公開 2026.10.15執筆：AIサイバーセキュリティ対策エージェント（株式会社プレラナ）／監修：株式会社プレラナ 代表取締役 市川 知樹
IPA（情報処理推進機構）の2024年度の調査では、情報セキュリティ対策に投資している中小企業の年間の投資額は、平均で約188万円（売上高の1.2%）でした。ただし、この平均は他社の数字であり、自社の予算はそこから決まりません。予算は「止まると困る業務」「取引先から求められる水準」「社内で担える範囲」の3つで決まり、費用を「人の時間・道具・外部サービス・事故への備え」の4つの箱に分けて見積もると、過不足が見えます。ここでいう情報セキュリティ対策の費用とは、機器やソフトの代金だけでなく、社内の担当者が使う時間、外部への委託料、保険料までを含めた、守りにかかる費用の総額のことです。
この記事では、公的な統計から見える中小企業の投資の実態、相場だけで予算を決めてはいけない理由、4つの箱による見積もり方、見積もりを比べるときの確かめ方を、IPA・警察庁・経済産業省の公開資料をもとに整理します。
自社の状況に当てはめて整理したい方は、情報セキュリティのお問い合わせはこちら
IPAの2024年度調査では、直近過去3期に対策へ投資していない中小企業が6割を超えました。投資している企業だけで見ると、年間の投資額の平均は約188万円で、企業の規模と業種によって大きく異なります。
IPAの「2024年度 中小企業における情報セキュリティ対策に関する実態調査」（報告書は2025年5月、回答4,191社）は、直近過去3期の情報セキュリティ対策の投資額（IT機器や社員への教育を含む）を尋ねています。投資していないという回答が62.6%で最も多く、投資している場合も「3期で100万円未満」が20.4%と最も多い結果でした。
規模による違いは大きく、同じ調査で「投資していない」と答えた割合は、小規模企業者で76.5%、従業員100名以下の中小企業で40.0%、101名以上の中小企業で17.3%でした。101名以上の中小企業（295社）の3期の投資額は、100万円未満が19.3%、100万〜500万円未満が18.0%、500万〜1,000万円未満が12.9%、1,000万〜2,000万円未満が8.1%で、分からないという回答も16.6%ありました。
同じ報告書は、回答の区分ごとに代表的な金額を当てはめて、1年あたりの投資額の平均も推計しています。「分からない」を除いた回答企業全体（3,862社）の平均は約60万円で売上高の0.6%、投資していると答えた企業（1,217社）だけでは約188万円で売上高の1.2%でした。投資している企業の平均を業種別に見ると、建設業と卸売業が約293万円、製造業が約208万円、小売業が約46万円と、業種によって数倍の開きがあります。いずれも推計値で、1社ごとの実額ではない点に注意が必要です。
平均の金額は、他社が実際に払った額であって、自社が守るべき業務や取引先から求められる水準を反映していないからです。投資しない理由として最も多いのも、金額の問題ではなく「必要性を感じていない」でした。
IPAの同じ調査で、投資していないと答えた企業（2,623社）に一番の理由を尋ねると、「必要性を感じていない」が44.3%、「費用対効果が見えない」が24.2%、「コストがかかりすぎる」が21.7%でした。費用の高さだけでなく、何にいくら使えば何が守れるのかが見えないことも、投資をためらわせている様子がうかがえます。
被害の大きさも、どの数字を見るかで印象が変わります。IPAの同じ調査では、過去3期に被害に遭った中小企業の被害額の平均は約73万円でした。一方、警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）では、2025年にランサムウェアの被害に遭った組織へのアンケートで、復旧に総額1,000万円以上を要した組織が5割を超えています。前者は中小企業のあらゆる被害の平均、後者は警察が把握したランサムウェアの被害で、数えている対象が違います。
どちらの数字も、自社にそのまま当てはまるわけではありません。相場は「同じ規模の会社がどのくらい払っているか」の目安として使い、予算そのものは自社の事情から組み立てる、という分け方をおすすめします。
予算を決めるのは、止まると困る業務、取引先から求められる水準、社内で担える範囲の3つです。この3つが決まると、何に費用をかけ、何を外に頼むかが自然に絞られます。
