マルウェア対策のROI評価｜セキュリティ投資の効果測定と経営報告

セキュリティROI評価の必要性

なぜROI評価が求められるのか

企業のあらゆる投資には説明責任が伴います。マルウェア感染対策への投資も例外ではありません。経営層や取締役会は、限られた経営資源を最適に配分するため、セキュリティ投資の効果を理解したいと考えています。

ROI評価が必要な場面	具体的な状況	求められる説明
予算獲得	次年度のセキュリティ予算申請	投資の必要性と期待効果
投資判断	EDR導入、SOC構築の意思決定	複数案の比較と推奨理由
効果検証	導入済み対策の評価	投資に見合った効果が得られているか
経営報告	取締役会へのセキュリティ報告	投資状況と成果の説明
優先順位付け	複数の対策案からの選択	最も効果的な投資先の特定

経営資源の最適配分

企業の予算は有限です。セキュリティに投資する資金は、他の事業投資（設備、人材、マーケティング等）に使える可能性があります。セキュリティ投資の価値を示さなければ、予算確保は困難です。経営層向けサイバーリスク管理で解説した通り、経営者はリスクに見合った投資判断を求めています。

投資の正当性説明

「なぜこの対策が必要なのか」「なぜこの金額なのか」という問いに答える必要があります。感覚的な説明ではなく、定量的な根拠を示すことで、説得力が増します。

優先順位の判断根拠

すべての対策を同時に実施することは現実的ではありません。限られた予算でどの対策から実施すべきか、ROI評価に基づいて優先順位を判断します。

ROI評価の課題

セキュリティ投資のROI評価には、固有の難しさがあります。

「効果」の定義困難

一般的な投資では「売上増加」「コスト削減」など、効果が明確です。しかしセキュリティ投資の効果は「被害を防いだこと」であり、起きなかった事象を測定することは本質的に困難です。

「何も起きない」ことの価値

ランサムウェア攻撃を受けなかった、情報漏洩が発生しなかった—これらは成功ですが、「投資したから防げたのか」「たまたま狙われなかっただけなのか」の区別は困難です。

リスクの不確実性

サイバー攻撃の発生確率や被害額は、過去データに基づく推定でしかありません。攻撃者の意図、自組織の脆弱性、外部環境など、多くの不確実要素が存在します。

効果の遅延と持続性

セキュリティ投資の効果は即座に現れるものではなく、長期にわたって持続します。単年度のROI計算では効果を過小評価する可能性があります。

「セキュリティ投資のROIは、従来の財務的ROIとは異なるアプローチが必要である。リスク低減という観点からの評価が重要となる」

— セキュリティ経済学の一般的見解

これらの課題を踏まえつつ、できる限り定量的かつ論理的に投資効果を評価する手法を以下で解説します。

---

リスク定量化の手法

ALE（Annual Loss Expectancy：年間損失期待値）

ALEは、セキュリティリスクを金銭的に定量化する基本的な手法です。以下の式で算出します。

計算式

ALE = SLE × ARO

• SLE（Single Loss Expectancy）：1回のインシデントあたりの損失額
• ARO（Annual Rate of Occurrence）：年間発生率（発生確率）

リスクシナリオ	SLE（1回の損失）	ARO（年間発生率）	ALE（年間損失期待値）
ランサムウェア感染	5,000万円	0.1（10年に1回）	500万円/年
標的型攻撃による情報漏洩	3億円	0.05（20年に1回）	1,500万円/年
BECによる金銭被害	2,000万円	0.2（5年に1回）	400万円/年
マルウェアによる業務停止	1,000万円	0.3（3年に1回）	300万円/年

SLEの算出要素

SLEには以下の要素を含めて算出します。

• 直接コスト：インシデント対応費用、復旧費用、身代金（支払う場合）
• 事業損失：業務停止による売上減少、機会損失
• 法的コスト：訴訟費用、罰金、賠償金
• 評判損害：顧客離反、ブランド価値低下（定量化が難しい）

