サイバーセキュリティインシデントのコスト上昇：ITサービスプロバイダーと発注企業にとっての意味

要点： 「サイバーインシデントのコスト」という単一の数字は存在しない。IBMの2026年レポートは世界平均の侵害コストを過去最高の499万米ドルとし、Coalitionの2026年保険金請求データは平均請求額を11万6,000米ドル（前年比19%減）とする。どちらも正しい。測っている母集団が違うだけだ。母集団を正しく把握することがこの作業のすべてであり、香港もシンガポールも現地のコスト数値をいっさい公表していない。

セキュリティ予算の議論は、最後には必ず何らかの数字にたどり着く。たいていは見出しの数字だ。データ侵害1件の平均コストはおよそ500万米ドル。これは信頼できる出典による実在の数値であり、それを取締役会に示すことはほぼ常に誤解を招く。数字が間違っているからではない。「サイバーセキュリティインシデントのコスト」が単一の量ではなく、少なくとも三つの量だからである。調査対象となった大企業が自己申告する侵害総コスト、保険会社が請求に対して実際に支払う額、そして国家レベルのインシデント対応機関が件数として数えながら決して金額化しない数——この三つはいずれも2026年に公表され、いずれも根拠があり、そして二桁以上も食い違っている。

本レポートでは、それぞれが何を測っているのか、香港とシンガポールの公表データに何が含まれ何が含まれないのか、そしてそれがマネージドIT契約の売り手と買い手それぞれにとって何を変えるのかを順に検討する。扱う主題はインシデントコストの経済学——誰が負担し、いくらかかり、それが予算とサービス期待をどう作り変えるか——であって、第三者・サプライチェーンのリスク配分ではない。それは別の問いであり、別の答えを持つ。

主要な調査結果

• 世界平均499万米ドルという見出しの数字は、602組織を対象とした調査によるものである。 IBMがPonemon Instituteと実施した2026年『データ侵害のコストに関する調査』は、2025年3月から2026年2月のあいだに侵害を受けた602組織を、16の国と地域、17業種にわたって対象としている。これがこの数字の描く母集団であり、個々の企業に対する予測ではない。
• 平均保険金請求額は11万6,000米ドルで、19%下落した。 Coalitionの2026年『サイバー保険金請求レポート』は、2025年通年・10万を超える契約者を対象に、請求の重大度が前年比19%減少したと報告している。ランサムウェアは依然として最も高額な請求類型で、平均26万9,000米ドルだった。
• 両方とも真である理由は、同じ測定ではないからだ。 一方は大企業中心の母集団における活動基準原価法による自己申告の総額であり、もう一方は中小企業に偏った引受ポートフォリオで保険会社が実際に支払った額である。一方をもう一方であるかのように引用することが、セキュリティ予算策定で最もよくある誤りだ。
• 香港とシンガポールが公表するのはインシデント件数であって、コストではない。 HKCERTは2025年に15,877件のインシデントを記録し、27%増で過去最高を更新した。シンガポールのCSAはランサムウェア165件と約4,800件のフィッシングを記録している。どちらもコスト数値を公表しておらず、その空白自体が一つの発見である。
• 侵害コストが上昇する一方で、サイバー保険は安くなっている。 Marshの2026年第2四半期『グローバル保険マーケットインデックス』は、サイバー保険料率が世界全体で4%下落——12四半期連続の低下と報告している。
• カネがかかっているのは攻撃の巧妙さではなく、検知にかかる時間である。 IBMによれば侵害の特定と封じ込めにかかる平均日数は247日（特定183日、封じ込め64日）。検知・エスカレーションと逸失ビジネスの合計が、世界平均コストの63%を占める。
• 香港企業の約30%には専任のサイバーセキュリティ人員がまったくいない。 HKCERTの調査では、完全な専任セキュリティ担当者を置く中小企業は26%、大企業は59%だった。検知能力は従業員数に応じてきれいに縮小してはくれない。

