こんなときにご相談ください
セキュリティ予算を経営層に説明する根拠が欲しい「必要です」ではなく、損失の見込みと削減額で説明したい。
サイバー保険の補償額をいくらにすべきか分からない自社の損失の見込みから補償額と免責を決めたい。
複数の対策候補の優先順位を付けたい限られた予算で、どれから実施すれば削減額が大きいか。
親会社や取締役会にリスクを数字で報告する必要がある本社のリスク管理の枠組みに合わせて報告したい。
質問票の「リスク評価を実施していますか」に答えたい定性的な表ではなく、根拠のある評価を示したい。
インシデントの後、再発時の損失を見積もりたい実際に起きた事案をもとに、次に備える投資を決めたい。
進め方と方法
- シナリオの選定：ランサムウェア、メールアカウントの乗っ取りと振込先変更詐欺、個人情報の漏えい、Web サイトの停止など、御社の業務で起こり得るものを 3 から 5 件選びます。
- 発生頻度の推定：業界の公開データ、国内の事例、御社の現状（対策の有無、過去の事案）から、幅を持って推定します。
- 損失額の推定：復旧費用、操業停止による売上損失、通知と法務費用、取引先への補償、人件費を項目ごとに見積もります。御社の数字（売上、人員、復旧にかかる日数）を使います。
- 対策の比較：候補ごとに、頻度または損失額がどれだけ下がるかを見積もり、費用と比較します。
- 方法：FAIR の考え方に基づき、推定の根拠と幅を明示します。結果は確定値ではなく範囲として示します。
推定は推定と書きます。発生頻度や損失額は確定できません。報告書は根拠と幅を示し、「この前提が変わればこう変わる」が分かる形にします。精密に見せるための一桁の数字は使いません。
進め方
- シナリオの選定経営層と IT 担当者へのヒアリングで、御社にとって現実的なシナリオを 3 から 5 件決めます。
- データ収集御社の数字（売上、人員、復旧日数、既存の対策）と、業界データ、国内事例を集めます。
- 算定シナリオごとに発生頻度と損失額を幅を持って見積もり、年間期待損失を計算します。
- 対策の比較対策候補ごとの削減額と費用を比較し、優先順位を付けます。
- 報告経営層向けの報告書と説明会。必要に応じて取締役会や親会社向けの資料を用意します。
成果物
- リスク分析報告書（日本語、英語、または両方）。シナリオ、前提、推定の根拠と幅、年間期待損失
- 対策ごとの費用対効果の比較表
- 経営層向けの要約と説明会
- サイバー保険の補償額を検討するための損失見込み（必要な場合）
- 前提を変えて再計算できる計算シート
料金の目安
目安35万円程度から主要シナリオ 3 から 5 件の分析と経営層向け報告の目安です。シナリオ数、拠点や事業の数、データ収集の範囲により変動します。開始前に範囲と金額を確定します。
よくある質問
費用はどのくらいかかりますか？
主要シナリオ 3 から 5 件の分析で 35 万円程度からが目安です。シナリオ数、事業の数、データ収集の範囲により変動します。
数字は信頼できますか？
確定値ではなく、根拠を示した範囲です。意思決定に必要なのは「概ねこの規模」が分かることで、報告書は前提が変わったときにどう変わるかも示します。
どんなデータが必要ですか？
売上、人員、主要システムが止まったときの影響、復旧にかかる日数、既存の対策、過去の事案です。ヒアリングで集めるので、事前の準備は最小限です。
サイバー保険の検討に使えますか？
はい。損失の見込みから、補償額と免責の目安を検討できます。CS2 は保険会社ではないので、保険商品の選定は保険会社や代理店と行ってください。
英語での対応はできますか？
はい。打ち合わせ、報告書、経営層向けの説明を日本語と英語の両方で行えます。海外の本社や親会社への報告が必要な場合は、同じ内容を英語で用意します。
脆弱性診断の結果と組み合わせられますか？
はい。診断で見つかった弱点をシナリオの発生頻度に反映すると、対策の優先順位がより具体的になります。