外部公開レポートの数字を、情シスの社内説明にどう使うか

セキュリティ対策の必要性を社内に説明するとき、「最近危ないらしいです」だけでは動きません。 一方で、調査レポートの数字をそのまま並べても、「それは大企業の話では？」「海外の話では？」「結局、自社は何をすればいいの？」で止まってしまいがちです。

2026年現在は、ランサムウェアや脆弱性対応に加えて、生成AI利用、SaaS連携、ID管理、委託先経由のリスクまで、社内で説明する場面が増えています。この記事では、外部レポートの数字を「自社では何を確認するか」に落とし込む方法を整理します。

数字は「怖がらせるため」ではなく「優先順位をそろえるため」に使う

セキュリティ調査レポートには、被害件数、侵害割合、復旧期間、平均コストなど、さまざまな数字が出てきます。

ただ、社内説明で必要なのは数字そのものではなく、「なぜ今この対策を考えるのか」を共有することです。

まずは、資料ごとの役割を分けて考えます。

• 全体像：今年、何が重要論点か（年次の俯瞰）
• 国内の実害：日本でも現実に起きていること（公的統計・事例）
• 直近動向：最近の注意喚起・インシデント対応の流れ（四半期の更新）
• 侵害の入り口：どこから入るのか（手口・初期侵入）
• 経営影響：起きたときのコスト、ガバナンスの論点（意思決定の材料）

同じ「セキュリティの数字」でも、資料ごとに得意な説明が違います。

この違いを意識すると、数字を「紹介」で終わらせず、社内の判断材料に変えやすくなります。

全体像を示すなら：IPA「情報セキュリティ10大脅威」

IPA（情報処理推進機構）の「情報セキュリティ10大脅威」は、前年に社会的影響が大きかった脅威を選定し、整理して公表する年次資料です。社内で論点をそろえる入口になります。

参考： 情報セキュリティ10大脅威 2026

社内説明では、順位そのものを当てに行くというより、次のように使うのが実務的です。

• 今年、議論すべきテーマ（例：ランサム、サプライチェーン、AI利用リスク等）を“漏れなく”そろえる
• 自社の状況（委託先利用、SaaS、端末・ID、AI利用）と照らして「棚卸し項目」を作る
• 予算・人員の議論を「個別の好み」ではなく「社会全体の論点」につなげる

国内の実害を伝えるなら：警察庁「サイバー空間をめぐる脅威の情勢等」

「海外の話では？」と言われそうなときは、警察庁の公表資料が強い根拠になります。

警察庁が公表する「サイバー空間をめぐる脅威の情勢等」は、国内で発生したサイバー犯罪・サイバー攻撃の状況や傾向を取りまとめたものです。

参考： 令和７年におけるサイバー空間をめぐる脅威の情勢等について（警察庁）

社内説明では、次のような“背中押し”に使えます。

• ランサムウェア対策は特定業界だけの問題ではなく、事業継続（BCP）の論点である
• フィッシングや不正送金は、教育だけでなく、認証・承認フローの設計に直結する
• 金融サービスをかたる攻撃は、個人利用に見えても、会社端末・アカウント管理の運用に波及しうる

直近の傾向を補足するなら：JPCERT/CC 四半期レポート

年次資料だけだと、「それは今年の初めの話では？」と思われることがあります。JPCERT/CCの四半期レポートを添えると、最近も続いている問題として補足できます。

JPCERT/CC 四半期レポートは、四半期ごとのインシデント対応状況や注意喚起の動向をまとめた公開資料です。

参考： 四半期レポート（JPCERT/CC）

※直近の更新例：2026-04-16公開「2026年1月1日～2026年3月31日」版（ページ記載に基づく）

侵害の入り口を説明するなら：Verizon DBIR

VerizonのDBIR（Data Breach Investigations Report）は、世界中の侵害事例を分析し、攻撃の入り口や侵害傾向を整理した年次レポートです。

