セキュリティ予算が通らない。取引・業務停止・運用負担で説明する稟議書

セキュリティ予算の稟議では、取引先から求められていること、止まると困る仕事、現在の対策との差、導入後の担当と費用を一緒に示します。損失額や投資効果を無理に作らず、契約の要求と自社の実測・見積もりを根拠にするのが出発点です。まずは未対応事項と、確認できている事実を一枚に整理してください。

---

取引先からのセキュリティ要件と自社のギャップは？

取引先要件のチェックリスト作成

取引先が提示する情報保護やサプライチェーンの要件は、契約書や取引先ポリシーに明記されています。まずは、要件を項目ごとに分解し、チェックリスト形式で整理しましょう。たとえば、暗号化の必須範囲、バックアップ頻度、ログ保管期間など、具体的な技術要件と運用要件を列挙します。

この段階で、社内の担当者に要件の意味を確認し、抜け漏れがないか二重チェックすることが重要です。

次に、チェックリストを元に社内の既存システムや運用手順と照らし合わせます。要件が満たされているか、部分的にしか対応できていないかを「対応済み」「未対応」「検討中」の３段階で分類し、一覧表にまとめます。こうした可視化は、稟議書で「現状のギャップ」を一目で示す材料になります。

自社現状と要件のギャップ分析

チェックリストで抽出した未対応項目は、ギャップとして明確に示す必要があります。まずは、未対応項目ごとにリスクレベル（高・中・低）を評価し、取引先からの要件違反がどの程度の影響を与えるかを考えます。たとえば、暗号化が不十分なままデータを共有すれば、情報漏洩リスクが高まり、取引停止の可能性が出てきます。

リスク評価の根拠として、IPAのガイドラインに記載された「サプライチェーン強化に向けた評価制度」の考え方を引用することで、外部評価者の視点でも一定の納得感を得られる可能性があります。ギャップごとに必要な改善策（ツール導入、手順改訂、教育実施）とその費用概算を添えることで、稟議書に具体的な投資対象を示すことができます。

ギャップ解消の具体策と費用見積

ギャップを埋めるための具体策は、機器・サービスの導入、社内手順の見直し、担当者の教育など多岐にわたります。まずは、各項目の優先順位を決め、最もリスクが高いものから順に対策を計画します。たとえば、暗号化が未対応であれば、暗号化ソフトウェアのライセンス費用と導入支援費を見積もります。

費用見積は、ベンダーから提示された見積書や、同業他社の導入事例を参考にします。見積書は「初期導入費」「年間保守費」「運用教育費」の３つに分け、総額だけでなく、年間コストも明示すると、投資対効果を説明しやすくなります。これらの情報を稟議書に添付し、取引先要件への適合性と費用の妥当性を示すことが重要です。

---

業務停止リスクを可視化する方法は？

重要業務の洗い出しと優先順位

業務停止リスクを説明するためには、まず自社の「停止すると事業に大きな影響がある」な業務を洗い出す必要があります。売上に直結する受注処理や顧客情報管理、サプライチェーンの受発注システムなど、停止した場合の影響が大きい業務をリスト化します。リスト化したら、業務ごとに「業務頻度」「売上比率」「顧客依存度」などの指標で評価し、優先順位を付けます。

この作業は、部門長や現場担当者へのヒアリングで行うと実態に即した評価が得られます。優先順位が高い業務ほど、セキュリティインシデントが起きた際の損失が大きくなるため、稟議書では「最重要業務は○○で、停止すると△△円/日」のように具体的な数値で示すと説得力が増します。

障害シナリオ別の損失試算

被害額を一つの数字で置く前に、システムが使えない間にどの仕事が止まり、どの対応が増えるかを整理します。例えば受注システムなら、新規注文の確認、既存注文の照会、顧客への案内、復旧後の転記などに分けます。担当者に、紙や別の手段で続けられる作業と、再開まで待つ作業を確認してください。停止時間の想定も、分かっている条件と仮定を区別して書きます。

金額で示す場合は、自社の契約、実際の作業時間、提供側の見積もりなど、確認できる根拠を使います。停止した時間の売上がすべて失われるとは限らず、延期された受注や後から回収できる作業もあります。分からない損失は未算定として残し、評判の低下などを任意の金額に置き換えないでください。

IPAの自己診断は対策状況を整理する道具であり、被害額を自動計算するものではありません。

復旧時間目標（RTO）と予算の関係

復旧時間目標は、業務をいつまでに再開したいかという目標です。バックアップがあることだけで、その時間内に戻せると決まるわけではありません。必要な機器、データ量、作業者、回線、社内での照合・承認まで確認します。例えば翌営業日の開始までに再開したいなら、その間の受付方法と、復旧後に入力し直す担当も合わせて検討します。

