注記：この記事の内容は、ブログのサンプルとしてAIに生成させた「詰め物」の文章です。 運営者の意見を表明するものではありません。

製品の導入でも、ペネトレーションテストでもなく、預かっている情報の値段を足し算することだと、私は考えています。

セキュリティ対策の最初の一手は何か。 そう聞かれると、多くの人が製品の名前を思い浮かべます。 最新のEDRを入れるべきか、それとも外部の業者にペネトレーションテストを頼むべきか、あるいはUTMを更新すべきか。 何を守るべきかという議論を差し置いて、真っ先にパンフレットを広げて性能を比べる作業から始まってしまうことがあります。 どれも大事です。 ですが、順番は最初ではない、というのが私の意見です。 中身が分からないのに、入れ物の話ばかりしているように見えます。

1000万円の金庫に100万円を入れる

100万円の現金をしまうために、1000万円の耐火金庫を買う人はいません。 誰が見ても間抜けな話です。 万が一、悪意を持った侵入者に金庫をこじ開けられて現金100万円を盗まれたとしても、その盗難を防ぐために買った耐火金庫の代金のほうが900万円も高くついてしまうからです。 大赤字です。 守る金額の上限は、守るものの価値で決まります。 当たり前の算数です。 ところがセキュリティの話になると、この当たり前の算数がどこかへ吹き飛んでしまいます。 金庫の中にしまわれているのが、ポケットマネーの100万円なのか、それとも会社の屋台骨を揺るがす10億円なのかを誰も計算していないのです。 目隠し状態です。 中身の金額を知らないまま、立派な鍵を買いに行きます。 私はそれを、よくある光景だと感じています。 統計を取ったわけではありませんが。

担当者と経営の会話

両者の間では、こういうやり取りが起こりえます。

「このツールで、ランサムウェアの侵入を大幅に減らせます。初期費用800万円、年間保守300万円です」 「うちは、何を、いくらぶん守れるんだ」 「……最新の脅威から、全社を守れます」

これでは会話が噛み合いません。 担当者を責める気はありません。 問いに答える材料が、手元にないだけです。 材料とは、守るものの値段のことです。 守る対象の値段が分からなければ、年間300万円のセキュリティ投資が高いのか安いのか、誰にも決められません。 決められないまま、買うか、買わないか、の二者択一になります。

情報の値段とは何か

貸借対照表を開いても、名簿や図面は資産として載っていません。 では、情報の値段とは何でしょうか。 売却益ではありません。 ここでは、失われたとき、漏れたときに発生する損害の合計と決めます。 損害は、おおむね三つに分けられます。

  1. 盗まれたり壊れたりして、事業が止まる損害(復旧と停止)
  2. 漏れた相手への賠償や、通知、調査の費用
  3. 失う信用。取引停止や、離れる顧客

3つ目は、金額にしにくい。 そこで私は、「失いそうな取引の年間の粗利」で置き換えることを勧めます。 正確ではありませんが、ゼロと書くよりは、ずっと近いはずです。 大雑把でもいいから、まずは数字を置いてみるのが先決です。

仮の会社で、検算します

次の数字は、すべて仮です。 実在の会社でも、調査の結果でもありません。 従業員100人のBtoBの会社で、4つの情報を預かっているとします。

情報 規模 損害の単価(仮) 損害の合計
顧客担当者の名簿 10,000件 1件3,000円(通知と調査と問い合わせ対応) 3,000万円
取引先の試作図面 30社ぶん 1社1,000万円(賠償と取引停止) 3億円
基幹システムのデータ 1式 再構築と業務停止 5,000万円
社員の人事労務データ 100人ぶん 1人5万円(見舞いと対応) 500万円

合計は3億8,500万円です。 そのうち、図面が3億円で、約78パーセントを占めます。 ここに、表にしてみて初めて分かることがあります。 セキュリティの話題は、どうしても顧客名簿の流出から始まりやすい。 ですが、この会社で真っ先に守るべき本丸は、名簿ではなく、図面です。 表に書かなければ、気づきません。 ただし、この表の単価は、私が置いた仮の数字です。 実際の単価は、各社で全く違います。 同じ名簿でも、クレジットカード番号が入っていれば、桁が変わることがあります。