「サイバーインシデントのコスト」が一つに定まらない理由

信頼に足るインシデントデータを毎年公表している主体は三種類あり、いずれも同じものを測っていない。

• IBMの問い： 大組織が侵害を受け、その事象が生じさせたあらゆるコストを再構成したとき、総額はいくらになるか。2026年の答え：世界で499万米ドル、過去最高、12%増。
• Coalitionの問い： 小規模な被保険企業がサイバー損害を被り請求したとき、保険会社は実際にいくら支払うか。2025年の答え：平均11万6,000米ドル、19%減。
• HKCERTとCSAの問い： どれだけ起きていて、どんな種類か。2025年の答え：香港で過去最高の15,877件、27%増。シンガポールでランサムウェア165件、感染システム284,300件。いずれの機関もそれを金額化しない。

九龍湾やタンジョン・パガーにある従業員60名の企業は、IBMの母集団よりCoalitionの母集団にはるかに近い。だからといってIBMの数字が無意味になるわけではない——コストの*水準*が当てはまらなくてもコストの*構造*は示唆に富む——が、500万米ドルという想定で予算を組むことは、他人のバランスシートを相手に予算を組むことを意味する。

インシデントコストに実際に含まれるもの

見出しの数字は、カネがどこへ行くのかを覆い隠してしまう。IBMの2026年版による世界平均の内訳はきわめて明快である。最大の構成要素が、多くの人が予想するものではないからだ。

• 検知・エスカレーション——164万米ドル。 フォレンジック調査、評価と監査、危機管理、社内コミュニケーション。単独で最大の項目。
• 逸失ビジネス——154万米ドル。 業務中断、ダウンタイムによる収益損失、顧客離反、その顧客を補填する獲得コスト、レピュテーション毀損。
• 侵害後対応——136万米ドル。 ヘルプデスクと受電対応、クレジットモニタリング、規制上の制裁金、法務費用、製品値引き。
• 通知——45万米ドル。 規制当局やデータ主体への連絡、規制要件の確定、外部専門家の起用。

検知・エスカレーションと逸失ビジネスを合わせると、世界平均の63%——約318万米ドルになる。この一覧に身代金はない。マルウェアもない。カネがかかっているのは*何が起きたのかを突き止めること*と、*突き止めているあいだ止まっていた事業*である。これは多くのセキュリティ支出を動かしている直感を逆転させる。本能は防御製品を買うことに向かうが、コストデータが示す支配的な費目は調査と中断の期間であり、それはインシデントがどれだけ早く検知・封じ込められるかの関数であって、防御製品を何本入れたかの関数ではない。

世界の数字が語ること——そしてその標本の中身

見出しの数字と、その背後の標本

IBMの2026年レポート——Ponemon Instituteと実施した第21回年次版、2026年7月下旬公表——は、世界平均を499万米ドル、米国平均を1,150万米ドル（世界平均の2倍超）としている。また悪意ある侵害の4件に1件がAIを用いたもので前年比56%増、そうしたインシデントの平均コストは約600万米ドル、うち45%をディープフェイクが占めたことも明らかにしている。

この調査は、2025年3月から2026年2月のあいだに侵害を受けた602組織を、16の国と地域、17業種にわたって対象としている。これは相応の標本だが、悉皆調査ではなく、世界の企業母集団から無作為抽出されたものでもなく、この種の調査に参加できる内部機能を備えるだけの規模を持つ組織に明確に偏っている。12人の物流会社に、侵害の活動基準コストを再構成できる人間はいない。

したがって正しい読み方はこうなる。*12か月の期間に侵害を受け、調査に応じられた、主として相応の規模を持つ602組織において、再構成された平均総コストは499万米ドルだった。*有用ではある——だが、それはあなたの会社にとって侵害が意味するコストではない。

地域別の内訳と、ASEANの標本が見かけより薄い理由

IBMのASEAN向け発表は、ASEANの平均侵害コストを412万米ドルとし、記録上最高の水準と説明している。これは同じ期間に調査された26組織から得られた数字である。同発表の報道によれば、これは前年の367万米ドルから12%の上昇で、16の国・地域標本のなかで9位に位置し、日本401万米ドル、韓国303万米ドル、オーストラリア296万米ドル、インド279万米ドルと並ぶ。ASEAN域内では金融サービスが653万米ドルと最も高く、産業系組織が599万米ドル、通信が428万米ドルだった。

