す
感覚に頼らず判断するために、具体的なモデル企業で計算してみましょう。
ステップ1：最悪のシナリオで被害額を見積もる
ランサムウェアで基幹システムが1か月停止し、顧客情報の一部が漏えいした場合を想定します。
【図2】モデル企業の被害額の内訳（試算）
| 取引先の離脱（翌年の粗利減） |
3,000万円
|
| 1か月の操業停止（逸失粗利） |
2,500万円
|
| 調査・復旧の外部費用 |
2,000万円
|
| 漏えい対応（通知・窓口・補償） |
2,000万円
|
| 信用回復・その他 |
2,000万円
|
| 臨時人件費・手作業対応 |
500万
|
合計：約1億2,000万円（売上の12％、年間粗利の4割）
※モデル企業の仮定に基づく試算。実際の金額は業種・規模・被害内容で大きく変わります
注目すべきは、最大の項目が「取引先の離脱」だという点です。IPA調査で被害企業の約7割が取引先に影響したと答えているように、被害は自社だけで完結しません。
ステップ2：年間の期待損失を出す
対策をしていない状態で、この規模の被害が起きる確率を年10％と仮定すると、年間の期待損失は1億2,000万円×10％＝1,200万円です。つまり、対策をしない会社は、目に見えないだけで毎年1,200万円分のリスクを抱えていることになります。
ステップ3：2つの物差しで投資額を決める
【図3】適正な投資額を導く2つの物差し
| 物差し1：売上高の0.5％
日本サイバーセキュリティ・イノベーション委員会（JCIC）が示す目安。 → 年500万円 |
物差し2：期待損失の約37％
ゴードンとローブの研究では、最適な投資額は期待損失の約37％（1/e）を超えないとされる。 → 年約440万円 |
2つの物差しは、どちらも年400万〜500万円程度を示しています。従業員1人あたりに換算すると年8万〜10万円、月7,000〜8,000円ほどです。もちろん、これは上限の目安であり、全額を使い切る必要はありません。重要なのは、「いくらまでなら合理的か」という天井を、感覚ではなく計算で持っておくことです。
第4章 予算を「効く順」に配分する
予算の上限が決まったら、次は使い道です。セキュリティ対策は、費用と効果が比例しません。安くて効果の高い対策から順に実施するのが鉄則です。
【図4】費用対効果で見た対策の優先順位
| 費用が小さい | 費用が大きい | |
| 効果が大きい | 最優先（今すぐ） 多要素認証、OS・ソフトの更新、ネットから切り離したバックアップ、退職者アカウントの削除 |
計画的に導入 EDR（端末の監視）、外部の監視サービス、古いシステムの更新 |
| 効果が限定的 | 並行して実施 年1回の全社研修、ルールの文書化 |
慎重に検討 自社に合わない高機能製品、使いこなせない多機能ツール |
第5章 「被害にあわない」ことは利益を生む
投資家ウォーレン・バフェットの有名な原則は「ルール1：絶対に損をするな。ルール2：ルール1を忘れるな」です。資産を大きく減らすと、元に戻すには減った割合以上の成長が必要になります。50％失えば、元に戻すには100％の成長が必要です。大きな損失を避けること自体が、最も確実なリターンなのです。
さらに、セキュリティ対策には「守り」だけでなく「攻め」の価値もあります。
【図5】セキュリティ投資がもたらす2種類のリターン
| 守りのリターン（損失回避） | 攻めのリターン（価値創出） |
| ● 操業停止による売上損失を防ぐ ● 調査・復旧費用が発生しない ● 賠償・漏えい対応費用が発生しない ● 経営者と社員の時間を奪われない |
● 取引先の審査に通り、新規取引を獲得できる ● 補助金の申請要件を満たせる ● 「安心して任せられる会社」という信用が採用や営業で効く ● 多要素認証やパスワード管理で、ログイン作業が速くなる |
特に重要なのが取引への影響です。経済産業省は、取引先のセキュリティ水準を星の数で示す「サプライチェーン強化に向けたセキュリティ対策評価制度」を2026年度中に始める予定です。★3は全企業が最低限目指すべき水準、★4は第三者評価を前提とした標準的な水準とされています。制度自体は任意ですが、大企業が取引先に一定の星を求めるようになれば、セキュリティ対策は取引に参加するための「入場券」になります。
