セキュリティ入門 04｜セキュリティ予算はいくらにするか：まず一日止まったらいくら損するかを訊く

定期的な更新をすべきだ、遠隔地バックアップを足すべきだ、システムを常に見る人を置くべきだと誰かに言われたとき、最初に浮かぶのはきわめて実際的な問いです。この費用はいくらなら妥当なのか。

同業がいくら使っているかを聞き回ったり、企業のセキュリティ予算が売上の何パーセントかを調べたりしても、得られる数字はあなたの役に立たないかもしれません。紙と電話で受注している卸売業者なら、サイトが一日止まっても問い合わせメールが数通減るだけです。オンライン決済とデジタル広告からの流入で回っている EC なら、サイトが一日の午後止まるだけで、その日の広告費と二度と戻ってこない注文が燃えます。会社の規模が同じでも、耐えられる停止の代償はまったく違います。英国サイバーセキュリティセンター（NCSC）はガイダンス『10 Steps to Cyber Security: Risk management』の冒頭で明言しています——セキュリティのリスク管理の出発点は、自分の組織が何をしていて何をいちばん大切にしているかをはっきりさせ、資源を事業にとって本当に重要なところに集めることです。

セキュリティ入門の第 4 回です。セキュリティ入門 01｜公告が出た日：自分のシステムが該当するかどう見分けるかでバージョンの訊き方を扱ったのに続き、本稿は技術の話をせず、ひとつの勘定だけを一緒に計算します。他人がいくら使っているかから推すのではなく、自分が一日事故を起こしたらいくら損するかから逆算するのです。

なぜ同業の支出からあなたの数字は出ないのか

保険を買うとき、保険金額は自分の名義の建物がいくらの価値で、火事のあと建て直すのにいくらかかるかで決まります。隣の家がどの保険に入ったかでは決まりません。システムのセキュリティと運用も同じです。

システム完成後、毎月いくらかかるのか：保守費用の 3 つの算出方法では、「月いくらですか」と直接訊いても標準的な答えが返りにくい理由を分解しました。背後に、あなた自身しか知らない変数が三つあるからです。

• このシステムが一日壊れたら、業務が止まるのか：会社案内のページなら一日止まっても痛みはありません。顧客が発注し、店舗が決済し、工場が工程を組むシステムなら、一日止まることは数えられる損失です。
• 誰かが対応するまでどれだけ待てるのか：「来週手が空いたら直す」と「一営業日のうちに誰かが引き取らなければならない」は、まったく違う人員配置に対応します。
• 中のデータが失われたらやり直せるのか：コードは書き直せます。中身が何年も積み上げた顧客名簿と取引記録なら、失えばやり直すという選択肢がありません。

この三つを金額に換えれば、予算の上限はおのずと浮かび上がります。

まず左側の勘定：事故の一日に払う三つの費用

保守しないことの隠れたコスト：ダウンタイム、情報漏洩、直せないシステムで触れたとおり、保守費を節約するのは本当の節約ではなく、予測できる小さな支出を、予測できない大きな支出に取り替えることです。紙を一枚出して、システムが止まった一日、あるいは事故が起きた一日の代償を、自分で計算できる三つの勘定に分けてください。

• 一つめ：目に見える売上と広告の損失。会社の普段の一日のオンライン売上を書き出します。その日にデジタル広告を出していたなら、無駄に燃えた一日分の広告予算を足します。これはいちばん保守的な下限です——開かないサイトに当たってそのまま去り、二度と戻らなかった見込み客はまだ数えていません。
• 二つめ：社内の同僚が空転し、あとで入力し直す人件費。このシステムが社内の作業、発注、照合、顧客対応に使われているなら、その一日に何人の同僚が止まらざるをえず、紙に書き写し、翌日に倍の時間をかけて一件ずつ入力し直すことになりますか。影響を受ける人数に日給を掛ければ、それがその日に無駄に払った給与です。
• 三つめ：臨時の火消しの割増と事後処理の時間。普段決まった担当者がいなければ、事故の日に外部のエンジニアを臨時に呼ぶことになり、相手はまず見たことのないシステムを把握する時間が必要で、しかも急ぎの見積は平常の作業より必ず高くなります。顧客データの漏洩なら、あなた自身が一本ずつ顧客に説明し、苦情に対応し、原因を突き止める時間も足してください。

