ランサムウェア「 」は、わずか数分で企業の業務を完全に停止させてしまう可能性があります。また、によるフィッシング詐欺 —— の生成AI を活用したもの —— は、かつてないほど巧妙になっており、最も注意深い監視や厳重な防御さえもすり抜けてしまいます。 2025 が近づくにつれ、の最高情報セキュリティ責任者（CISO） は、限られた予算の中で絶え間ない脅威からどのように防御すべきかというジレンマに直面しています。
これらのCISOたちが、 十分な資金提供を受けていないというわけではありません。。 業界の専門家の多くは、サイバーセキュリティへの支出が、より大規模なIT予算の 9％から 20％を占めていると述べています。 ほんの数年前までは、組織が突如としてリモート勤務を余儀なくされた従業員が、可能な限り安全かつ確実に業務を行えるよう確保しようと努めた結果、こうした予算は2桁の伸び率で増加していました。
サイバーセキュリティの予算状況が、セキュリティ チームにとっていくつかの深刻な新たな課題を浮き彫りにしていることから、その時代はもはや明らかに過ぎ去ったと言えます。
例えば今年、CISOのサイバーセキュリティ予算は平均 8％増加しましたが、IANS + Artico Searchによる最近の「 」調査（）によると、 2021 年と2022年にはそれぞれ 16％および 17％の増加が見られました。
経済の先行き不透明感の中、このようなわずかな増額にとどまっているため、セキュリティ部門の責任者たちは、資金配分においてこれまで以上に慎重な判断を迫られています。 調査によると、 2024年における平均予算の約3分の1（37％）が人件費に充てられていました。 しかし、調査によると、今年の従業員数の増加率は 31％から 12％に低下したことが分かりました。 オンプレミス以外のソフトウェアおよびアウトソーシング費用は、さらに 43％を占めています。 これに対し、IANSとArtico Searchの調査によると、AIを活用したフィッシングが横行する時代における重要な防衛ラインである トレーニング（ ）の割合は4％に達したことが判明しました。
多くのCISOにとって、その指針は明確です。「要塞を守りつつ、コストを抑える」――これは、1ドルごとに説明責任が求められる課題です。
「セキュリティ支出はIT予算の中核をなすものですが、CISOが支出する1ドルごとにROIを説明せざるを得ない状況が依然として見られます」と、IDCのサイバーセキュリティアナリスト、フランク・ディクソン氏は指摘しています。
Where to allocate cybersecurity budget in 2025
では、CISOたちは適切な対応ができているのでしょうか？ はい、概ねその通りです――少なくとも資金管理の観点からは。 しかし、セキュリティチームが支出をいくつかの重要なトレンドに合わせていなければ、将来的にそれらの課題に対処するのに苦労することになり、その際にははるかに高いコストがかかる可能性があります。
「セキュリティへの支出はIT予算の中核をなすものですが、CISOが支出する1ドルごとにROIを説明せざるを得ない状況が依然として見られます。」IDCのサイバーセキュリティアナリスト、フランク・ディクソン氏
新会計年度に向けた予算編成のあらゆる決定において、指針とすべき5つの考慮事項は以下の通りです：
1. フィッシング対策機能を備えた多要素認証（MFA）およびパスワードレスソリューション
従来の による多要素認証（MFA） の手法は、ますます脅威にさらされています。 MFA（多要素認証）への爆破攻撃、中間者攻撃、そして における新たなソーシャルエンジニアリングの手口 により、かつては定番とされていたセキュリティ対策の脆弱性が露呈しました。
フォレスター・ は、 の対象となる組織に対し、暫定的な措置として、ワンタイムパスワード（OTP） の上に「番号照合」の層を組み合わせたMFAアプリを使用することを推奨しています。 ナンバーマッチングとは、MFA（多要素認証）のセキュリティ機能の一つで、ユーザーはプッシュ通知を受け取り、一連の数字を入力して本人確認を行うものです。
また、フォレスター社は、 FIDO2 のような公開鍵暗号方式に基づいた、フィッシング攻撃に強い多要素認証（MFA）ソリューションの導入を推奨しています。これは、 におけるパスワードレス認証のオープン標準 であり、ユーザーがユーザー名やパスワードなしでサイトにログインできるデジタル認証情報「パスキー」を支える基盤となっています。
[こちらもご覧ください：パスワードのセキュリティに関する新しい考え方に、きっと驚かれることでしょう]
効果的なMFA戦略には、予算のより大きな割合を割く必要がありますが、認証情報の盗難リスクを低減し、侵入攻撃を防ぐことができるのであれば、その費用は十分に正当化されるはずです。
2。 プラットフォームの統合とツールの集約
ツールの乱立は、セキュリティへの急速な投資に伴う、コストのかかる副作用です。 さまざまな機能にわたって複数のツールを導入しているため、セキュリティチームはツールスタックの管理や最適化において、しばしば支援を必要としています。 Gigamonが最近実施した「 」調査（）によると、CISOの 76％が、日々対処しなければならない脅威の多さに圧倒されていると感じています。 その結果、 10 人のCISOのうち6人が、死角を解消するための最優先課題として、ツールの統合と最適化を挙げました。
ツールを統合し、既存のインフラとシームレスに連携するプラットフォームに投資することで、企業は運用上の複雑さを軽減し、対応時間を短縮し、脅威の検出と是正を迅速化し、自動化の効果を高め、従業員がより優先度の高いプロジェクトや業務に集中できるようにすることができます。
