【サイバーセキュリティ】「セキュリティ投資のROIを説明できない」がなくなる ― 経営層を納得させる費用対効果の伝え方

～リスクの金額換算・投資効果の可視化・経営会議で通るプレゼン術の3本柱で、予算を勝ち取る～

「セキュリティ対策が大事なのはわかっている。でも、いくら投資すればいいのか、その投資でどれだけリスクが減るのか、経営会議で説明できない。」

中小企業の情報システム担当者やセキュリティ推進担当者であれば、一度はこんな壁にぶつかったことがあるのではないでしょうか。上司や経営層から「で、それをやるといくら得するの？」と聞かれて言葉に詰まった経験。「必要なのはわかるけど、今期は見送りで」と予算を削られた経験。

問題は、セキュリティ対策の必要性が間違っているのではなく、伝え方が経営層の判断基準に合っていないことにあります。

本記事では、リスクの金額換算、投資効果の可視化、経営会議で通るプレゼン術の3本柱で、「セキュリティ投資の費用対効果を経営層に説明できるようになる」ための具体的な方法を解説します。

この記事を読み終える頃には、「セキュリティ投資のROIをどう説明すればいいかわからない」という悩みが、「数字と論理で経営層を納得させられる」という自信に変わっているはずです。

この記事でわかること

経営層にセキュリティ予算が通らない本当の原因
セキュリティ予算を通せる人に共通する3つの特徴
リスクを「経営者の言葉」に翻訳するフレームワーク
リスクを金額に換算する具体的な計算手法
経営会議で使えるプレゼン資料の作り方

1. 良かれと思ってやっている誤ったプレゼン

セキュリティ予算が通らない原因の多くは、提案内容そのものではなく、伝え方にあります。しかも厄介なのは、担当者が「これが一番説得力がある」と信じている説明方法が、実は経営層には刺さっていないケースが非常に多いことです。

ここでは、情シス担当者が「良かれと思ってやっている」5つの誤ったプレゼンパターンを紹介します。あなたのプレゼンに当てはまるものがないか、チェックしてみてください。

良かれと思って「技術的な必要性」だけで説明している

「ファイアウォールの老朽化が進んでおり、最新のシグネチャに対応できていません。UTMへのリプレースが急務です。」

技術者としては100点の説明です。しかし、経営層が聞きたいのは「ファイアウォールが古い」という事実ではなく、「それが古いと、わが社にどんな損害が起きるのか」です。

経営者は毎日、複数の部門から予算要求を受けています。営業部門は「新規CRMを入れれば売上が10%伸びる」、人事部門は「採用システムを入れれば採用コストが年間200万円下がる」と、経営に対するインパクトで説明してきます。そこに「ファイアウォールが古いから替えたい」と言われても、優先順位の判断ができません。

技術的な必要性は「前提」であって「説得材料」ではない ― これが最初に押さえるべきポイントです。

良かれと思って「他社もやっている」を根拠にしている

「競合のA社もEDRを導入しました。業界的にも導入が進んでいます。」

「他社もやっている」は安心材料にはなりますが、投資判断の根拠にはなりません。なぜなら、経営者が知りたいのは「他社がやっていること」ではなく「自社にとって必要かどうか」だからです。

むしろ、「他社もやっている」を前面に出すと、経営層からは「うちはうち、よそはよそ。うちの状況に合わせて説明してくれ」と返されるのがオチです。IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策に関する実態調査（2024年度）」でも、セキュリティ投資を行っていない企業の約4割が「自社には必要ないと考えている」と回答しています。他社事例だけでは、この「自社には関係ない」という壁を突破できないのです。

他社事例は補足資料として使い、メインの説得材料は自社固有のリスクと数字で組み立てましょう。

良かれと思って「100%防御できます」と言ってしまっている

「このソリューションを導入すれば、ランサムウェアを完全にブロックできます。」

セキュリティの専門家であれば「100%の防御は存在しない」ことは常識ですが、予算を通したいがあまり、つい効果を大きく見せたくなる気持ちは理解できます。しかし、「100%」という言葉は、経営層の信頼を失う最も確実な方法です。