AROの推定方法

過去の自社インシデント履歴、業界統計、脅威インテリジェンスなどを参考に推定します。IPA「情報セキュリティ10大脅威」やJNSA「情報セキュリティインシデントに関する調査報告書」などが参考になります。

ALEの活用

算出したALEを基に、対策投資の妥当性を判断します。例えば、ALEが500万円/年のリスクに対して、年間1,000万円の対策費用は過大投資と考えられます。ただし、ALEを下回る投資であっても、リスク低減効果が限定的であれば投資価値は低くなります。

FAIR（Factor Analysis of Information Risk）

FAIRは、より精緻なリスク定量化フレームワークです。リスクの構成要素を詳細に分解し、確率分布として表現することで、不確実性を含めた分析が可能です。

FAIRのリスク分解

FAIRでは、リスクを以下の要素に分解します。

1. リスク = 損失イベント頻度 × 損失規模
2. 損失イベント頻度 = 脅威イベント頻度 × 脆弱性
3. 損失規模 = 一次損失 + 二次損失

モンテカルロシミュレーション

FAIRでは、各要素を単一の数値ではなく確率分布（最小値、最頻値、最大値など）として入力し、モンテカルロシミュレーションで統計的にリスクを算出します。これにより、「95%の確率でリスクは○○円以下」といった表現が可能になります。

FAIRのメリット

• 不確実性を明示的に扱える
• リスクの構成要素を詳細に分析できる
• 複数のリスクを比較可能な形で表現できる
• 国際的に認知されたフレームワークである

FAIRの導入

FAIRの本格的な活用には専門知識とツール（RiskLensなど）が必要ですが、考え方の一部を取り入れることは可能です。業界標準・フレームワークと組み合わせて活用します。

シナリオベースアプローチ

リスク定量化の実践的なアプローチとして、シナリオベースの分析があります。

1. 想定シナリオの設定：自組織で発生しうる具体的なインシデントシナリオを設定します（例：ランサムウェアによる全社システム停止）
2. 被害額の推定：そのシナリオが発生した場合の被害額を、複数の要素（対応コスト、事業損失、法的コスト等）から積み上げます
3. 発生確率の見積もり：業界統計、脅威インテリジェンス、自社の対策レベルを考慮して発生確率を見積もります
4. 対策効果の評価：対策を講じた場合の発生確率低減、被害額軽減を評価します

シナリオ	対策前発生確率	対策後発生確率	想定被害額	リスク低減額
ランサムウェア全社感染	15%/年	3%/年	2億円	2,400万円/年
標的型攻撃による機密漏洩	10%/年	2%/年	5億円	4,000万円/年
BECによる送金被害	20%/年	5%/年	3,000万円	450万円/年

---

セキュリティ投資の効果測定

効果の分類

セキュリティ投資の効果は、以下のように分類できます。

効果の種類	内容	測定方法	例
リスク低減効果	インシデント発生確率・影響の低減	ALE比較、シナリオ分析	ランサムウェアリスクの80%低減
効率化効果	セキュリティ運用の効率向上	工数削減、時間短縮	アラート対応時間の50%短縮
コンプライアンス効果	規制要件への対応	監査結果、認証取得	ISO 27001認証取得
ビジネス価値創出	セキュリティによる競争優位	受注獲得、顧客信頼	セキュリティ要件のある案件受注

リスク低減効果

最も本質的なセキュリティ投資の効果です。対策導入前後のリスク（ALE）を比較し、低減額を算出します。マルウェア感染リスクの低減は、この観点で評価します。

効率化効果

SOARによる自動化、AIによるアラート分析など、運用効率を向上させる投資は、人件費削減や対応時間短縮として効果を測定できます。CSIRT/SOCの運用効率化に関連します。