6か国・複数業種にまたがる26組織は小さな標本であり、そのなかの業種別内訳はさらに小さい——「ASEANの金融サービス：653万米ドル」は一桁の企業数の上に乗っているかもしれない。IBM自身はこの点に率直だが、報道の連鎖はたいていそうではない。香港は独立した地域標本としてまったく登場しないため、香港の侵害コスト数値を引用する者は、世界平均を代用しているか、でなければ作り出している。

このデータの誠実な使い方は、方向性の参考として用いることだ。不誠実な使い方は、26組織（その大半は当該企業がこの先到達することのない規模である）から導かれた412万米ドルという計画値を、従業員50名のシンガポール企業に手渡すことである。

保険会社が見ている数字は、二桁小さい

Coalitionの2026年請求データ

Coalitionの2026年『サイバー保険金請求レポート』は2026年3月に公表され、2025年通年を対象とし、米国・カナダ・英国・オーストラリア・ドイツの10万を超える契約者に基づいている。

• 請求の重大度は全体で前年比19%減、平均損害額は11万6,000米ドルとなった。
• ランサムウェアは依然として最も高額な請求類型で、平均26万9,000米ドル。
• ビジネスメール詐欺の重大度は28%減の2万7,000米ドル、資金移動詐欺は14%減の14万1,000米ドル。
• 当初の身代金要求額は47%急騰した一方、標的となった企業の過去最高となる86%が支払いを拒否した。
• 売上高1億米ドル超の企業は請求頻度が5倍高く、平均損害額は26万8,000米ドルだった。

四つ目の発見は注目に値する。身代金の*要求額*は急騰したが、支払いはそれに追随しなかった。被害企業の圧倒的多数が拒否したからである。要求額は提示値であって、コストではない。

なぜ両方の数字が真なのか

499万米ドルと11万6,000米ドルの隔たりは矛盾ではない。実際に異なっているのは次の点である。

• 何を、誰について数えているか。 IBMが再構成するのは*組織の総コスト*——逸失ビジネスやレピュテーションへの影響を含む——であり、回答者は原価調査に参加できる規模を備えている。Coalitionが報告するのは*支払われた被保険損害*で、無保険の帰結も、免責金額の内側や約款の外側にあるものも含まず、対象は中小企業に偏った引受ポートフォリオである。この偏りゆえに、Coalitionの大企業サブセット（26万8,000米ドル）は全体平均の2倍を超える。
• どの種類の事象を、どう数値化しているか。 IBMは*データ侵害*に限定し、調査に基づく推計で数値を得る。Coalitionが支払うのは監査を経た請求であり、資金移動詐欺やビジネスメール詐欺を含むサイバー損害の全域に及ぶ——これらは大規模なデータ侵害よりはるかに頻度が高く、はるかに安い。再構成された推計は、決済済みの支払額より体系的に高く出る。
• 変化の方向。 IBMの総額は12%上昇し、Coalitionの重大度は19%下落している。大規模侵害が高額化する一方で典型的な被保険損害が低廉化しているなら、両方が成り立つ——バックアップ運用の改善、身代金拒否率の上昇、統制を義務づけられた被保険企業における封じ込めの高速化と整合する。

実務上の含意はこうだ。自分が実際にいる分布に対して計画し、平均ではなくテールに対して計画せよ。香港やシンガポールの中堅企業は、現実のエクスポージャーがIBMの調査よりCoalitionの引受ポートフォリオにはるかに近いと想定すべきである——同時に、Coalition自身の分布のテールも数十万米ドルに達すること、そしてインシデントの無保険部分はそもそもこれらの数字に含まれていないことも認識しておく必要がある。

香港とシンガポールが自ら公表しているデータが示すもの

両法域とも信頼に足る国家レベルのインシデントデータを持つが、どちらもコストデータを公表しない。この組み合わせが、誠実に言えることの範囲を決める。

香港：HKCERTのインシデント件数

HKCERT——香港生産力促進局が運営する香港コンピュータ緊急応変協調中心——は2026年1月に『香港サイバーセキュリティ展望2026』を公表した。見出しは、2025年に15,877件のセキュリティインシデントを処理、前年比27%増で過去最高というものである。その内訳は総数と同じくらい示唆的だ。

