セキュリティ予算、何から決める？止まると困る仕事から優先順位を付ける

対策の名前を並べる前に、会社として困ることを共有する。

対策のリストを、経営の判断へつなげる

NISTの中小企業向けガイドは、事業への影響や優先順位を踏まえてリスクを扱う枠組みを示しています。SONAEは、予算を相談する資料に「何が起きると、どの業務が困るか」を添える方法を提案します。単にツールを導入したいと書くより、受発注が止まる、顧客の資料が見られる、といった影響と結びつけることで、経営と担当者が同じ課題を話しやすくなります。

確認できた課題と、まだ分からないことを分ける

架空の会社では、退職者のアクセスが残っていることは確認できましたが、バックアップから業務を戻せるかは未確認でした。この二つを同じ「危険」とだけ書かず、根拠、確認範囲、次に必要な調査を分けます。不明な点の調査にも時間や費用がかかります。発生確率や被害額を根拠なく数字にして、精密に見せる必要はありません。

導入費用以外の仕事も見積もる

候補ごとに初期費用、継続費用、設定と移行、社員への案内、運用に使う時間を整理します。自社の担当ができることと、既存事業者へ頼むことを分けます。保守や緊急対応が含まれるか、追加費用の条件は何かも確認してください。価格が未確定なら、確定した金額のように書かず、見積もりが必要な項目として残します。

今月進めるものと、計画するものを決める

一度にすべて行えなければ、対象範囲を絞る、段階的に移行する、代替策を取るといった案を並べます。先送りする場合も、残る課題、判断した人、再確認の日を記録します。「予算がない」で終わらず、最小限何を確認するかを決めます。この記事は予算相談の整理方法で、個別企業の適正額を判断するものではありません。

支出の承認と、改善の完了を分ける

購入しただけでは、狙った業務の改善が確認できたとは限りません。導入後に何を見て完了とするかを先に決めます。架空の退職対応なら、対象サービスの停止と残課題の確認までを記録します。経営向けには、完了・対応中・未確認と次の判断事項を簡潔に共有します。次回の予算では、運用にかかった時間と残った課題も材料にしましょう。

会議へ持っていく、一枚の改善案

架空の改善案では、一行目を「退職後のアクセスを終了したことが確認できない」とします。対象サービス、確認できた根拠、未確認の件数、業務の影響を付け、その次に、社内で進める案と事業者へ確認を頼む案を並べます。両案に必要な時間、見積もりが必要な費用、作業の承認者、完了条件を示します。判断を求める点が委託費なのか、社員の作業時間なのかも明確にします。会議で結論が出なかった項目には、追加で必要な情報と持ち帰る担当を決めます。金額や効果を架空の数字で埋めて確定案に見せず、未確定のまま説明することも、適切な予算判断に必要です。

相談前の確認表

• 業務への影響と根拠を説明できる
• 未確認の調査を分けた
• 運用や移行の費用も比較した
• 承認者と完了条件を決めた

参考資料（確認日：2026年10月23日）：NIST SP 1300：Small Business Quick-Start Guide ↗

一般的な説明とSONAEの運用提案です。製品の公式条件と自社の管理責任者の判断を確認してください。