コンプライアンス効果

規制要件を満たすための投資は、「対応しなければ事業が継続できない」という観点での効果があります。罰金回避、取引継続などの価値として評価します。

ビジネス価値創出

セキュリティ認証があることで入札に参加できる、セキュリティ対策が評価されて取引先に選ばれる、といったポジティブな価値創出も効果として捉えます。

定量的指標（KPI）

セキュリティ投資の効果を測定するためのKPI（Key Performance Indicator）を設定します。

リスク関連KPI

• インシデント発生件数：マルウェア感染、フィッシング被害などの件数推移
• 重大インシデント発生件数：事業影響のある深刻なインシデントの件数
• 被害額：インシデントによる実際の金銭的被害
• 脆弱性残存数：パッチ未適用の重要脆弱性の数

検知・対応関連KPI

• MTTD（Mean Time to Detect）：脅威の発生から検知までの平均時間
• MTTR（Mean Time to Respond）：検知から対応完了までの平均時間
• 誤検知率：アラートに占める誤検知（False Positive）の割合
• 検知カバレッジ：MITRE ATT&CKの技術に対する検知率

予防関連KPI

• パッチ適用率：重要パッチの適用完了率と所要日数
• 教育受講率：セキュリティ教育の受講完了率
• フィッシング訓練結果：模擬フィッシングメールのクリック率
• ポリシー遵守率：セキュリティポリシーの遵守状況

KPI	測定方法	目標例	改善によるROIへの影響
MTTD	SIEMログ分析	24時間以内	被害拡大防止による損失軽減
MTTR	チケット管理システム	4時間以内	業務停止時間短縮
パッチ適用率	脆弱性スキャン	95%以上（30日以内）	脆弱性悪用リスクの低減
フィッシングクリック率	訓練メール結果	3%以下	初期侵入リスクの低減

定性的効果の扱い

すべての効果を定量化できるわけではありません。定性的効果の扱い方を示します。

信頼性・評判向上

セキュリティ対策が充実していることによる企業信頼性の向上は、直接的な金額換算が困難です。顧客アンケート、ブランド調査などで間接的に測定するか、「競合他社との比較における優位性」として定性的に評価します。

従業員意識向上

ユーザー意識向上プログラムの効果は、フィッシング訓練結果などで一部定量化できますが、「セキュリティ文化の醸成」といった効果は定性的に評価します。

スコアカードアプローチ

定量的KPIと定性的評価を組み合わせたバランススコアカード的なアプローチで、多面的に効果を評価します。財務指標だけでなく、リスク、運用、人材育成など複数の視点から評価します。

---

ROI計算の実践

基本的なROI計算

セキュリティ投資のROI計算の基本式を示します。

基本計算式

ROI = (リスク低減額 - 投資額) / 投資額 × 100% 例）年間リスク低減額5,000万円、年間投資額1,000万円の場合 ROI = (5,000万円 - 1,000万円) / 1,000万円 × 100% = 400%

項目	内容	算出方法
リスク低減額	対策による年間リスク低減	対策前ALE - 対策後ALE
投資額	対策の年間コスト	初期費用の償却 + 年間運用費
ROI	投資対効果	(低減額 - 投資額) / 投資額

具体的な計算例：EDR導入

投資額

• ライセンス費用：2,000万円/年
• 導入・設定費用：500万円（5年償却で100万円/年）
• 運用人件費：500万円/年
• 年間投資額合計：2,600万円

リスク低減効果

• ランサムウェアリスク（ALE 5,000万円）の70%低減：3,500万円
• マルウェア全般リスク（ALE 2,000万円）の60%低減：1,200万円
• 年間リスク低減額合計：4,700万円

ROI計算 ROI = (4,700万円 - 2,600万円) / 2,600万円 × 100% = 81%

投資判断への活用

ROI以外にも、投資判断に活用できる指標があります。

NPV（Net Present Value：正味現在価値）

将来のリスク低減額を現在価値に割り引いて評価します。セキュリティ投資は長期にわたって効果が持続するため、複数年の効果を考慮する際に有用です。NPVがプラスであれば投資価値があると判断できます。