また、IT導入補助金を引き継いだ「デジタル化・AI導入補助金」では、IPAの「SECURITY ACTION」の自己宣言が申請の前提条件です。セキュリティへの取り組みが、そのまま資金調達の条件にもなっているのです。
第6章 AIで「投資の説明」と「運用コストの削減」を両立する
使い方1：自社の数字で被害額を試算させる
第3章の計算は、AIに自社の数字を渡せば数分で作れます。前提条件を変えた場合の比較も簡単です。
「売上高8億円、粗利率25％、従業員40名の印刷会社です。ランサムウェアで基幹システムが2週間停止した場合と1か月停止した場合の被害額を、逸失粗利・復旧費・取引先離脱などの項目別に試算してください。各項目の前提条件を明記し、根拠の弱い数字には『要確認』と付けてください。」
使い方2：逆から考えて稟議書を作る
バフェットの盟友チャーリー・マンガーは「逆から考えよ、常に逆から考えよ」を口癖にしていました。「どうすれば成功するか」ではなく「どうすれば会社が潰れるか」を先に考えるのです。AIに「当社がサイバー攻撃で廃業に追い込まれるシナリオを3つ考えて」と頼み、そのシナリオを防ぐ対策と費用を並べると、説得力のある稟議書の骨子ができあがります。
使い方3：日々の運用をAIで軽くする
セキュリティ費用の多くは、製品代ではなく人の手間です。ログの要約、脆弱性情報の確認、社員からの問い合わせ対応などをAIに任せれば、同じ予算でより多くの対策を回せます。AIは投資額を増やす道具ではなく、投資の効率を上げる道具として使うのが効果的です。
注意：AIに渡す数字の扱い
決算の数字や取引先名を入力する場合は、入力内容がAIの学習に使われない法人向けの契約や設定を使いましょう。試算段階では、金額を丸めたり、社名を伏せたりしても十分です。
まとめ 次の経営会議に持っていく「1枚」
予防のパラドックスに打ち勝つには、「何も起きていないこと」を数字で見える化するしかありません。次の経営会議には、次の1枚を用意してください。
【図6】経営会議用・セキュリティ投資判断シート
| ① 最悪シナリオの被害額 | ○○万円（逸失粗利＋復旧費＋取引先離脱＋漏えい対応） |
| ② 年間の期待損失 | ①×発生確率＝○○万円／年 |
| ③ 投資額の上限目安 | 売上の0.5％と、②の37％を比較 |
| ④ 今年度の投資案 | 図4の「最優先」から順に、対策と金額を列挙 |
| ⑤ 攻めのリターン | 取引先の要求（評価制度の星）、補助金要件、業務効率化 |
| ⑥ 成果の見える化 | 防いだ攻撃メールの数、更新適用率、復元テストの結果を四半期ごとに報告 |
セキュリティ対策は、利益を生まない経費ではありません。会社が積み上げてきた売上・取引・信用を、一夜で失わないための投資です。そして、その価値は計算で示すことができます。
【参考・出典】IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」／アスクル 2026年5月期中間決算（ネットショップ担当者フォーラム報道）／アサヒグループホールディングス公表情報（各種報道まとめ）／日本サイバーセキュリティ・イノベーション委員会（JCIC）の投資目安／L. A. Gordon, M. P. Loeb “The Economics of Information Security Investment”（2002）／経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度」関連情報
※モデル企業の試算は仮定に基づく例示です。発生確率・被害額は業種や規模で大きく異なります。投資判断にあたっては、自社の状況に応じて専門家にご相談ください。
タグ：セキュリティ投資, サイバーセキュリティ, 経営判断, ランサムウェア, 費用対効果, SCS評価制度, SECURITY ACTION, AI活用, 行動経済学