経営者は事業を運営する中で、「100%の保証」がいかに非現実的かを身をもって知っています。「100%防御できます」と言った時点で、「この担当者はリスクを正しく理解していないのではないか」という疑念が生まれます。

さらに危険なのは、万が一インシデントが発生した場合です。「100%防御できると言ったではないか」と責任問題になり、セキュリティ投資そのものへの信頼が揺らぎます。

正しいアプローチは、「この投資によって、リスクをX%からY%に低減できます」という相対的な表現です。経営者は「ゼロリスク」ではなく「リスクの許容範囲内へのコントロール」を求めています。

良かれと思って「最新のツール名」を並べてプレゼンしている

「SIEM、SOAR、XDR、NDR、CASBを組み合わせた多層防御アーキテクチャを提案します。」

技術カンファレンスであれば拍手が起きるかもしれません。しかし、経営会議でこの説明をすると、経営層の頭の中には「？」しか浮かびません。

人は理解できないものにお金を出しません。これは当然のことです。あなたも、医師から「〇〇症候群の疑いがあるので△△療法と□□投薬を組み合わせた治療プロトコルを推奨します」と専門用語だけで説明されたら、「本当に必要なの？」と不安になるのではないでしょうか。

経営層が理解できる言葉に「翻訳」する必要があります。「SIEM」ではなく「セキュリティの監視カメラ」、「EDR」ではなく「端末の異常を自動検知して被害を食い止める仕組み」、「CASB」ではなく「クラウドサービスの利用状況を見える化するツール」。「何ができるか」を経営者の日常語で伝えることが重要です。

良かれと思って「一括で大きな予算」を要求している

「セキュリティ対策の全面的な見直しが必要です。初年度の予算として2,000万円を要求します。」

セキュリティ対策は包括的に行うべき ― という考え自体は正しいです。しかし、初回の提案でいきなり大きな金額を要求するのは、経営層にとって「リスクの高い投資」に映ります。

これは、住宅を購入する際にいきなり「フルリノベーション5,000万円」を提示されるのと似ています。まずは「屋根の雨漏り修理50万円」から始めて、効果を確認した上で次のステップに進む方が、意思決定しやすいのです。

経営者が最も恐れるのは「大きなお金を使って、効果がなかった」というシナリオです。フェーズ分けして小さな成功を積み重ねるアプローチの方が、結果的に大きな予算を獲得できます。

誤ったアプローチ	なぜ通らないか	改善の方向性
技術的な必要性だけで説明	経営インパクトが見えない	事業への影響を金額で示す
「他社もやっている」が根拠	自社の必要性が不明	自社固有のリスクを分析
「100%防御できます」	非現実的で信頼を失う	リスク低減率で表現
最新ツール名を羅列	理解できないものには投資しない	経営者の言葉に翻訳
一括で大きな予算を要求	リスクが高い投資に見える	フェーズ分けで小さく始める

ここまでで、「あ、自分もやっていた」と思い当たるものがあったのではないでしょうか。安心してください。これらは多くの情シス担当者が陥る「あるある」です。重要なのは、ここから先の章で解説する「経営層に伝わる方法」に切り替えることです。

2. セキュリティ予算を通せる人の特徴

セキュリティ予算を毎年きちんと獲得できている担当者には、共通する特徴があります。それは特別なプレゼンスキルや政治力ではなく、「焦点」「行動」「量」という3つの視点で他の担当者と明確に異なっています。

焦点：「技術」ではなく「経営リスク」に焦点を当てている

予算を通せる人は、セキュリティを「技術的な課題」ではなく、「経営リスクの一つ」として位置づけています。

具体的には、提案書の冒頭に技術的な説明を置くのではなく、「この対策を行わなかった場合に、事業にどのような損害が生じるか」から話を始めます。

例えば、ある中小製造業の情シス担当者は、EDR導入の提案を次のように始めました。

「当社の基幹システムが1日停止した場合、売上損失は約500万円、復旧コストを含めると最大1,200万円の損害が見込まれます。EDRの導入により、ランサムウェア感染時の検知・対応時間を平均72時間から4時間に短縮でき、被害を最大95%抑制できます。年間投資額180万円に対し、リスク低減効果は年間1,140万円相当です。」