• フィッシングが件数の57%を占めた——大差をつけた最大の類型である。
• ボットネット関連が18%。
• 脆弱なシステムに起因するものが2,328件で15%——前年比3.5倍超の増加であり、群を抜いて伸びの速い類型だった。
• 攻撃の配送経路は電子メールの外へ広がっており、34%がソーシャルメディアやインスタントメッセージ経由、18%が暗号資産プラットフォーム経由だった。

本レポートの目的に照らすと、HKCERTが併せて実施した企業調査こそがこのレポートで最も有用な部分である。香港企業の約70%がサイバーセキュリティの責任者を置いている——つまり約30%はまったく置いていない。内訳は、中小企業では67%が責任者を置くが、完全な専任者を置くのは26%にとどまり、大企業ではそれぞれ95%と59%である。AIツールを利用する企業の約35%が、自社データをそこに入力すると回答した。

シンガポール：CSAのインシデント件数

シンガポールサイバーセキュリティ庁は2026年6月30日に『シンガポール・サイバー・ランドスケープ2025/2026』を公表し、2025年と2026年上半期を対象としている。その数字は次のとおり。

• ランサムウェア件数は2024年の159件から2025年の165件へ微増した。
• フィッシングの試行は2025年に約4,800件へ減少し、2024年の約6,100件から21%の減少となった。
• シンガポール国内で検知された感染インフラは2025年に284,300件へ増加し、2024年比142%増となった。

フィッシングにおける香港とシンガポールの乖離は、説明して片づけるより指摘しておく価値がある。HKCERTの案件数は増加した一方、CSAのそれは5分の1減少した。両機関は異なる報告経路を通じて異なるものを数えており、どちらの数字も基礎となる攻撃量を測ってはいない——測っているのはいずれも*報告された*インシデントであり、単年の変動から攻撃量の変化と報告行動の変化を切り分けることはできない。シンガポールの運用責任者が身構えるべきなのは感染インフラの数字のほうだ。フィッシング報告が減った年に検知された感染システムが142%増えたということは、侵害が派手に到来するのではなく静かに居座り続けていることを示している。

名指ししておくべき空白：件数はあるが、コストがない

HKCERTもCSAも、サイバーセキュリティインシデントの金銭的コスト数値を公表していない。本レポートのために両機関自身の刊行物を直接確認した。両者はインシデントを数え、分類し、傾向を記述する——が、金額化はしない。

この主題を扱うコンテンツの多くが弁護しようのないことをするのは、まさにここである。現地のインシデント件数に世界平均コストを掛け合わせ、その積を現地の知見として提示するのだ。「15,877件×499万米ドル」は算術であって研究ではなく、結果は無意味である——HKCERTのインシデント定義には誰にも損害を与えなかったフィッシング報告が含まれ、一方IBMの数字は大規模な調査対象企業で完了した侵害を指しているからだ。

誠実に言えることはもっと狭い。香港のインシデント量は2025年に過去最高を記録し、シンガポールでは侵害の持続性が大きく上昇し、そしてどちらの法域もそれがいくらかかったのかを公表していない。この欠落はこの地域のエビデンス基盤における現実の限界であり、買い手にとっては、小数点以下2桁まで付いた捏造された数字を渡されるより、それを知っているほうが価値がある。

コスト曲線が企業規模より速く上昇している理由

インシデントコストが上昇する一方で典型的な被保険損害が下落しているのなら、いったい何が高くなっているのか。三つあり、しかも相互に増幅する。

検知は遅く、改善していない。 IBMによる侵害の平均特定・封じ込め日数は247日——特定183日、封じ込め64日である。これは多くの人が思うような技術の問題ではない。*モニタリング*の問題だ。そして検知・エスカレーションが最大のコスト項目である以上、検知までの時間は総コストのほぼ直接の乗数になる。IBMのASEAN発表は同じことを反対側から示している。AIと自動化を広範に用いる組織は、封じ込めが123日速かった。

攻撃側が高度な手段を得るコストは崩壊した。 IBMは悪意ある侵害の4件に1件がAIを用いたもので前年比56%増、うち45%をディープフェイクが占めたことを明らかにしている。Verizonの2026年『データ漏洩／侵害調査報告書』——第19版——は、侵害の31%がいまや脆弱性の悪用から始まり、これが窃取された認証情報を抜いて初期侵入経路の首位になったこと、モバイルのソーシャルエンジニアリングがメールフィッシングより40%高い確率で成功すること、従業員によるシャドーAI利用が3倍の45%に達したことを示している。