経済産業省とIPAの「サイバーセキュリティ経営ガイドライン Ver3.0」（2023年3月）は、経営者が担当の責任者に指示すべき重要10項目の一つに「サイバーセキュリティ対策のための資源（予算、人材等）確保」を挙げています。予算は情報システムの担当者が積み上げて決めるものではなく、経営者が守る範囲と一緒に決めるもの、という位置づけです。
プレラナは、費用を「人の時間」「道具」「外部サービス」「事故への備え」の4つの箱に分けて見積もることをおすすめしています。箱ごとに書き出すと、どこに偏っていて、何が抜けているかが分かります。
1 人の時間：兼務の担当者の時間は請求書に出てこないため、見落とされがちです。IPAの同じ調査では、対策の体制について「組織的には行っていない（各自の対応）」が69.7%で、専門部署や担当者があるのは9.3%、兼務の担当者が任命されているのが21.0%でした。規程づくりや点検にかかる時間、従業員への教育や外部研修もこの箱に入ります。担当者の時間を予算に数えないと、外に頼む費用と比べることができません。
2 道具：ウイルス対策・端末の監視・UTM（ファイアウォールなど複数の守りの機能を1台にまとめたネットワーク機器）・バックアップ・多要素認証などの利用料と機器代です。すでに契約しているものが多いため、まず今の契約を書き出し、重なりがないかを確かめます。
3 外部サービス：監視・運用の委託、相談・助言、規程づくりの支援、脆弱性診断などです。IPAの同じ調査では、情報セキュリティ業務を外部に委託していない企業が70.4%でした。委託している業務（複数回答）は回答企業全体に対していずれも数%台で、比較的多かったのは情報セキュリティ・BCPのコンサルティング（6.8%）とウイルス監視（5.9%）です。何を外に頼み、何を社内に残すかの切り分け方は、外部委託か内製かの比べ方の記事で詳しく扱っています。
4 事故への備え：サイバー保険、事故が起きたときの駆け付けや調査の契約、復旧の手順づくりと訓練です。保険は「起きた後」の費用を補い、手順と訓練は「起きたとき」の損失を小さくします。どちらか一方では足りない、という考え方です。
中小企業向けの監視サービスには、価格の上限を基準で定めたものがあります。IPAが基準を定め、基準に適合したサービスにマークの使用を認めている「サイバーセキュリティお助け隊サービス」の1類は、月額や初期費用に上限があり、見積もりを比べるときの物差しになります。
IPAの「サイバーセキュリティお助け隊サービス基準」（2.1版・2025年9月8日）は、相談窓口、異常の監視、緊急時の駆け付け支援、簡易サイバー保険を、原則として一つの契約で提供できることを求めています（保険契約などでやむを得ない場合は複数の契約も可）。この基準は、IPAがサービスマークの使用を認めるときの基準です。1類の価格は、月額がネットワーク監視で1万円以下、端末監視で1台あたり2,000円以下、契約時に一時的に払う費用の合計がネットワーク監視・端末監視それぞれ50万円以下（いずれも税抜き）と定められています。最低契約期間は2年以内、端末1台から契約できること、途中解約の違約金を契約に明記することも要件です。
同じ基準の2類は、1類に監視対象の端末の拡大や監視の機能の追加などの拡充を加えた類型で、価格は「ユーザー概況に照らして相応かつ妥当な額」とされ、1類のような金額の上限はありません。
取引先から評価制度への対応を求められている場合は、制度の利用料も予算に入れます。IPAの「サプライチェーン強化に向けたセキュリティ対策評価制度 料金設定のお知らせ」（2026年9月18日）では、2027年3月以降に受付を始める予定の登録希望組織の登録料として、★3は1年分で1万円（2028年3月31日までの料金・税込み）、★4は3年分で6万円とされています。ただし、これは登録の料金で、★3の要求事項を満たすための対策や、書面をそろえる作業の費用は別にかかります。
今の支出を書き出すところから始め、守る順番、取引先への約束、社内で担える範囲の順に決めていきます。最初の一歩は、この1年に情報セキュリティに使った費用を4つの箱に分けて書き出すことです。
価格を比べる前に、同じ範囲の見積もりになっているかを確かめます。お助け隊サービス基準が求めている項目は、外部サービスの見積もりを比べるときの確認項目としても使えます。
監視や診断などの専門サービスを選ぶときは、経済産業省の「情報セキュリティサービス基準」に適合すると審査されたサービスの一覧（IPA「情報セキュリティサービス基準適合サービスリスト」）も参考になります。ただしIPAは、掲載について「いかなる保証等をも意味するものではありません」と明記しているため、一覧は候補を探す入口として使い、契約の中身は自社で確かめます。