「多くのCISOが、自社のツールスタック内の最適化を検討しています」と、IANSのシニアリサーチディレクター、ニック・カコロウスキー氏は述べています。 「財政的な圧力が、統合への関心を高めています。」 一方で、ツールを最大限に活用するための人的リソースが限られているため、各チームはシステムの拡散を最小限に抑え、自動化を図る方法を模索せざるを得なくなっています。
3。 自動化――少ないリソースでより多くの成果を上げる
人材不足は現実の問題であり、CISOたちはそのことをよく承知しています。 セキュリティチームにとって、より少ない人員で同等の保護レベルを維持するためには、自動化が不可欠です。
「財政的な圧力により、スプロール現象を最小限に抑え、業務を自動化する…方法への関心が高まっています。」IANSの上級リサーチディレクター、ニック・カコロウスキー氏
ディクソン氏は、検知能力を向上させ、対応を効率化するツールに注力することを推奨しており、これにより、 における平均検知時間（MTTD） および における平均修復時間（MTTR） を短縮できるとしています。 「自動化とは、単にツールに投資することだけではありません。人員増のペースを緩めるなど、他の面でコスト削減につながるようなツールに投資することなのです」と彼は述べています。
[関連記事：レポートのコスト削減、生産性の向上、システムの可用性向上などを自動化する組織――その理由とは]
GenAIは、自動化が有望視されている分野の一つです。 の脅威分析の自動化 からアラートの優先順位付けに至るまで、AIツールを活用することで、セキュリティチームは人員を増員することなく脅威を管理できるようになります。 しかし、CISOは慎重に進める必要があります。 GenAIツールは、その有効性が他のプラットフォームとのシームレスな連携にかかっているため、既存のセキュリティ環境に慎重に統合する必要があります。
4。 研修と内部脅威への意識向上を優先してください
攻撃者がAIを活用して極めてリアルなフィッシング詐欺を仕掛け、メールアドレスへの送信を大規模に自動化している現状において、人的なリスク管理への投資が不十分であることは、組織の戦略にとって致命的な欠陥となりかねません。 結局のところ、組織においてセキュリティ上の脆弱性の原因となるのは、往々にして「人」なのです。
「トレーニングは、あらゆるサイバーセキュリティ予算において重要な要素でなければなりません」とディクソン氏は述べています。
これまで以上に、フィッシングシミュレーション、 行動分析、および人的リスク管理ツールは、あらゆる組織において定期的に実施されるべきです。 AIを活用したフィッシング詐欺を見抜き、回避することに重点を置いた充実した研修プログラムは、従業員を第一の防衛線として強化することができます。 内部関係者の活動を監視するポリシーを導入し、行動分析を活用して不審な行動を検知することで、内部脅威が深刻化する前に発見するのに役立ちます。
5。 クラウドセキュリティと詳細な可観測性
ハイブリッドおよび クラウド環境 の普及に伴い、すべてのデータフローにわたる可視性が極めて重要になっていますが、多くの組織では、この点についてより適切な対応策を講じる必要があります。 たとえば、Gigamonの調査によると、 10 人のCISOのうち8人が、ハイブリッドクラウドインフラストラクチャにおける死角を最大の懸念事項の一つとして挙げています。
もちろん、クラウドに関する根本的な事実は、CISOの方々にも十分に理解されています。すなわち、徹底した可観測性には多額のコストがかかるということです。
[こちらもご覧ください：クラウドネイティブ技術の俊敏性と拡張性を活用したいとお考えですか？ まず、クラウドセキュリティを根底から揺るがしかねない重大な隔たりを埋める必要があります]
しかし、ハイブリッド環境におけるセキュリティの基盤となる層として、ますます注目されるようになっています。 ギガモンの調査に参加したCISOのほぼ 85％が、サイバー脅威をリアルタイムで特定する上でパケットレベルのデータが重要であることを強調し、 2025 の予算において堅牢な監視ソリューションの必要性を指摘しました。
サイバーセキュリティ予算の基本――サイバーリスクとビジネス目標の整合を図る
CISOは、短期的にはこれらの優先事項を予算の配分対象から外すべきではありません。 実際、セキュリティ担当責任者が犯しがちな最も重大な過ちの一つは、予算を戦略的な複数年計画の一部として位置づけるのではなく、単なる年度ごとの配分として扱ってしまうことだと、ディクソン氏は述べています。 3年から5年の計画サイクルで考えることで、CISOはセキュリティへの投資を事業目標とより密接に整合させ、投資した1ドルごとに測定可能な価値を生み出すことができると、同氏は付け加えています。
For fiscal year 2025, CISOs should balance immediate needs with long-term strategies, reallocating resources to phishing-resistant MFA, platform integration, automation, employee training, and cloud security to not only defend against rising threats but also demonstrate that cybersecurity investments support the company’s resilience and future growth.