最初の発見が運用上は最も重い。認証情報の窃取はアイデンティティ統制で防ぐが、脆弱性の悪用を防ぐのはパッチ適用の周期——製品の購買ではなく運用規律である。脆弱なシステムに起因するインシデントが1年で3.5倍超に増えたというHKCERTの独立した発見は、別の視点から見た同じシグナルだ。

防御側の能力は等比では縮まない。 60人の企業を狙う攻撃者のコストは6,000人の企業を狙うコストとほぼ変わらず、防御側のコストもまた比例しない——エンドポイントが60台でも6,000台でも、パッチ管理、監視、バックアップ検証、インシデント対応は必要である。HKCERTの26%対59%という人員配置の差は、この非対称性の現実の姿である。

侵害の48%がいまや第三者を巻き込んでいるというVerizonの発見はこの文脈で頻繁に引用され、それは事実である——だがそれは企業とそのベンダーのあいだのリスク配分に関する問いであり、インシデントの経済学とは別個の主題として、独立した検討に値する。

保険市場はこれを値上がりではなく値下がりとして価格付けしている

セキュリティベンダーの資料しか読んでいない人を最も驚かせそうな発見がこれだ。サイバー保険は安くなっており、それが3年続いている。

Marshの2026年第2四半期『グローバル保険マーケットインデックス』は、世界のサイバー保険料率が4%下落——12四半期連続の低下と報告している。世界の企業向け保険料率の総合指数は6%下落し、8四半期連続の低下となった。総合では米国2%減、欧州6%減、アジア5%減である。サイバーに限ると、Marshはインド・中東・アフリカで14%減、米国で2%減を報告している。2026年第1四半期には世界のサイバー料率が5%下落し、これは2025年第4四半期の7%下落に続くものだった。

Marshはこの傾向を、安定した引受キャパシティと継続する保険会社間の競争に帰している。中立的な統計ではなくブローカーの市場コメントとして読むべきだが、方向性は明確であり、3年間続いている。

これもまた矛盾ではない。2020〜2022年のランサムウェア・ショック後の価格改定を終え、競争できるだけのキャパシティを引き寄せ、そして決定的なことに——引き受ける企業に統制を強制することに成功した市場の姿を映している。多要素認証、エンドポイント検知、テスト済みバックアップ、パッチ規律は、引受において「推奨」から「必須」へ移り、損害実績は改善した。Coalitionの請求重大度19%減は、それを請求側から見た姿である。

買い手にとっての帰結は、価格シグナルが示唆するのと正反対だ。保険料が下がったのは、質問が難しくなったからである。すべてのリモートアクセスで多要素認証を強制しているか、バックアップはテスト済みで分離されているか、エンドポイント検知は全端末をカバーしているか、重要なパッチをどれだけ速く適用しているか——こうした問診票は形式ではない。答えが価格を決め、そもそも引き受けるかどうかも決める。きれいに答えられない企業は、下がった料率を手にできない。

マネージドサービスの関係が構造的な支えになったのはまさにここであり、その運用面については詳しく書いている。サイバー保険更新前の脆弱性スキャンは、いまや例外的な作業ではなく定常的な作業である。

これがITサービスプロバイダーにとって変えるもの

インシデントコストの上昇と引受の厳格化は、マネージドIT契約が備えるべき内容を書き換えた。三つの変化が際立つ。

エビデンスが成果物になった。 システムにパッチを当てるだけではもはや足りない。*当てたこと*、いつ当てたか、どれを当てていないかを示せなければならない。保険更新、顧客のセキュリティ審査、規制当局の検査は、いまや保証ではなくエビデンスを求める。パッチ・バックアップ・エンドポイントカバレッジのレポートをエクスポートできないプロバイダーは、そのいずれにおいても顧客を支えられない。

応答時間はマーケティングの数字から契約上の数字になった。 検知・エスカレーションが侵害コストの最大構成要素であり、平均特定日数が183日に及ぶとき、監視された環境の価値は理論上のものではなく具体的なものになる。

