経営層を説得し、ゼロトラスト予算を確保するには？

セキュリティの観点から企業経営に影響を与えるリスクを説明することで、意思決定に必要な情報を経営層へ示すことが可能です。現行環境におけるセキュリティリスクと、そのリスクが顕在化した場合に発生し得る影響を、自社でセキュリティインシデントが発生したことを想定したシナリオをもとに定量的・定性的に整理することで、ホラーストーリーでセキュリティ対策の必要性を説明します。

リスクを定量的に説明する方法の一つとして、自社でセキュリティインシデントが発生した際に想定される損害額を想定シナリオをもとに算出する方法があります。JNSA (NPO日本ネットワークセキュリティ協会) の「インシデント損害額調査レポート第2版」(注1) によると、セキュリティインシデントが発生した際に想定される損害は以下６つの要素で構成されます。

これらの各要素について、自社でセキュリティインシデントが発生した際の想定シナリオをもとに損害額を算出することができます。インシデントが発生した際の影響を具体的な金額を示すことで定量的に説明できるため、ゼロトラスト製品導入の費用対効果が説明しやすくなります。

他社のセキュリティインシデントの事例を参考に、自社で発生し得る影響を想定シナリオをもとに定性的に考えます。自社が展開する事業の中で社会的影響の大きい事業 (人命や社会インフラに関わる事業など) や、主力製品を取り扱う事業がランサムウェア被害などによりストップすることを想定すると、事業や会社自体への影響の大きさをアピールできます。

ゼロトラスト導入の必要性を説明するうえで、セキュリティリスクのようなネガティブな影響のみで経営層を納得させることは容易ではありません。
そこで、ポジティブな影響として、ビジネス観点で期待される効果の説明も必要となります。ポジティブな影響を説明することでゼロトラスト導入によるセキュリティ観点以外のメリットを理解してもらうことができます。

経営層は競合がどのような取り組みを行っているのかを特に気にしているため、同業他社の取り組み状況を説明すると効果的です。
他社のゼロトラスト取り組み状況を共有し、他社と比較した自社の立ち位置を明確にすることで、何をどこまで実施すればよいかを経営層にアピールできます。
他社と比較した自社の立ち位置を明確にするためには、以下の３点の情報を提示すると効果的です。

そもそも自社のセキュリティ関連費用が少ない場合、他社のIT予算全体におけるセキュリティ関連費用の割合を提示することで、セキュリティ関連費用増額の必要性を訴求できます。
JUAS (一般社団法人 日本情報システム・ユーザー協会)  が発行した「企業IT動向調査報告書2024」(注2) には、売上高別のIT予算に占める情報セキュリティ関連費用の割合が掲載されているので、参考にするとよいでしょう。

他社のゼロトラストツール導入率を提示することで、自社の立ち位置を明確化できます。
2023年度にKDDIが実施した企業500社を対象としたアンケートでは、ゼロトラスト関連ツールの導入状況と今後の導入予定について調査しました。「既に導入済み」の回答で最も割合が高かった項目は「EDR」で27.0％、次いで「MDM」（22.4％）、「IDaaS、IAM」（16.8％）という結果になりました。

競合の取り組み状況を意識する経営層は多いため、競合の取り組み事例を提示すると効果的です。競合のIR資料に掲載されているセキュリティの取り組み方針や、ベンダー企業が開示している導入事例を参照されることをおすすめします。

経営層に意思決定をしてもらうためには、ゼロトラスト導入のメリットや他社の取り組み状況を示したうえで実際にかかるコストを算出し、費用の妥当性を示す必要があります。
ゼロトラスト導入と聞くと単純にコストが増加するように思われてしまいますが、導入されるゼロトラストツールが従来のオンプレミス機器と置き換わることで、コストが削減される場合があります。ゼロトラスト移行において導入するツールが何と置き換わるのかを整理し、増加していくコストと減少していくコストとを試算することで、単純なコスト増ではないことを説明できます。

これら４つのポイントについて、自社の経営層が特に意識しているポイントを考慮したうえでストーリー立てて説明していく必要があります。

また、NIST (米国国立標準技術研究所) のサイバーセキュリティフレームワークなどの権威付けされたフレームワーク、公的機関やベンダー企業が発行したレポートのデータなどを活用し、根拠づけて説明していくことでより妥当性のある報告ができます。

弊社ではゼロトラスト移行に向けた次期ITインフラ構想策定から、それらの内容を経営層へ報告するための上申支援までを実施しております。次期ITインフラ構想策定では現状の課題・リスクを洗い出したうえで、段階的なゼロトラスト移行に向けた構成検討やロードマップ策定を実施いたします。上申支援ではお客さまの経営層が特に意識されている観点を考慮したうえで、ストーリー立ててゼロトラストの必要性を訴求する資料を作成します。

「ゼロトラストを推進していきたいが何から始めればよいのかわからない」「ゼロトラスト計画を策定したものの経営層の理解が得られず前に進めない」などのお困りごとがあれば、弊社までお声がけいただけますと幸いです。