この説明には、技術用語の「EDR」が1回だけ登場しますが、それ以外はすべて金額と事業への影響で語られています。経営者はこの説明で「投資する価値がある」と判断できるのです。

行動：「年1回の予算申請」ではなく「日常的な情報共有」をしている

予算を通せる人は、年1回の予算申請の場で初めてセキュリティの話をするのではありません。日常的に、小さなセキュリティ情報を経営層に共有しています。

「先月、同業他社でランサムウェア被害が発生し、3日間業務が停止したそうです。当社の現状と比較した簡易レポートを作りました。」
「今月のセキュリティログを分析したところ、不審なアクセスが先月比で15%増加しています。現時点で実害はありませんが、傾向をお知らせします。」

このような日常的な情報共有は、3つの効果を生みます。

経営層のセキュリティリテラシーが徐々に向上する ― 専門用語や概念に慣れてもらえる
「この人はセキュリティの専門家だ」という信頼が蓄積される ― 予算申請時の説得力が増す
「セキュリティは重要だ」という認識が自然に醸成される ― 予算申請が「寝耳に水」にならない

予算申請は本番の日だけで勝負するものではなく、日常の積み重ねで勝敗が決まるものです。

量：「1回の大きな提案」ではなく「小さな成功の積み上げ」をしている

予算を通せる人は、最初から大きな予算を要求しません。まず小さな投資で成果を出し、その実績を基に次の投資を獲得するというサイクルを回しています。

例えば、次のようなステップです。

フェーズ	投資額	内容	成果指標
フェーズ1（3ヶ月）	50万円	セキュリティ現状診断＋リスク評価	リスク一覧と優先順位の可視化
フェーズ2（6ヶ月）	150万円	最優先リスクへの対策実施	インシデント対応時間の短縮
フェーズ3（12ヶ月）	300万円	中長期セキュリティ基盤の構築	リスク低減率の定量的改善

フェーズ1で「現状がこれだけ危険だった」という事実を可視化し、フェーズ2で「対策したらこれだけ改善した」という成果を示す。この実績があれば、フェーズ3の300万円は「効果が実証済みの投資」として承認されやすくなります。

小さな成功を積み上げることで、経営層の信頼と予算を同時に獲得できる ― これが予算を通せる人の戦略です。

3. 経営者の言葉に翻訳するフレームワーク

セキュリティの専門知識を持っていることと、それを経営層に伝えられることは、まったく別のスキルです。この章では、技術的な内容を経営者が理解し、判断できる言葉に変換するフレームワークを紹介します。

フレームワーク1：「リスク → 損害 → 対策 → 効果」の4ステップ変換

あらゆるセキュリティ投資の説明は、以下の4ステップで構成できます。

ステップ	内容	経営者の頭の中
1. リスク	「何が起きうるか」を事業の言葉で述べる	「なるほど、そういうリスクがあるのか」
2. 損害	「起きた場合にいくら損するか」を金額で示す	「それは無視できない金額だな」
3. 対策	「何をすればリスクを下げられるか」を平易に説明	「具体的に何をするのかわかった」
4. 効果	「対策によりリスクがどれだけ下がるか」を数字で示す	「投資する価値があるな」

変換の具体例：

技術者の説明: 「現在のEPPではファイルレス攻撃を検知できません。EDRの導入が必要です。」
経営者向けの説明: 「1. 最近増えている巧妙なサイバー攻撃は、現在のウイルス対策ソフトでは検知できません。2. この攻撃を受けた場合、基幹システムの復旧に平均2週間、損害額は約2,000万円と試算されます。3. 端末の異常な動きを自動検知し、被害を最小限に食い止める仕組み（EDR）を導入します。4. 検知・対応時間が72時間から4時間に短縮され、被害額を95%削減できます。年間投資額180万円に対し、リスク低減効果は年間1,900万円相当です。」