継続監視は追加販売ではなく前提条件になった。 支配的なコスト要因が未検知の滞留時間であるなら、監視は基本製品であり、それ以外はすべて付加である——エンドポイントの可視性を別建てで値付けせず標準サポートに組み込む理由がこれであり、当社の継続的エンドポイントサポートと監視はそのように設計している。

Brocent自身の運用上の観察であり、そのようなものとして提示する。 香港・シンガポール・中国本土の当社顧客基盤において、セキュリティの会話で顧客が求めるものはこの2年で目に見えて変わった。かつては散発的だった要望がいまや定常になっている。エクスポート可能なエビデンスの記録、パンフレットの記載ではなく契約に書き込まれた応答時間のコミットメント、社内カレンダーではなく保険更新日に合わせたスキャン周期。きっかけはたいてい外部——問診票、ベンダー評価、検査——であって、インシデントではない。これは定性的な観察であり、当社自身の顧客基盤に基づくもので、数量化はしていない。

これが彼らを雇う企業にとって変えるもの

契約の買い手側では、四つのことが変わった。

保険引受が事実上のセキュリティ標準になった。 香港とシンガポールの中堅企業の多くにとって、サイバー保険の問診票はいまや直面する最も具体的なセキュリティ要件であり、自社に適用されるどの規制よりも具体的である。この問診票に誠実かつきれいに答えられる企業は、ほとんど副産物として妥当なベースラインを実装している。

「もし」は「いつ」になり、予算はそれを反映すべきである。 香港のインシデントが27%増で過去最高、シンガポールの感染インフラが142%増という状況で、何も起きない前提の計画はもはや擁護できない。含意は「もっと使え」ではなく、カネを予防から検知・対応・復旧へ移すことである。コストデータが示す、実際にカネが行く先はそちらだ。

コンプライアンス負担はインシデントリスクとは独立に増えている。 香港の重要インフラ関連法、金融業界の監督上の期待、そして顧客が契約で課すセキュリティ要件は、何も起きなくても存在する義務を積み増していく——そして多くの企業では、大口顧客が求めるもののほうが規制当局より先に効いてくる。

セキュリティはもはやIT運用から切り離せない。 パッチ周期、バックアップ検証、エンドポイントカバレッジ、アクセス制御は、セキュリティ統制であると同時に運用タスクでもある。これらをセキュリティベンダーとITベンダーに分割すると、どちらも所有しない隙間が生まれる——一つの機能として扱うべき構造的な理由がこれであり、社内で担うにせよマネージドITセキュリティサービスを通じて担うにせよ変わらない。

Brocent自身の運用上の観察、これも同様に明示しておく。 最もよく目にするのは、セキュリティ支出をしないと決めた企業ではなく、誰もそれを所有していない企業である。パッチは「だいたい」最新で、バックアップは構成されているが復元したことがなく、多要素認証は一部のシステムを覆っていて、監視はない——誰かが不要と決めたからではなく、そもそも誰も決めていないからだ。

事後対応型セキュリティ vs 継続マネージド型セキュリティ

この二つの運用モデルの違いは、導入されるセキュリティ製品よりも、コストの形にはるかに大きく表れる。

• コスト。 事後対応型：莫大になるまで見えない——フォレンジック、復旧、ダウンタイムが、予算にない一四半期にまとめて到来する。継続型：計画できる予測可能な月次の費目。
• 検知。 事後対応型：利用者がPCの遅さや開かないファイルに気づくかどうかに依存する。IBMの183日という平均特定日数は、それを規模で見たときの姿である。継続型：誰かが見ているかどうかに関係なく、ベースラインに対してアラートが発報する。
• エビデンス。 事後対応型：保険会社に問われてから、記憶と断片的なログで事後的に組み立てる。継続型：常設のレポート。
• パッチ周期。 事後対応型：手が空いた人が当てる——脆弱性の悪用が31%で初期侵入経路の首位になっている理由がこれだ。継続型：計画され、計測され、報告される。
• 復旧。 事後対応型：バックアップは存在する。復元できるかどうかはインシデントの最中に判明する。継続型：復元は計画的に検証され、その検証結果が成果物である。