回収期間（Payback Period）

投資額を回収するまでの期間です。経営層にとって分かりやすい指標です。例えば、初期投資500万円、年間リスク低減効果300万円であれば、回収期間は約1.7年です。

複数案の比較

複数の対策案がある場合、同じ基準でROIを算出して比較します。ただし、ROIが高いからといって最適とは限りません。対策のカバー範囲、運用負荷、他の対策との相乗効果なども考慮します。

TCO（総所有コスト）の把握

正確なROI計算のためには、TCO（Total Cost of Ownership）を正しく把握する必要があります。

コスト項目	内容	見落としやすいポイント
初期導入コスト	ライセンス、ハードウェア、設計・構築	PoC費用、移行費用
運用コスト	保守、サポート、アップグレード	バージョンアップ対応
人件費	運用担当者、教育・トレーニング	学習コスト、引継ぎコスト
隠れたコスト	統合コスト、業務影響	既存システムへの影響
廃棄コスト	リプレース時の移行、廃止作業	データ移行、契約解除

隠れたコストの例

• 既存システムとの統合・連携に必要な開発費用
• 運用担当者の学習・習熟にかかる時間
• ツール導入による業務プロセス変更の影響
• 誤検知対応による運用負荷増加

---

経営層への報告

報告の設計

経営層向けサイバーリスク管理で解説した通り、経営層はセキュリティの技術的詳細ではなく、経営への影響に関心があります。報告は経営視点で設計します。

報告要素	経営層が知りたいこと	提示方法
リスク状況	どの程度のリスクがあるか	リスクスコア、金額換算
対策状況	対策は十分か	カバレッジ、成熟度
投資効果	投資に見合った効果があるか	ROI、KPI推移
比較情報	他社と比べてどうか	ベンチマーク
今後の計画	何に投資すべきか	優先施策、予算案

避けるべき専門用語

経営層向けの報告では、技術的な専門用語を避け、ビジネス用語に置き換えます。

• 「EDR」→「端末の異常検知システム」
• 「C2通信」→「外部の攻撃者との不正な通信」
• 「IOC」→「攻撃の痕跡」

ビジュアライゼーション

数値の羅列ではなく、グラフや図を活用して視覚的に伝えます。リスクのヒートマップ、KPIの推移グラフ、対策カバレッジのレーダーチャートなどが効果的です。

ダッシュボードの設計

定期報告用のセキュリティダッシュボードを設計します。

リスクスコア

組織全体のサイバーリスクレベルを、100点満点のスコアや「高・中・低」で表示します。経営層が一目で状況を把握できるようにします。

対策状況

主要な対策の実施状況を、進捗率や完了/未完了で表示します。セキュリティガバナンスの観点から、ポリシー遵守状況も含めます。

投資対効果

セキュリティ投資額とリスク低減効果を並べて表示し、投資の妥当性を示します。前年同期との比較も有効です。

インシデント状況

発生したインシデントの件数、影響、対応状況を表示します。重大インシデントがあれば詳細を報告します。

ベンチマーク比較

業界平均や同規模企業との比較を示し、自社のポジションを明確にします。

継続的なコミュニケーション

• 定期報告：四半期に1回程度、経営会議または取締役会でセキュリティ状況を報告します
• インシデント報告：重大インシデント発生時は、定期報告を待たず速やかに報告します
• 投資提案：新規投資が必要な場合は、ROI分析を含めた提案書を作成します
• 年次レビュー：年に1回、セキュリティ戦略と投資計画の全体レビューを行います

---

業界ベンチマーク

参考データ

自組織のセキュリティ投資レベルを評価するための業界ベンチマークを紹介します。

指標	業界平均	先進企業	出典
IT予算に占めるセキュリティ投資比率	5〜10%	10〜15%	Gartner調査
従業員1人あたりセキュリティ投資	2〜5万円/年	5〜10万円/年	各種調査
売上高に占めるセキュリティ投資	0.5〜1%	1〜2%	業界別調査
セキュリティ人材比率	IT人員の5〜10%	10〜15%	各種調査

