グーグルはネットワークセキュリティにいくら投資している？大手テック企業のセキュリティ戦略と予算の目安

サイバー攻撃が年々高度化・巧妙化する昨今、グーグル、マイクロソフト、アマゾンといった大手テック企業は、セキュリティ対策に莫大な資金を投入しています。本記事では、各社のセキュリティへの取り組みと投資規模を紹介するとともに、一般企業がITセキュリティにどれほどの予算を割くべきかという目安についても詳しく解説します。

マイクロソフトのセキュリティ投資額

マイクロソフトは、今後5年間で200億ドル（約2兆円超）をサイバーセキュリティに投資する方針を発表しました。これは従来の年間10億ドルという投資額の4倍にあたる大幅な増額です。同社は、バイデン米大統領と国内最大手テック企業のCEO十数名が集まった会合の場で、この5カ年の投資計画を明らかにしました。

マイクロソフトが提供するセキュリティ製品

マイクロソフトは企業組織を多層的に守るセキュリティプラットフォームを展開しています。

• IDおよびアクセス管理：ユーザーのリスクレベルに応じて、重要なリソースへのアクセスを制限します。
• 脅威保護：攻撃を受けた際の迅速な検知と復旧を支援します。
• Azure Sentinel：SIEMツールとして統合型の脅威保護を提供します。
• Microsoft 365 Defender：メール、ドキュメント、ID、アプリ、エンドポイントといったエンドユーザー環境向けのXDR機能を提供します。
• Azure Defender：クラウドインフラストラクチャ向けのXDR機能を提供します。

また、Windows 10には標準で「Microsoft Defender ウイルス対策」が組み込まれており、ウイルスからPCを保護します。以前は「Windows Defender セキュリティセンター」と呼ばれていたこの機能は、現在「Windows セキュリティ」として提供されています。

グーグルのサイバーセキュリティへの取り組み

グーグルは、セキュリティ脅威を検知するために包括的な脆弱性管理プロセスを実施しています。具体的には、市販ツールと自社開発ツールの両方を活用した自動・手動のペネトレーションテスト、品質保証プロセス、ソフトウェアセキュリティレビュー、そして外部監査を組み合わせた多層的なアプローチを採用しています。

さらに、データセキュリティ、ネットワークセキュリティ、クラウドセキュリティ、物理セキュリティに加えて、極めて強固なサイバーセキュリティ文化を維持していることでも知られています。従業員の採用段階から大規模なデータ漏洩インシデントの調査に至るまで、あらゆるフェーズで高い水準の保護が徹底されています。

アマゾンのセキュリティ体制

アマゾンは、AWS上でホストされるFireEyeのクラウドベースのセキュリティサービスと、クラウド環境特有の脅威を検出する技術を組み合わせて活用しています。FireEyeはAWSのアドバンスド・テクノロジー・パートナーとして、パブリッククラウドおよびハイブリッドクラウド環境を保護するソリューションをAmazon Web Servicesと連携して提供し続けています。

また、アマゾンは従業員向けに、セキュリティ脅威を予測し備えるための簡潔で分かりやすい研修プログラムを実施しています。「Security Awareness」トレーニングは2021年10月からアマゾンの公式サイトで無料公開されました。こうした取り組みにより、内部者によるインシデントの発生リスクを低減しています。データ保護は複雑で困難な作業ですが、顧客からの信頼こそがオンラインビジネス成功の鍵となるからです。

企業はITセキュリティにいくら費やすべきか？

では、一般企業はセキュリティにどれくらいの予算を確保すべきなのでしょうか。専門家の間では、一般的な目安としてIT予算の10〜15%をサイバーセキュリティ保護に充てることが推奨されています。この数値は「Pursuing Cybersecurity Maturity at Financial Institutions」と題されたレポートによっても裏付けられています。

一方、調査会社IDCでサイバーセキュリティ製品担当プログラム副社長を務めるフランク・ディクソン氏は、経験則として、組織はIT予算の7〜10%をセキュリティに支出すべきだと述べています。また実際には、多くの企業がIT予算の3〜6%程度をセキュリティに充てており、コンプライアンス関連費用を加えるとさらに3〜6%の追加コストが発生するのが実情です。

セキュリティ予算の試算例

例えば、IT支出が500万〜2,000万ドル規模の中堅組織の場合、年間予算は2,000万〜5,000万ドル程度になると考えられます。IT予算全体の10%をセキュリティに配分すると仮定すれば、その企業の平均的なサイバーセキュリティコストを算出することができます。

セキュリティ予算を明確に設定するメリット

セキュリティ予算を事前に明確に設定することで、企業は具体的な目標を定められます。何が必要かを把握していれば、時間と費用の無駄を削減できます。一定額の予算配分と個別のコスト割り当てを行うことで、組織はリソースの浪費を最小限に抑えることができるのです。

サイバーセキュリティとは何か

サイバーセキュリティとは、システム、ネットワーク、プログラムをサイバー攻撃から守るための一連の実践的取り組みです。典型的なサイバー攻撃の目的は、機密情報への不正アクセス、改ざん、破壊、ユーザーからの金銭恐喝、正常なビジネス運営の妨害などです。

サイバーセキュリティ分野で取得すべき主な資格

セキュリティ分野でのキャリアを目指すなら、以下のような資格が役立ちます。

• CISSP：Certified Information Systems Security Professional（情報システムセキュリティの国際的权威資格）
• AWS Certified Security – Specialty：AWSのセキュリティ専門資格
• CCSP：Certified Cloud Security Professional（クラウドセキュリティ専門家認定）
• ISACA系資格：CISA、CISM、CRISC
• OTセキュリティ関連資格
• Palo Alto Networks系資格：PCNSA、PCNSE

まとめ

大手テック企業は、マイクロソフトの「5年間で200億ドル」という投資計画に代表されるように、サイバーセキュリティに巨額の資金を投じています。グーグルは多層的な脆弱性管理と強固なセキュリティ文化を、アマゾンはパートナー連携と従業員教育による体制を構築しています。一般企業にとっては、IT予算の7〜15%程度をセキュリティに配分することが一つの目安となります。自社の規模やリスクに応じた適切なセキュリティ予算を設定し、計画的に投資を続けることが、事業を脅威から守る第一歩です。