国内資料だけでは説明しにくい「なぜパッチ管理やID管理を急ぐのか」を、侵害の入り口から補足できます。

参考： 2026 Data Breach Investigations Report（Verizon）

社内説明での使いどころ（例）：

• 脆弱性対応は「いつかやる」ではなく、侵入口を減らすための優先課題
• ランサムウェア対策は、バックアップだけでなく、侵入経路の管理や検知・対応体制も含む
• SaaS、クラウド、委託先が増えるほど、第三者経由のリスクも考慮が必要

※海外レポートの数字は“自社の確率”に置き換えず、「論点の補助線」として扱うのが安全です。

経営影響やAI利用ルールを説明するなら：IBMのレポート

IBMの「Cost of a Data Breach Report」は、データ侵害時のコストや要因を調査し、毎年公開しているレポートです。

AI利用や被害コストを、感覚論ではなく判断材料として話しやすくなります。

参考： Cost of a Data Breach Report 2025（IBM）

社内説明では、たとえば次のような主張を“数字付き”で言えます。

• AI利用を禁止するだけでは、実態を把握できないままシャドーAIが広がるリスクがある
• AI利用ルールは、従業員を縛るためではなく、入力してよい情報・いけない情報を明確にするために必要
• アクセス制御や監査の仕組みがないままAI利用が広がると、情報漏えいや業務停止のリスクにつながる

どの資料をどう使うか（目的別の早見表）

数字を使うときは、「判断」と「確認項目」まで翻訳する

外部レポートは、調査対象や集計方法がそれぞれ異なります。数字を単純比較したり、海外レポートの数字をそのまま自社の確率として語ったりすると、かえって誤解を生みます。

社内では、「この数字を見て何を決めたいのか」まで言えると話が進みます。経営層なら投資判断、現場部門ならルール変更、情シス内なら運用の見直し、というように分けて考えます。

たとえば「ランサムウェアが増えています」だけでは、何を判断すればよいか分かりません。

「復旧できる前提で、バックアップ復元時間・特権ID・端末検知・ログ保全を確認したいです」と言い換えると、次の行動につながります。

同じように、レポートで見た論点は、最後に運用単位の確認項目へ落とします。

予算申請や経営説明では、外部レポートの数字だけを根拠にせず、自社の業務影響・現状のギャップ・次の対策とセットで示すと通りやすくなります。数字は多くても2〜3個に絞り、「どの判断をしたいのか」を先に決めてから使うのが実務的です。

まとめ：数字は、社内で動いてもらうための共通言語になる

セキュリティ調査レポートは、専門家だけが読むものではありません。IPAで全体像をそろえ、警察庁やJPCERT/CCで国内・直近の状況を補足し、DBIRやIBMで侵害の入り口や経営影響につなげる。最後に自社の確認項目へ落とす。

ここまでできると、外部レポートの数字は「危ないらしい」ではなく、「だからここを確認しよう」という社内の共通言語になります。

クラウドネイティブでは、外部レポートの論点を、自社のID管理、SaaS管理、端末管理、AI利用ルールにどう落とし込むかを一緒に整理できます。社内説明や優先順位づけの前提づくりに悩んでいる場合は、お気軽にご相談ください。

---

社内説明で聞かれやすいこと

セキュリティ調査レポートは、社内説明でどう使えばよいですか？

まず「この数字を見て、社内で何を決めたいのか」を決めます。予算なのか、ルール変更なのか、棚卸しなのかを分けたうえで、自社で確認する運用項目に落とすと話が進みやすくなります。

海外レポートの数字を、そのまま自社のリスクとして説明してよいですか？

そのまま当てはめるのは避けた方が安全です。業種、国、企業規模、IT環境が異なるため、「同じ確率で起きる」ではなく「確認すべき観点」として扱います。

経営層に説明するときは、どの資料が使いやすいですか？

被害コストや事業影響を話すなら、IBMのCost of a Data Breach Reportや警察庁資料が使えます。ただし、外部レポートの数字だけで押すのではなく、自社の業務影響や現状のギャップとセットで示す方が伝わります。

参考資料

• 情報セキュリティ10大脅威 2026（IPA）
• 令和７年におけるサイバー空間をめぐる脅威の情勢等について（警察庁）
• 四半期レポート（JPCERT/CC）
• 2026 Data Breach Investigations Report（Verizon）
• Cost of a Data Breach Report 2025（IBM）