稟議では、異なる構成案ごとに費用と実現できる条件を並べます。短い目標を選べば常に同じ製品が必要という関係ではないため、提供会社には前提条件と試験結果を示してもらいましょう。目標と確認済みの実績は別欄にし、未検証の時間を復旧保証として扱わないことが重要です。費用に見合うかは、重要業務への影響、代替手段、継続して確保できる担当者を合わせて判断します。

運用負担とコストを比較する手順は？

人手とツールの工数算出

セキュリティ対策導入後の運用負担は、年間の工数で見積もります。まず、導入予定のツールやプロセスごとに、日常的な監視・更新・報告に必要な作業時間を洗い出します。たとえば、ログの監視やパッチ適用の頻度・所要時間は、導入する製品の仕様や自社のシステム規模に応じて決定し、ベンダーや担当部門に実際の条件を確認した上で見積もります。

次に、社内の担当者の時給や外部委託費用を掛け合わせ、年間の人件費を算出します。工数が明確になると、導入費用と運用費用の合計が把握でき、稟議書で「導入後の年間運用コストは○○円」と具体的に示すことが可能です。

外部委託と自社対応の比較

自社対応と外部委託を比べる際は、作業の範囲を揃えます。監視、通知、調査、機器の隔離、復旧では必要な権限と担当が異なります。外部委託したら担当者が常駐する、いつでも復旧してもらえるという前提を置かず、契約に含まれる時間帯、連絡方法、対応を開始する条件、追加費用を確認してください。

比較表には、初期費用と継続費用、社内に残る作業、担当者不在時の連絡、対象外の機器を記載します。対応時間を比較する場合も、通知を受けるまで、調査が始まるまで、業務が再開するまでを区別します。数字は相手の提案や自社の実測に基づくものだけを使い、説明を強くするために架空の平均値を置かないでください。

未確認の欄を残しておくことが、次の見積もりで聞くべき質問になります。

長期的な運用コストの試算

初期の購入費だけでなく、更新、運用確認、社員の入退社への対応、教育、機器交換の費用を整理します。見通す期間は自社の契約更新や機器の使用計画に合わせ、確認できる費用と変わる可能性がある費用を分けてください。利用人数や対象機器が増えたときに何が追加されるかも、提供会社の条件を確認して注記します。

数年分の表を作る場合は、金額を細かく予測するより、見積もりの有効期間、更新時の変更条件、社内作業の前提を明らかにすることが大切です。将来の被害減少額を根拠なく算定して支出と相殺しないでください。毎年見直す担当を決め、対象範囲の変化や実際の作業時間を更新すると、当初の想定から費用が変わった理由も経営会議で説明できます。

稟議書に盛り込むべき証拠と資料は？

IPAガイドラインからの根拠引用

IPAの「中小企業の情報セキュリティ対策ガイドライン」は、経営者が認識すべき指針と、対策を実践する手順を整理した資料です。稟議に使うときは、参照した版、項目、自社の課題との関係を明記します。ガイドラインに書かれた考え方と、自社が選んだ製品や予算案を区別し、資料がその購入案を承認・保証しているようには説明しません。

例えばバックアップが未整備なら、ガイドラインの関連項目、自社で確認した保管状況、改善案、復元を確かめる方法を一緒に示します。資料の該当部分を引用する場合は出典と範囲を明確にし、自社向けに整理した図や表はその旨を記載してください。チェック項目に印を付けただけで対策が完了したことにはならないため、実施記録や担当者の確認も添えると判断材料になります。

過去インシデント事例の整理

過去に自社でセキュリティインシデントが発生した場合は、（例：ウイルス感染での業務停止、顧客情報流出）を時系列で整理し、発生原因と被害額、復旧に要した工数をまとめます。インシデントがなければ説得しにくいですが、実際に起きた事例は「リスクの具体性」を示す重要な証拠です。

事例は、発生日時、影響範囲、対応策、結果の４項目で表にまとめ、稟議書の付録に掲載します。さらに、同様のインシデントが業界で報告されている場合は、外部レポートへのリンクや要約を添えて、リスクが自社に限らないことを示すと、投資の必要性が客観的に伝わります。

稟議書テンプレート活用例

社内の書式がある場合は、その欄に合わせて、目的、根拠となる要求、現在の不足、比較した案、初期・継続費用、実施担当、完成の確認方法を記入します。すべての欄をもっともらしい数字で埋める必要はありません。例えば費用は正式見積もりを参照し、まだ依頼していない作業は見積もり取得予定として、次に確認できる時点を示します。

期待する結果も、売上や安全性の保証ではなく、確認できる状態として書きます。例えば、管理者認証の設定と復旧手順を確認できる、重要データを試験環境で戻して業務担当が内容を照合できる、といった条件です。承認後に誰が検収し、残る課題をどの会議で見直すかまで記載すると、予算の承認が作業の開始に結びつきます。

自社だけで作業範囲が決められなければ、未確定事項を整理して点検や見積もりの相談へ進めます。