この三つを足せば、事故一日あたりの費用になります。そして忘れないでください。常に見ている人がおらず、すぐ使えるバックアップもない状況では、問題に気づいてから人を見つけ、原因を突き止め、完全に直すまでにかかる時間は一日では済まないかもしれません。

次に右側の勘定：四段階で妥当な月予算を逆算する

事故一日あたりの費用が分かれば、予算を感覚で当てる必要はありません。以下の四段階で、会社にとって妥当な範囲が自分で出せます。

この式の論理は単純です。保守しないことの隠れたコスト：ダウンタイム、情報漏洩、直せないシステムで述べたとおり、一度の事故の総損失を、あなたが「先に節約しておきたい」月数で割り、その数字を毎月の保守費と比べます。毎月の保守費がその数字よりずっと小さいなら、この予算が買っているのは支出ではなく、災害を戸口の外に止めておく割のよい取引です。

予算が限られているとき、どの順番で使うか

計算したうえで予算がやはり限られていて、すべての防御を一度に揃えられないなら、予算を均等に削るのではなく、事故のときにどれがいちばん命を救うかの順番で使ってください。

• 第一順位：遠隔地バックアップと復元の訓練。費用はいちばん低く、それでも命を保つ最低線です。御社の AI 製品にバックアップはありますか：データベースとファイルの最低基準に明確に書いたとおり、毎日自動でバックアップし、別のホストか別の事業者に置いておけば、最悪のランサムウェアや破損が起きてもゼロからやり直すことにはなりません。
• 第二順位：定期的なセキュリティ更新と、余分な扉を閉めること。既知の脆弱性を埋め、使っていない古いサイトと退職者のアカウントを閉じ、自動走査の攻撃プログラムが入れないようにします。
• 第三順位：基本的な生存と異常の監視。サイトが落ちたとき、誰が最初に知るか：小さなプロダクトにも必要な監視の最小構成で述べたとおり、サイトが落ちたときやディスクが満杯に近づいたときに、システムを見ている人があなたの顧客より先に通知を受け取るようにします。

システム完成後、毎月いくらかかるのか：保守費用の 3 つの算出方法と月額費用に「含む」と「含まない」：保守プランの読み方で、この三つを日々の不具合対応と同じ一つの保守にまとめているのは、まさにこの三つのどれか一つが欠けても、システムを本当に見ているとは言えないからです。

計算し終えたあとに

セキュリティと運用の予算は底なしの技術費用ではなく、経営者の算数の問題です。三点にまとめます。

• 他人の支出を訊くのではなく、自分のシステムが一日止まるといくら売上が減るか、どれだけ空転するか、火消しにいくらかかるかを先に訊いてください。
• 計算した一度の事故の損失を月あたりに割り、固定の基本保守費と比べれば、いまこの費用を節約することが得なのかどうかが分かります。
• 予算の一単位ごとに、明確な責任を買ってください。どれだけ早く応答するか、どれくらいの頻度でセキュリティ更新をするか、バックアップをどこに置くか——すべて文書に残してください。

恩梯科技（NT IT）は受託開発を出発点とするシステムソフトウェア企業で、現在は AI システムの長期的な保守を手がけています。左側の表を計算し終えて、自分のシステムに毎月どれだけ手をかけるべきか、いまどの部分が欠けているかを知りたいなら、一度のシステム健康診断から始められます。見るのはコード、データベース、デプロイ、セキュリティの四面で、その全容はシステム健診では何を見ているのか：コード、データベース、デプロイ、セキュリティの 4 領域に書いています。システム健康診断のご予約