プレラナが打ち合わせで伺う中でも、費用を一度に決めず段階に分けたい、保険の見積もりで補償が抜けていた、といった論点がありました。どちらも、費用の箱を分けて考えると整理しやすくなります。
取引先からの要請に対応している製造業のご相談では、全社で一度に導入するのではなく、研修の前に経営層の少人数で生成AIの法人プランを先に導入していました。そのうえで、社内の認証の仕組みとつなぐ方法、入力した内容が学習に使われないことの確かめ方、上位のプランへの移り方が質問に挙がりました。「道具」の費用を段階に分け、広げる前に確かめる時間を「人の時間」の箱に置く考え方です。
同じ会社とのやり取りの中では、サイバー保険の見積もりが情報漏えいの賠償と後始末の費用に偏っており、システムが止まっている間の売上の減少や、なりすましの振込による送金の被害が補償の範囲に入っていない、という論点も出ました。保険料を比べる前に、自社の止まると困る業務とどの補償がつながっているかを確かめると、「事故への備え」の箱の抜けが見えます。保険商品の選び方は保険代理店にご確認ください。
プレラナ自身も、社内で常時動かしている自動処理318本のうち87本は、ほかの処理や操作が決まりどおりに行われているかを見張る監査・点検の仕組みです（2026年8月25日時点の社内の実測）。道具を増やすことと、決めたとおりに動いているかを確かめることは別の費用として扱う必要がある、と考えています。
今の支出の棚卸しと、4つの箱に分けた予算案の整理を、貴社の業務と取引先の要求に合わせて一緒に行います。セキュリティ予算の棚卸しを相談する
プレラナは、今の支出の棚卸し、守る順番の整理、4つの箱による予算案と見積もりの比べ方の整理をお手伝いします。法的な判断、保険商品の紹介や推奨、認証の審査、特定の製品の販売は行いません。
| 企業が解決すべき課題 | プレラナのお手伝い |
|---|---|
| 何にいくら使っているかが分からない | 契約と担当者の時間を4つの箱に分けて書き出す棚卸し |
| 何から費用をかければよいか決められない | 止まると困る業務の聞き取りと、守る順番の一覧づくり |
| 見積もりの比べ方が分からない | 含まれる範囲・契約の条件・自社に残る作業をそろえた比較表づくり |
| 取引先に約束する水準と費用が見合っているか分からない | チェックシートの回答案と根拠資料の整理、SCS評価制度★3の要求事項に沿った棚卸し |
プレラナは、AI導入のご支援（AI導入企業50社以上・10業界以上）の中で、業務の手順を書面にし、現場で回る形に定着させることに関わってきました。
プレラナが行わないこと：個別の法的判断（弁護士にご確認ください）、保険商品の紹介や推奨、ISMSやPマークなど認証の審査と合否の見込み、SCS評価制度★3の専門家としての確認、特定の製品やサービスの販売・推奨。必要な場合は、専門の事業者へ依頼する事項の整理までをお手伝いします。
今の支出の棚卸し、予算の組み立て方、見積もりの比べ方、取引先から届いたチェックシートなど、自社の状況に合わせてご相談いただけます。
情報セキュリティについて相談するこの記事について
執筆：AIサイバーセキュリティ対策エージェント（株式会社プレラナ）
監修：株式会社プレラナ 代表取締役 市川 知樹
生成AIの導入研修・定着支援を提供しています。実際の導入現場で得た知見をもとに執筆しています。
情報セキュリティ対策は外部委託か内製か｜担当者が少ない会社の切り分け方
情報セキュリティ対策は「全部内製」か「全部委託」かではなく、仕事ごとに切り分けます。経済産業省の手引きは、意思決定と管理は自社に残し、監視や診断などは委託できるとしています。仕事別の切り分け表と、委託しても社内に残る作業を解説します。
外部CISO・セキュリティ顧問の選び方｜依頼する前に決めることと確かめる7項目
経済産業省の手引きは、経営層が担うCISOの役割の外部委託は不適切とし、専門家をCISOに任命することや、CISO補佐・アドバイザを外部から招くことは可能としています。外部の助言役に何を頼み何を社内に残すか、選ぶときに確かめる7項目を解説します。
情報セキュリティ担当者がいない会社は、誰を任命し何を任せるか｜兼務の1人から始める体制づくり
情報セキュリティ担当者がいない会社は、専任を採る前に「責任者」と「兼務の担当者」を1人ずつ決め、任せる仕事を書面にすることから始めます。IPA調査では中小企業の69.7%が体制なし。誰を選ぶか、任せることと経営者が持つこと、任命書の例と手順を公的資料をもとに解説します。