IT予算策定の課題
中小企業の情シスが最も苦労するのが「セキュリティ投資の必要性を経営層に説明すること」です。セキュリティは「何も起きないことが成果」であるため、投資対効果（ROI）を可視化しにくいのが課題です。
2026年のSCS評価制度開始により、セキュリティ投資は「コスト」ではなく「取引継続のための必須投資」として経営層に説明できるようになります。
説明のフレームワーク
①リスクベースの説明
「対策しない場合のリスク」を金額で示します。
- ランサムウェア被害の平均損害額：JPCERT/CCの報告では、中小企業でも数千万〜数億円の被害事例
- 個人情報漏洩の損害賠償：1人あたりの賠償額の目安を提示
- 事業停止による逸失利益：1日あたりの売上 × 想定停止日数
②制度対応の説明
SCS評価制度への対応を「取引先からの要求」として説明します。
- 「主要取引先がSCS★3の取得を要求する可能性が高い」
- 「★3未取得の場合、取引を失うリスクがある」
- 「★3対応のための投資は年間○○万円で、売上への影響を考えると十分にペイする」
③同業他社との比較
IPAの「情報セキュリティ実態調査」等のデータを活用し、同規模・同業種の企業のIT投資額と比較します。
セキュリティ投資の主要項目
| 項目 | 年間費用目安（50名企業） | SCS★3対応 |
|---|---|---|
| M365 Business Premium | 約200万円（¥3,298×50人×12ヶ月） | MFA、Intune、EDR含む |
| UTM/ファイアウォール更新 | 50〜100万円 | ネットワークセキュリティ |
| サイバー保険 | 15〜50万円 | リスク移転 |
| セキュリティ教育 | 10〜30万円 | 従業員教育 |
| 外部セキュリティ支援 | 50〜100万円 | ポリシー策定、監査支援 |
| 合計 | 325〜480万円/年 | — |
ROIの伝え方
「投資対効果」ではなく「リスク回避効果」として伝えるのが効果的です。
- 「年間400万円の投資で、数千万〜数億円のランサムウェア被害リスクを回避」
- 「SCS★3取得により、取引先からの信頼を維持し、年間売上○億円の取引を守る」
- 「サイバー保険により、インシデント発生時の最大損害額を○千万円に限定」
まとめ
セキュリティ投資を経営層に説明する際は「リスクの金額化」「制度対応の必要性」「同業他社比較」の3つのフレームワークを使いましょう。SCS評価制度の開始により、「取引を守るための必須投資」として説明しやすくなっています。