この変換を行うだけで、同じ内容がまったく違う説得力を持ちます。

フレームワーク2：「保険の論理」で説明する

経営者にとって最も理解しやすいセキュリティ投資の説明方法は、「保険」のアナロジーです。

「火災保険に加入するのは、火事が起きると確信しているからではありません。万が一のときに事業を守るためです。セキュリティ投資も同じです。年間売上10億円の企業が、年間200万円の投資で最大5,000万円の損害リスクを回避できるなら、保険料率0.2%で事業を守れることになります。」

この「保険の論理」には3つのメリットがあります。

経営者が既に理解している概念（火災保険、賠償責任保険など）と結びつけられる
「起きるかどうかわからない」という不確実性を正当化できる（保険はそもそも不確実なリスクに備えるもの）
投資額を「保険料率」として表現することで、金額の妥当性を直感的に判断できる

フレームワーク3：「3つの質問」テンプレート

経営層がセキュリティ投資を判断する際、頭の中で考えているのは実は3つの質問だけです。提案書は、この3つの質問に明確に答える構造にしましょう。

質問1：「やらなかったら、いくら損するのか？」（リスクの定量化）

この質問に答えるためには、後述する「リスクの金額換算」が必要です。ポイントは、最悪のシナリオだけでなく「現実的に起こりうるシナリオ」で計算することです。あまりに極端な想定は「そんなことは起きない」と一蹴されます。

質問2：「やったら、いくら得するのか？」（投資対効果）

セキュリティ投資の「リターン」は直接的な利益ではなく、「損失回避額」です。「この投資により、年間で最大○○万円の損害を回避できます」という表現を使います。加えて、取引継続や新規取引の獲得といった間接的な収益効果も含めると説得力が増します。

質問3：「他にもっと安い方法はないのか？」（代替案との比較）

経営者は常に「もっとコストを抑える方法はないか」と考えます。この質問に先回りして、「3つの選択肢」を用意しましょう。

選択肢	投資額	リスク低減率	備考
選択肢A（最小限）	50万円/年	40%	最低限の対策。残存リスク大
選択肢B（推奨）	180万円/年	85%	コストと効果のバランス最適
選択肢C（最大）	400万円/年	95%	万全の体制。大手企業並み

「推奨はBですが、最終的な判断は経営者にお任せします」と選択肢を提示することで、経営者は「判断する立場」に立てます。一方的に「これをやるべきです」と押し付けるよりも、はるかに意思決定しやすくなります。

4. リスクを金額に換算する具体的手法

「リスクを金額で示せ」と言われても、セキュリティリスクは目に見えないものです。ここでは、情シス担当者でも実践できる3つの金額換算手法を、具体的な計算式と数字つきで解説します。

手法1：ALE（年間予想損失額）で計算する

ALE（Annual Loss Expectancy：年間予想損失額）は、セキュリティリスクの金額換算で最も基本的で広く使われている手法です。

計算式：

ALE = SLE（1回あたりの予想損失額） x ARO（年間発生頻度）

SLE（Single Loss Expectancy）: インシデントが1回発生した場合の損害額
ARO（Annualized Rate of Occurrence）: そのインシデントが1年間に発生する確率

計算例：ランサムウェア感染の場合

項目	数値	算出根拠
システム停止による売上損失	500万円/日 x 5日 = 2,500万円	日商から算出
復旧コスト（フォレンジック調査等）	500万円	JNSA「インシデント損害額調査レポート」参照
顧客対応・信用回復費用	300万円	顧客通知、問い合わせ対応など
SLE（1回あたりの損害額）	3,300万円
ARO（年間発生確率）	0.1（10%）	警察庁統計、業界データから推定
ALE（年間予想損失額）	330万円/年	SLE x ARO

