サイバーセキュリティ監査の費用はいくら？種類別の相場と所要期間を徹底解説

サイバーセキュリティ監査の費用相場まとめ

サイバーセキュリティ監査やセキュリティ診断の費用は、企業規模、従業員数、業務の複雑さ、監査対象の範囲によって大きく変動します。本記事では、IT監査から脆弱性診断、SOC 2監査まで、さまざまな監査・診断サービスの費用相場と所要期間を詳しく解説します。

監査・診断の種類別 費用相場

IT監査の費用

会計事務所の2020年税務シーズン調査レポートによると、民間企業のIT監査では平均2,927時間の作業時間が必要とされ、平均単価は約179ドル/時間でした。一方、非営利団体の場合は平均935時間、約149ドル/時間という結果です。

サイバーセキュリティリスク評価の費用

米国では、従業員50名規模の企業向けサイバーセキュリティリスク評価の一般的な費用は約10,000ドルです。コスト管理も重要ですが、経験豊富な評価者を含む確立された手法に基づいた評価であることが不可欠です。安価でも質の低い評価では意味がありません。

コード監査の費用

コード監査のプラン料金は、600ドル〜1,200ドル程度が一般的な相場です。

セキュリティ評価の費用

セキュリティ評価の費用は大きく異なります。企業の規模、従業員数、業務の複雑性に応じて、通常5,000ドル〜50,000ドルの価格帯になります。

脆弱性診断の費用

脆弱性診断の費用は、内部ネットワークやWebアプリケーションなど、スキャン対象の環境によって変わります。診断対象となるIPアドレス、サーバー、アプリケーションの数にもよりますが、平均して2,000ドル〜2,500ドル程度が相場です。

ネットワーク監査の費用

ネットワーク監査は有益であるだけでなく、コストパフォーマンスにも優れています。ネットワークパフォーマンスやモバイルデバイス管理などを含む包括的な監査は当然高額になりますが、通常、セキュリティ監査の費用は数千ドル〜20,000ドル程度です。

プライバシー監査（HIPAA監査）の費用

ヘルスケアコンプライアンス企業DaticaによるHIPAA監査は、人件費や直接経費を含めると30,000ドル〜60,000ドルかかる場合があります。

NIST CSF準拠評価の費用

NIST 800-53およびNIST 800-171への準拠プロセスを社内で構築する場合の費用は、コンピューティング環境の成熟度と手順実行に割ける人員数に応じて、30,000ドル〜35,000ドルの範囲となります。

ソフトウェアセキュリティ監査の費用

セキュリティ監査の価格には多くの要因が影響しますが、一般的な平均費用は1,500ドル〜20,000ドル程度です。想定より高いと感じるかもしれませんが、米国における平均的なセキュリティ侵害のコストと比較すれば、十分に妥当な投資といえます。

ウェブサイトセキュリティ監査の費用

インドでのウェブサイトセキュリティ監査は、500ドル〜2,000ドル程度が目安です。監査の範囲、対象システム、複雑度、サービス提供者によっては、最大50万ルピーかかることもあります。

情報漏えいによる損失との比較

IBMとPonemon Instituteの2020年「データ漏えいのコスト」レポートによると、2019年8月から2020年4月の間に、米国におけるサイバーセキュリティ侵害の平均コストは864万ドルに達しました。監査費用は決して安くありませんが、情報漏えいによる損失と比較すれば、予防投資として非常に合理的だと言えます。

財務監査の費用相場

財務諸表監査は決して安くなく、企業の規模や複雑性に応じて6,000ドル〜25,000ドルの範囲です。完了までには通常3週間〜数ヶ月を要します。

中小企業の場合、監査費用は5,000ドル〜75,000ドルが一般的です。これは、次に高い保証水準である財務諸表レビューの約2倍のコストに相当します。

また、実績のある公認会計士（CPA）への依頼費用は決して低くなく、電話一本で見積もりを出してくれるCPAはほぼ存在しない点にも注意が必要です。

リスクアセスメントの費用

リスクアセスメントの費用は、簡単なテストなら1,000ドル未満から、大規模なものでは50,000ドルを超えることもあります。見積もりを受ける前に、何が必要で何に対して請求されるのかを正確に確認しましょう。自社の規模や業種に適した業者を選ぶことが重要です。

火災リスクアセスメントの場合、低予算の施設では200ポンド〜900ポンドの見積もりが一般的です。個人で活動する火災リスク評価者に依頼すれば、150ドル〜200ドル程度に抑えられることもあります。