対策費の上限を、決めてみる

名簿だけを使って、もう一歩進めます。 損害が3,000万円で、何も対策しないときの年間の漏えい確率を10パーセントと仮定します。 3,000万円 × 0.1 = 300万円です。 これが、年間の期待損失になります。 平均して毎年300万円の損失が出る計算です。 年間1,000万円のツールは、明らかに高い。 保険の掛け金が、受け取れる保険金を超えているようなものです。 では、300万円なら妥当でしょうか。 実のところ、そうとも言えません。 経済学者のゴードンとローブは、2002年の論文で、最適な投資額は、期待損失の約37パーセント(1/e)を超えないことを示しました1。 この例なら、300万円の約37パーセントで、約110万円です。 つまり、期待損失と同じ額まで払う理由は、ない。 「損害と同じ額まで払ってよい」という直感より、かなり厳しい上限です。 ただし、この37パーセントは、すべての場合に成り立つ数字ではありません。 論文が扱った、ある種類の関数に限った結果です。 後の研究には、場合によっては期待損失の2分の1ほどまで必要になる、という指摘もあります2。 私はこれを、「厳密な法則」ではなく、「桁の目安」として使っています。 判断のラインを引くための道具です。 確率が当たらない、という反論は、もっともです。 10パーセントか、1パーセントか。 そんな精度で言える人はいません。 私も分かりません。 それでも、10倍違えば上限も10倍違うので、桁の見当はつきます。 十分です。 世界の平均を見ると、1件の漏えいにかかる費用は、2025年の調査で約444万ドルでした3。 平均なので、自社の数字にはなりません。 自分の表の桁が、これと何桁違うのかを見る材料として、置いておきます。

積算の落とし穴は、二つあります

自分で書いておいて何ですが、この方法にも弱点があります。 1つ目は、価値を低く見積もることです。 「うちは小さい会社で、大した秘密はない」 そう言って、取引先から預かった図面をゼロ円にしてしまう。 自社には日常の業務データでも、相手にとっては社運のかかった機密かもしれません。 自社が踏み台にされてサプライチェーン全体が止まったときの責任は、表に書かなかったからといって消えません。 2つ目は、積算そのものが目的になることです。 全部の評価が終わるまで、予算を組まない。 そうして1年が過ぎます。 玄関が開いたままなのに、家にある家財道具の鑑定書ができるまで鍵をかけないようなものです。 表は、桁が分かれば十分です。 精密さは、あとから足せばよい。 鍵のかけ忘れ(使い回しているパスワードの変更など)の確認は、表を作る前でも、今日できます。 足元を見ましょう。

明日の朝の、最初の1枚

難しいフレームワークは、要りません。 表計算ソフトを開いて、4列の表を作ります。 情報資産の名前、規模、1件あたりの損害、合計。 数字は、仮で構いません。 まずは概算です。 「これが全部消えたら、いくら損するか」 「これが外に出たら、謝罪と調査でいくらかかるか」 担当者と経営者が、同じ表を見ながら、桁を合わせる。 それだけで、先ほどの会話は変わりやすくなります。 「この3億円の塊を守るために、月額5万円の二要素認証を入れさせてください」 これなら、答えられる質問が、増えます。 もっとも、稟議が通るかどうかは、また別の話ですが。

Footnotes

  1. Lawrence A. Gordon and Martin P. Loeb, “The Economics of Information Security Investment,” ACM Transactions on Information and System Security, 5(4), 2002, pp. 438-457. DOI: 10.1145/581271.581274。「最適額が期待損失 vL の 1/e 以下」という内容は、解説記事(Wikipedia, Gordon–Loeb model)の記述で確認した。論文の本文そのものは、確認していない。 ↩

  2. Jan Willemson, “On the Gordon & Loeb Model for Information Security Investment,” WEIS 2006。「期待損失の少なくとも2分の1が必要になる関数がありうる」という批判として、上記 Wikipedia 記事が紹介している。原文は確認していない。 ↩

  3. IBM “Cost of a Data Breach Report 2025”。世界平均は444万ドルで、前年の488万ドルから9パーセント減。報道: CyberScoop, “IBM cost of a data breach 2025”。IBMの報告書そのものは、確認していない。 ↩