この場合、年間330万円以下のセキュリティ投資は「損害を回避するための合理的な支出」と説明できます。

ARO（年間発生確率）の推定には、以下のデータソースが参考になります。

警察庁「サイバー空間をめぐる脅威の情勢等について」: ランサムウェア被害の件数推移
IPA「情報セキュリティ10大脅威」: 脅威のトレンドと中小企業への影響
JNSA「情報セキュリティインシデントに関する調査報告書」: インシデント種別ごとの発生率と被害額
自社のセキュリティログ: 不審メール受信数、マルウェア検知数、不正アクセス試行数

手法2：ダウンタイムコストで計算する

ALEが難しいと感じる場合、より直感的な手法がダウンタイムコストです。「システムが止まったら1時間でいくら損するか」を計算します。

計算式：

ダウンタイムコスト = 1時間あたりの損失額 x 想定停止時間

1時間あたりの損失額の算出方法：

1時間あたりの損失額 = 年間売上高 / 年間営業時間 x 影響係数

年間営業時間: 1日8時間 x 年間245営業日 = 1,960時間
影響係数: システム停止が売上に与える影響度（0.3～1.0）

計算例：年商10億円の製造業の場合

項目	数値
年間売上高	10億円
年間営業時間	1,960時間
1時間あたり売上高	約51万円
影響係数	0.5（基幹システム停止で半分の業務が停止と想定）
1時間あたりの損失額	約25.5万円
想定停止時間（ランサムウェア）	72時間（3日間）
ダウンタイムコスト	約1,836万円

「基幹システムが3日止まれば約1,800万円の損失。EDR導入により検知・対応時間を4時間に短縮できれば、損失を約100万円に抑えられます。年間投資額180万円で、1,700万円の損失を回避できます。」

この説明は、経営者が直感的に「元が取れる投資だ」と理解できる計算です。

手法3：ROSI（セキュリティ投資のROI）で計算する

通常のROI（Return on Investment）はセキュリティ投資には適用しにくいため、ROSI（Return on Security Investment）という指標を使います。

計算式：

ROSI = （リスク低減額 – セキュリティ投資額） / セキュリティ投資額 x 100（%）

リスク低減額の計算：

リスク低減額 = ALE x リスク低減率

計算例：

項目	数値
ALE（対策前の年間予想損失額）	330万円
リスク低減率（EDR導入による）	85%
リスク低減額	330万円 x 85% = 280.5万円
セキュリティ投資額（EDR年間費用）	180万円
ROSI	（280.5万円 – 180万円） / 180万円 x 100 = 55.8%

「EDRへの年間180万円の投資に対し、リスク低減効果は280万円。ROSIは55.8%です。」

この数字を見れば、経営者は「投資額以上のリスク低減効果がある」ことを一目で理解できます。

3つの手法の使い分け

手法	向いている場面	メリット	注意点
ALE	リスクの全体像を示したいとき	網羅的で論理的	ARO（発生確率）の推定が難しい
ダウンタイムコスト	事業停止のインパクトを伝えたいとき	直感的で理解しやすい	売上損失以外のコストが含まれない
ROSI	投資の費用対効果を示したいとき	ROIと同じ形式で比較可能	ALEの精度に依存する

推奨は「3つを組み合わせて使う」ことです。ALEでリスクの全体像を示し、ダウンタイムコストで事業停止のインパクトを伝え、ROSIで投資効果を数字にまとめる。この3段構成で説明すれば、経営層の3つの質問（「いくら損するのか」「いくら得するのか」「妥当な投資額か」）にすべて答えられます。

5. 経営会議で使えるプレゼン資料の作り方

ここまでで、リスクの金額換算と経営者の言葉への翻訳方法を学びました。最後の章では、これらを実際の経営会議で使えるプレゼン資料に落とし込む方法を解説します。

プレゼン資料の構成テンプレート（全6ページ）

経営会議のプレゼン時間は通常10～15分です。6ページ以内に収めましょう。

ページ1：エグゼクティブサマリー（1ページ）

最も重要なページです。忙しい経営者はこの1ページだけで判断することもあります。

含めるべき要素：

現状のリスク: 「当社は年間○○万円のサイバーリスクにさらされています」
提案する対策: 1行で要約
投資額と効果: 「年間○○万円の投資で、○○万円のリスクを回避できます」
推奨アクション: 「〇月までに○○の導入を承認いただきたい」