サイバーセキュリティ監査とは？

サイバーセキュリティ監査とは、組織の技術インフラ全体を徹底的にレビュー・分析し、評価するプロセスです。この脆弱性発見プロセスにより、脆弱性やハイリスクな運用慣行、脅威や弱点を特定します。

監査の対象には、オペレーティングシステム、サーバー、デジタル通信・共有ツール、アプリケーション、データ収集・保存プロセスなど、ITインフラのすべての構成要素が含まれます。

サイバーセキュリティ監査では、組織のサイバーセキュリティが体系的かつ独立的に検証され、適切なセキュリティポリシー、統制、手順が整備されていることを確認します。定期的な監査を実施することで、サイバー攻撃を未然に防ぐことができます。

なお、利益相反を避けるため、監査は通常第三者によって実施されますが、親会社から独立した立場で行うのであれば、社内チームが監査を実施することも可能です。

自社でできるウェブサイトセキュリティチェック

専門業者に依頼する前に、以下の基本的なポイントを自社で確認しておきましょう。

• スクリプトやアプリケーションを最新の状態に保つ
• ドメインが清浄であり、IPアドレスが有効であることを確認する
• 強固なパスワードを設定する
• 使われていないユーザーアカウントを削除する
• SSLを導入する
• リモートアクセスにはSSHを使用する
• システムをウイルスやマルウェアについてスキャンする

サイバーセキュリティ監査の進め方

1. 監査範囲を定義する：サイバーセキュリティ監査の第一歩はスコープの明確化です。
2. 必要なリソースを確保する：監査チームが必要なリソースにアクセスしやすい環境を整えます。
3. コンプライアンス基準を確認する：関連するコンプライアンス基準が満たされているか検証します。
4. ネットワーク構成を詳細に記録する
5. リスクと脆弱性を特定・記録する
6. 既存のサイバーリスク管理プログラムを評価する
7. リスク対応を最優先事項とする

監査開始前には、データの機密性、完全性、可用性に関するポリシーを確認しましょう。機密性はどの従業員がどのデータにアクセスできるかに関わり、完全性は統制措置の正確性を指します。

監査にかかる期間の目安

• 一般的なサイバーセキュリティ監査：計画フェーズ、現場作業、報告フェーズを含め、約3ヶ月
• SOC 2監査：最大18週間。一般には6ヶ月〜12ヶ月を見込むべきで、年次コンプライアンス更新時は12ヶ月の監査期間を計画することが推奨されます
• PCAOB監査：企業の規模や内部記録の品質により数日〜数ヶ月。書類が整備されていれば3週間〜6週間が目安

サイバーセキュリティ監査人の年収

ZipRecruiterによると、米国におけるサイバーセキュリティ監査人の平均年収は、下位25%で80,500ドル、上位25%で128,000ドルとなっており、最高所得者は年間171,000ドルに達します。

日常的なサイバーセキュリティコスト

ワークステーション向けの基本ウイルス対策ソフトは月額3ドル〜5ドル、サーバー向けは月額5ドル〜8ドルが相場です。マルウェアの防止・監視を行う総合的なサイバーセキュリティサービスを利用する場合は追加料金が発生します。

ネットワーク監視の費用は、小規模ネットワークで月額100ドル〜500ドル、中規模ネットワークで月額500ドル〜2,000ドルが一般的です。

サイバーセキュリティ監査が重要な理由

サイバー攻撃は決してなくなることはありません。だからこそ恐れるのではなく、対策を講じることが大切です。データ監査は、組織が重要データを保護し、セキュリティギャップを特定し、新しいセキュリティポリシーを実装し、セキュリティプログラムの有効性を追跡するのに役立ちます。

定期的な監査により、従業員がセキュリティポリシーを遵守していること、そして新たな脆弱性が早期に発見されることが保証されます。ITセキュリティ監査は、貴重なデータをサイバー攻撃から守るための効果的な手段なのです。

まとめ

サイバーセキュリティ監査の費用は、監査の種類や対象範囲によって数千ドルから数万ドルまで幅があります。一見高額に感じられますが、平均864万ドルに上る情報漏えいの損失と比較すれば、必要不可欠な投資です。自社の規模と業種に合った信頼できる監査業者を選び、定期的な監査体制を構築することが、健全なセキュリティ態勢の維持につながります。