違いは、一方がより良いツールを買っているという点ではない。一方が変動の大きいテールの重いコストを予測可能なコストに変換しているという点である——これはマネージドITサポート全般に当てはまるのと同じ論拠であり、賭け金がより大きいだけだ。

セキュリティをIT意思決定に組み込むための実務的フレームワーク

従業員30〜300名の企業に通用する進め方を、5つのステップで示す。

1. 自分がどの分布にいるかを確定する。 売上高がおよそ1億米ドル未満なら、現実のエクスポージャーはCoalitionの請求データ——平均被保険損害11万6,000米ドル前後、ランサムウェアで26万9,000米ドル——に近く、IBMの499万米ドルという調査平均からははるかに遠い。前者に対して予算を組み、後者はコストが積み上がる*形*を見るためだけに使う。

2. 平均ではなくテールに対して予算を組む。 問うべきは「典型的なインシデントはいくらか」ではなく、「存続を脅かされずに吸収できる最大の損害はいくらで、それと現実的な最悪ケースとの差を何が埋めるのか」である——この枠組みは、防御製品を増やす方向ではなく、保険と復旧能力の方向へ導く。

3. コストデータがコストの在処だと言う場所に使う。 IBMの世界平均の63%は検知、エスカレーション、逸失ビジネスにある。予算は検知までの時間と復旧までの時間を短縮する方向へ寄せる。監視、テスト済みバックアップ、演習済みの対応プロセス、そして時間外にも応答するサポート体制である。

4. 保険の問診票を仕様書として使う。 無料で、具体的で、外部が維持し、実際の損害実績に照らして毎年更新される。誠実に答え、すべての「いいえ」を課題として扱い、是正後にもう一度答える——多くの中堅企業にとって、これはどのフレームワークよりも優れた出発点である。答えられないことに即座の、定量的な結果が伴うからだ。

5. エビデンスを厚意ではなく契約上の成果物にする。 パッチ状況、バックアップ検証、エンドポイントカバレッジを定期的に報告させること。求められたときにだけ存在するエビデンスは、たいてい存在しない。プロバイダーを比較するなら、レポートの説明ではなく実際のサンプルレポートを求め、各サービス階層に含まれる内容と突き合わせるとよい。

金融業界の監督上の期待を受ける企業や規制対象データを扱う企業には、同じフレームワークがもう一層の立証要件を伴って適用される——変わるのはエビデンスの受け手だけである。当社のサイバーセキュリティ事業でこの領域をより詳しく扱っている。

よくある質問

サイバーセキュリティインシデントは中小企業に実際いくらのコストをもたらすのか？

香港やシンガポールについて信頼できる公表数値は存在しない。HKCERTもCSAもコストデータを公表していないからである。最も根拠のある代替指標は保険金請求データだ。Coalitionの2026年レポートは2025年通年の平均請求重大度を11万6,000米ドル、ランサムウェアを26万9,000米ドルとしており、その契約者基盤は中小企業に偏っている。これは被保険損害の桁感として扱うべきで、予測ではない。

「データ侵害の平均コストは499万米ドル」という数字が自社にとって誤解を招くのはなぜか？

誤解を招くのではない——あなたの会社とは別の何かについて正確なのだ。2025年3月から2026年2月のあいだに侵害を受け、原価調査に参加できる規模を備えていた602組織の再構成総コストである。検知、エスカレーション、逸失ビジネスが支配的であるという点で、コストの*構造*は有用に転用できる。コストの*水準*は転用できない。

香港固有の侵害コストデータはあるか？

ない。HKCERTはインシデント件数を公表するがコストは公表せず、香港はIBMの調査でも独立した地域標本として切り出されていない。香港の侵害コスト数値はすべて、世界平均かASEAN平均からの外挿——その旨を明示すべきである——か、でなければ捏造である。

侵害コストが上がっているなら、なぜサイバー保険は安くなっているのか？

市場が2020〜2022年のランサムウェア期を経て価格改定を終え、競争できるだけのキャパシティを引き寄せ、統制を引受条件にしたからである。Marshは2026年第2四半期に世界のサイバー料率が4%下落し12四半期連続の低下となったと報告し、Coalitionは請求重大度が19%下落したと報告している。価格が下がったのは、要求が上がったからだ。

