ROSI（セキュリティ投資収益率）とは？計算式と活用方法をわかりやすく解説

ROSI（Return on Security Investment）とは

ROSI（Return on Security Investment：セキュリティ投資収益率）は、サイバーセキュリティへの投資がどれほどの効果をもたらすかを金銭的に評価するための指標です。一般的なROI（投資収益率）と異なり、セキュリティ投資は「直接的な利益」ではなく「リスクの低減」という形で価値を生み出します。そのため、ROSIでは投資によって回避できた損失額を基準に、投資対効果を測定します。

ROSIの基本的な計算式

ROSIは、年間に想定される損失額（リスク低減額）とセキュリティ対策のコストを用いて、次のように表されます。

ROSI ＝（リスク低減額 − セキュリティ対策コスト）÷ セキュリティ対策コスト × 100

ここでいう「リスク低減額」は、対策を導入することで回避できると期待される年間損失額（ALE：Annualized Loss Expectancy）を指します。ALEは、単一損失期待値（SLE）に年間発生率（ARO）を掛けて算出します。

SLE（単一損失期待値）

SLEは、セキュリティインシデントが1回発生した場合に想定される損失額です。復旧コスト、業務停止による損失、対応にかかる人件費などを含めて見積もります。

ARO（年間発生率）

AROは、そのインシデントが1年間に何回発生しうるかを示す頻度の指標です。過去のインシデント履歴や業界の統計データなどを参考に推定します。

ALE（年間損失期待値）

ALE＝SLE×AROで求められ、年間を通じて予想される損失の総額を表します。このALEと対策コストを比較することが、ROSI算出の基本となります。

ROSIの活用目的

ROSIは、あるセキュリティ対策（統制）への投資が経済的に妥当かどうかを判断するために用いられます。セキュリティ対策が財務的に成立するためには、その対策によって低減されるリスクが、導入・運用コストを上回る必要があります。

具体的には、リスクアセスメントの結果と組み合わせて、次のような場面で活用されます。

• セキュリティ対策ツールやソリューションの導入可否の判断
• 複数の対策案の中から費用対効果の高いものを選定する際の優先順位付け
• 経営層やCFOに対してセキュリティ予算を説明する際の定量的な根拠
• 定量リスク評価の結果と対策コストの比較検証

ROSIの限界・注意点

ROSIは有用な指標である一方、いくつかの限界がある点にも留意が必要です。

1. 推定値への依存

サイバー攻撃による損失額や発生頻度は、環境や業種によって大きく異なるため、正確な推定が困難です。SLEやAROの見積もり精度が、ROSIの信頼性を直接左右します。

2. 定量化できない要素の存在

ブランドイメージの低下や顧客の信頼喪失など、金銭換算しにくい被害はROSIに反映されにくいため、数値だけで判断するのは危険です。

3. 将来の脅威の不確実性

脅威環境は常に変化しているため、過去データに基づくAROの推定が将来もそのまま当てはまるとは限りません。

一般的なROIとの違い

従来のROIは「（利益 − コスト）÷ コスト」で計算され、数値が大きいほど投資効率が良いことを示します。例えば、10万円で購入した株式が12万円になれば、利益は2万円となり、ROIは20%です。

一方、セキュリティ投資の場合、「利益」は目に見える形では現れません。代わりに「回避できた損失」がリターンとなるため、ROSIではリスク低減額をベースに計算する点が大きな違いです。

セキュリティの価値を高めるポイント

ROSIを最大化するためには、単にツールを導入するだけでなく、組織全体での取り組みが重要になります。

• IT資産におけるリスクレベルを把握し、優先順位を明確にする
• データへのアクセス制御を強化し、重要情報を保護する
• OSやソフトウェアを最新版に保ち、パッチ適用を徹底する
• データの価値に見合ったリソース（人員・予算）を配分する
• 外部委託だけに頼らず、社内でもセキュリティ体制を構築する

まとめ

ROSIは、セキュリティ投資の費用対効果を定量的に示すための有効な指標です。「SLE×AROで求めた年間損失期待値（ALE）」と「対策コスト」を比較することで、その投資が経済的に合理的かどうかを判断できます。ただし、推定値への依存という限界もあるため、ROSIはあくまで意思決定の一つの材料として、定性的なリスク評価と併せて活用することが望ましいでしょう。