まずは、とても貴重な先達の残した情報からご紹介します。経済産業省および情報処理推進機構（IPA）は、必見の資料「中小企業の情報セキュリティ対策ガイドライン第4.0版」を公開するとともに、タイトルを見ただけでも手元に置きたくなる「中小企業のための実例で学ぶサイバーセキュリティリスク事例集」を公開しました。

図1　サイバー攻撃を“自分事”に。そしてその先、“どう動く？”――中小企業のセキュリティ対策強化に向けて「中小企業のための実例で学ぶサイバーセキュリティリスク事例集」と「中小企業の情報セキュリティ対策ガイドライン第4.0版」を公表しました［クリックで拡大］ 出所：METI／経済産業省（https://www.meti.go.jp/press/2025/03/20260327002/20260327002.html）

　これは、「中小企業で実際に起こり得る被害や必要な対策を具体的に示すことで、自社のリスク認識を深め、サイバー攻撃を自分事と認識した上で、必要な対策を促すことを目的として作成した」とあるように、まさに事例駆動で対策を進めるための資料です。事例さえあれば、セキュリティ対策に二の足を踏むような経営層にもしっかり伝わります。

　実際の資料を見てみましょう。特に注目していただきたいのは、この事例集の中の「被害事例」です。ここでは、実際に発生した各種インシデントの内容とともに、その想定被害額がまとめられています。一番金額が大きいものを挙げると、「クラウド設定ミスによる情報漏えい」という典型的なインシデントでは、初期対応費用、弁護士訴訟費用、取引停止による利益被害の総額が5000万円を超え、売上規模から見ても大変な影響が発生することが分かります。

図2　「中小企業のための実例で学ぶサイバーセキュリティリスク事例集」における被害事例では、想定被害額がまとめられている［クリックで拡大］ 出所：METI／経済産業省

　しかも、この被害総額の計算明細もまとめられており、インシデントが発生するとどのような項目に費用をかけなければならないのかも伝わってきます。加えて、これらには利益損害、賠償損害、詐欺被害額などは含まれておらず、事例によってはさらなる対策費用がかかることにも注目せざるを得ません。

　このように、具体的な「お金」として示されると、経営層にとってもインシデントの見え方が大きく変わるはずです。この資料にはその他にも、脆弱（ぜいじゃく）性によるインシデントの事例やコラムなどが含まれており、非常に参考になると思います。加えて、具体的な対策についても、IPAの各種資料や同時にアップデートされた中小企業の情報セキュリティ対策ガイドライン第4.0版が参考になるはずです。ぜひ、公表されたページからたどれる資料に目を通し、経営層と会話をしてみてください。