業界別の傾向

• 金融業：規制要件が厳しく、投資比率は高め（IT予算の10〜15%）
• 製造業：OTセキュリティの必要性が高まり、投資増加傾向
• 小売・サービス業：決済データ保護の観点から投資増
• 医療：患者情報保護の規制対応で投資増

自社ポジションの把握

ベンチマーク比較を行う際の注意点を示します。

適切な比較対象の選定

業界、規模、ビジネスモデルが類似した企業との比較が有効です。異なる特性の企業との比較は参考程度にとどめます。

ベンチマーク比較の限界

ベンチマークはあくまで参考値です。「業界平均だから十分」とは限りません。自社固有のリスク特性を踏まえて判断する必要があります。投資額だけでなく、対策の有効性も重要です。

トレンドの把握

単年度の比較だけでなく、経年変化のトレンドも重要です。セキュリティ投資は増加傾向にあり、現状維持は相対的な後退を意味する可能性があります。

---

よくある質問

Q: セキュリティ投資のROIをどう説明すればいいですか？

A: 「何も起きなかった」をROIで説明するのは難しいですが、リスク低減額で示すことができます。例えば、年間想定被害額1億円のリスクが、1,000万円の投資で80%低減できれば、年間8,000万円のリスク低減効果があり、ROIは700%と説明できます。保険との比較（保険料 vs 対策費用）や、同業他社の被害事例を参照することも効果的です。「この投資がなければ、○○社のような被害を受ける可能性があった」という説明は経営層に響きます。

Q: リスクの発生確率をどう見積もればいいですか？

A: 完璧な見積もりは不可能ですが、以下の情報を参考に推定します。①過去の自社インシデント履歴、②業界統計（IPA、JNSA等の調査報告）、③脅威インテリジェンス（自社が標的になりやすい業界か）、④自社のセキュリティ対策レベル。幅を持たせた推定（例：5〜15%）を行い、感度分析で影響を確認することも有効です。

Q: 経営層に「投資が足りない」と伝えるにはどうすればいいですか？

A: 感情的な訴えではなく、データに基づいた説明が重要です。①現状のリスク評価（ALE）を示す、②業界ベンチマークとの比較を示す、③同業他社の被害事例と想定被害額を示す、④現状投資額でカバーできていないリスク領域を明確にする、⑤追加投資による期待効果（ROI）を示す。段階的な投資提案も有効です。

Q: ROIがマイナスでも投資すべき場合はありますか？

A: あります。以下のケースでは、ROIがマイナスでも投資が正当化されます。①法規制・コンプライアンス要件（対応しなければ事業継続不可）、②取引先からの要求（対応しなければ取引停止）、③最低限のセキュリティ水準の確保（基本的な対策）。また、ROI計算に含めにくい定性的効果（信頼性向上、ブランド保護）も考慮すべきです。

Q: セキュリティ投資の効果はいつ現れますか？

A: 対策の種類によります。技術的対策（EDR導入等）は導入直後から効果が発揮されますが、効果の測定には一定期間が必要です。組織的対策（教育、ポリシー整備等）は効果発現に時間がかかります。一般的に、投資効果の本格的な評価は導入後1年程度経過してから行うことを推奨します。ただし、KPIのモニタリングは継続的に行い、早期の問題発見に努めます。

---

まとめ

セキュリティ投資のROI評価は困難を伴いますが、経営層への説明責任を果たすためには不可欠です。

• リスク定量化：ALE、FAIRなどの手法でリスクを金額換算する
• 効果測定：定量的KPIと定性的評価を組み合わせて多面的に評価する
• ROI計算：リスク低減額と投資額を比較して投資効果を算出する
• 経営報告：経営視点で分かりやすく、ビジュアルを活用して報告する
• ベンチマーク：業界水準との比較で自社のポジションを把握する

完璧な定量化は不可能でも、論理的で一貫した説明を心がけることで、経営層の理解と支持を得ることができます。組織的マルウェア対策や、マルウェア感染対策の全体像もあわせてご参照ください。

---

---