次のサイバー保険更新の前に何をすべきか？

遅くとも6週間前から、想定ではなくエビデンスに基づいて問診票に答えること。よくある失敗は、更新期間の最中になって、多要素認証がすべての箇所で強制されていないこと、バックアップの復元テストを一度もしていないこと、エンドポイントカバレッジに抜けがあることに気づくパターンだ。いずれも数週間で直せるが、更新時に説明するには高くつく。問診票の期限前に脆弱性スキャンを実施し、書面の是正記録を残しておくことが、単独では最も価値の高い準備であることが多い。

うちはプロバイダーがセキュリティを見ている。それで十分では？

「見ている」が契約上何を意味するかによる。何が監視され、誰がアラートを確認するのか。営業時間外のセキュリティインシデントはどれだけ速く対応されるのか。保険会社や大口顧客に対して、求めに応じてどのようなエビデンスを提出できるのか。これらの答えが明確な周期とともに契約に書かれていないなら、セキュリティは説明されているだけで、提供されてはいない。

残しておく価値のある結論

今年のデータで最も有用なものは数字ではない。どちらも正しい二つの数字のあいだの距離である。

IBMは499万米ドルと言い、Coalitionは11万6,000米ドルと言う。その隔たりは測定誤差ではない。大規模な調査対象企業における自己申告の総額と、より小さな企業の請求における監査済みの支払額との違いである。実際には二つ目の数字の世界に生きている企業が、一つ目の数字を前提にセキュリティ予算を組むのは、保守的なのではない。単に的を外しているのであり、たいていはコストデータが検知と復旧を指しているところで防御を買ってしまう。その一方で、香港やシンガポールの買い手が最も知りたい二つのこと——ここでインシデントがいくらかかるのか、自社の規模でどれだけ起こりやすいのか——は、どこも公表していない。

現在のエビデンスが支えるのは次のことだ。香港のインシデント量は過去最高にあり、シンガポールでは侵害の持続性が2倍以上になり、検知はインシデントのコストを支配するほど依然として遅く、そして保険市場はこの3年でセキュリティ統制を推奨事項から引受の前提条件へと変えてきた。いずれもセキュリティにもっと使えという議論ではない。損害が実際に積み上がる場所——より早く知り、より速く復旧すること——に使えという議論であり、そしてそれを求めに応じて証明できるようにせよという議論である。

本レポートの出典について

上記のすべての数値は、以下のいずれかに遡ることができる。いずれも今回直接確認したものである。

• IBM『2026年データ侵害のコストに関する調査』（Ponemon Institute と実施）——世界および米国の平均値、コスト項目の内訳、平均特定・封じ込め日数、AIを用いた侵害に関する知見、調査の標本説明。ASEAN平均、26組織のASEAN標本、業種別内訳はIBMのASEAN向けニュースリリースによる。ASEANの前年数値と地域順位は、当社が直接開いた文書ではなく同リリースの報道によるものであり、本文中でもその旨を明示している。
• Coalition『2026年サイバー保険金請求レポート』——全体および類型別の請求重大度、身代金関連の数値、組織規模別の内訳、契約者基盤。中立的な統計ではなく保険会社の請求データである。
• Marsh『グローバル保険マーケットインデックス』2026年第2四半期——サイバーおよび総合の料率変化。ブローカーの市場コメントである。
• Verizon『2026年データ漏洩／侵害調査報告書』（第19版）——初期侵入経路、第三者の関与、モバイルのソーシャルエンジニアリング、シャドーAI。
• HKCERT『香港サイバーセキュリティ展望2026』（2026年1月）およびシンガポールCSA『シンガポール・サイバー・ランドスケープ2025/2026』（2026年6月30日）——現地のインシデント件数、その構成、人員配置調査。
• Brocent自身の運用上の観察。登場箇所ではそのつど明示し、厳密に定性にとどめている。数量化していないため、パーセンテージは一切付していない。

Brocentは2007年に北京で創業して以来、マネージドITサービスを提供してきた。2016年に香港オフィスを開設し、2021年からシンガポールに本社を置いている——本レポートが香港とシンガポールのエビデンスを重く扱い、そのエビデンスが存在しない箇所についてはそう明言している理由はここにある。