ページ2：現状のリスク分析（1ページ）

自社が直面しているリスクを、金額とともに提示します。

業界の脅威動向（データ出典を明記）
自社のセキュリティ診断結果（脆弱性の数、重大度）
ALE（年間予想損失額）の算出結果
「対策しなかった場合のシナリオ」を具体的に描写

ページ3：対策の概要（1ページ）

技術的な詳細は最小限に。「何をするか」「なぜ効果があるか」を経営者の言葉で。

対策の内容を1つの図で示す（文字だけの説明は避ける）
技術用語には必ずカッコ書きで補足を入れる
「〇〇という仕組みを導入し、△△できるようにします」という形式で統一

ページ4：費用対効果（1ページ）

このページが経営者の判断材料のメインです。

項目	数値
年間投資額	○○万円
年間リスク低減額	○○万円
ROSI	○○%
投資回収期間	○ヶ月

助成金・補助金が活用できる場合は、実質負担額も記載する
「投資しない場合のコスト」と比較するグラフを入れると効果的

ページ5：実施計画（1ページ）

フェーズ分けしたロードマップを示します。

フェーズ	期間	内容	投資額	成果指標
フェーズ1	1～3ヶ月	現状診断・リスク評価	50万円	リスク一覧の完成
フェーズ2	4～6ヶ月	最優先対策の実施	150万円	検知時間の短縮
フェーズ3	7～12ヶ月	中長期基盤の構築	300万円	ROSI 50%以上達成

「まずフェーズ1のみの承認をいただきたい」と明示する
各フェーズの終了時に成果報告を行うことを約束する

ページ6：参考資料（1ページ）

使用したデータの出典一覧
比較検討した製品・サービスの概要
質疑応答の想定Q&A

プレゼン当日の5つのポイント

ポイント1：最初の30秒で結論を述べる

「本日は、年間180万円のセキュリティ投資をご承認いただきたく提案します。この投資により、年間330万円のサイバーリスクを85%低減できます。」

経営者は最初の30秒で「聞く価値があるかどうか」を判断します。結論から入りましょう。

ポイント2：「Why」から始め、「How」は聞かれたら答える

○：「なぜこの投資が必要か」→「いくらかかるか」→「どう効果を測るか」
×：「どんな製品か」→「どんな機能があるか」→「いくらかかるか」

技術的な「How」は質疑応答で聞かれたら答えれば十分です。

ポイント3：「最悪のシナリオ」と「現実的なシナリオ」の両方を示す

最悪のシナリオだけだと「大げさだ」と思われ、現実的なシナリオだけだと「大したことない」と思われます。両方を示し、「現実的なシナリオでも○○万円の損害です」と伝えることで説得力が増します。

ポイント4：「承認してほしいこと」を明確にする

プレゼンの最後に、「本日ご承認いただきたいのは以下の3点です」と具体的に列挙します。

フェーズ1（現状診断）の予算50万円の承認
情報システム部門への診断実施の指示
フェーズ1完了後（3ヶ月後）の報告会議の設定

「何を承認すればいいのかわからない」と思われた時点で、予算は通りません。

ポイント5：想定される反論への回答を事前に準備する

経営層から出やすい反論と、その回答を事前に準備しておきましょう。

想定される反論	回答例
「うちはまだ攻撃されたことがない」	「攻撃に気づいていない可能性があります。当社のログを分析したところ、月間○件の不審なアクセスが確認されています」
「もっと安い方法はないのか」	「3つの選択肢を用意しました（ページ4参照）。推奨はBですが、ご判断ください」
「効果が本当に出るのか」	「フェーズ1で現状診断を行い、効果測定の基準値を設定します。効果が出なければフェーズ2は見直します」
「来期に回せないか」	「攻撃者は当社の予算サイクルを待ってくれません。ただし、全額を今期に計上する必要はなく、フェーズ1の50万円だけ今期中に開始することを提案します」