中小企業のセキュリティ対策、費用の相場はいくら？規模別の年間目安と「何にいくら」の内訳
「セキュリティ対策にいくらかければよいか」という質問には、2つの答え方があります。ひとつは同規模の会社がいくら使っているかという相場、もうひとつは自社に必要な対策を積み上げた見積もりです。本記事では前者を規模別に示したうえで、後者を自分で組み立てられるように「何にいくらかかるか」を分解します。
金額はすべて2026年9月時点の目安（税別）です。製品の個別価格は改定が多いため、幅を持たせて示し、正確な金額はリンク先の個別記事を参照してください。
結論：規模別の年間費用の目安
クラウド（Microsoft 365 または Google Workspace）を中心に使う一般的な中小企業で、基本対策を一通り整えた場合の年間費用です。セキュリティ目的で追加する支出だけを数えており、業務用途で既に払っているライセンス費や、PC本体の代金は含みません。
| 従業員規模 | 年間費用の目安 | 1人あたり月額換算 | 主な内訳 |
|---|---|---|---|
| 〜30人 | 60〜200万円 | 1,700〜5,500円 | EDR、バックアップ、外部の相談先または運用委託 |
| 31〜50人 | 150〜400万円 | 2,500〜6,700円 | 上記＋端末管理の整備、教育・訓練 |
| 51〜100人 | 300〜800万円 | 2,500〜6,700円 | 上記＋ログ監視、脆弱性診断、規程整備 |
| 101〜300人 | 800〜2,500万円 | 2,200〜7,000円 | 上記＋SOC/MDR、専任担当または常駐級の委託 |
幅が大きいのは、「運用を誰がやるか」で人件費が数倍変わるためです。ライセンス費だけなら1人あたり月額1,000〜2,000円に収まりますが、アラートを見て対応する人がいなければ製品は機能しません。相場の下限は「ツールを入れて、社内の兼任者が見る」、上限は「外部に監視と運用を任せる」構成にほぼ対応します。
もう一点、既存のクラウド契約で使える機能が多い会社は、下限よりさらに下がります。 Microsoft 365 Business Premium を契約していれば、多要素認証、条件付きアクセス、Intune による端末管理、Defender for Business（EDR）が含まれています。この場合、追加で必要なのはバックアップと運用の手当てだけになります。
費用の分解：5つの領域で「何にいくら」
対策をゼロトラストの5つの柱（ID・デバイス・ネットワーク・アプリケーション・データ）と横断領域（運用）で分けると、費用の性質が見えます。優先順位の考え方は中小企業のセキュリティ対策、どこから手をつけるかで解説しています。
1. ID（認証・アクセス制御）：追加費用ほぼゼロ
| 対策 | 費用の目安 | 備考 |
|---|---|---|
| 多要素認証（MFA） | 0円 | M365 / GWS の標準機能。管理者はパスキー等のフィッシング耐性MFAを優先 |
| 条件付きアクセス | 0円（Business Premium / Entra ID P1 以上） | 端末の状態・場所で制御。Basic / Standard 契約では別途 P1 が1人月額1,000円前後 |
| SSO（IDaaS） | 0〜1,500円/人・月 | M365 / GWS を IdP にすれば追加なし。Okta 等の専用IDaaSは1人月額1,000〜1,500円程度 |
| 管理者権限の分離・PIM | 0円〜 | 権限分離自体は無料。時間限定付与（PIM）は Entra ID P2 が必要 |
費用ゼロで最も効果が大きい領域です。 ここに予算がかからないぶん、設定を誰がやるかという工数だけが論点になります。MFAの認証手段の選び方はMicrosoft 365のMFA認証手段を比較を参照してください。
2. デバイス（端末管理・EDR）：1人あたり月額300〜1,500円
| 対策 | 費用の目安 | 備考 |
|---|---|---|
| MDM / 端末管理（Intune 等） | 0〜1,200円/人・月 | Business Premium に Intune 含む。単体や他社MDMは1台月額300〜1,200円程度 |
| EDR | 0〜1,500円/人・月 | Defender for Business は Business Premium に含む。単体EDRは1台月額300〜1,500円程度 |
| ディスク暗号化 | 0円 | BitLocker / FileVault は OS 標準。MDM で強制する |
| 端末の入れ替え（Windows 10 端末等） | 1台10〜20万円 | セキュリティ費用というより設備投資。サポート終了OSが残っていれば最優先 |
EDR製品の比較はEDR比較【2026年版】、Defender の料金体系はDefender for Endpoint の料金ガイドにまとめています。MDMはMDM製品比較を参照してください。
3. ネットワーク・メール：初期10〜60万円＋年額
| 対策 | 費用の目安 | 備考 |
|---|---|---|
| UTM / ファイアウォール | 本体10〜50万円＋年間ライセンス5〜20万円 | 拠点1か所あたり。レンタルなら月額1〜3万円 |
| メール認証（SPF/DKIM/DMARC） | 0円 | DNS設定のみ。設定手順はDMARC・DKIM・SPF完全ガイド |
| メールの添付・URL検査 | 0〜500円/人・月 | Defender for Office 365 P1 相当。Business Premium に含む |
| ネットワーク分離（VLAN） | 既存機器の設定で0円〜 | ゲスト・IoT・業務の分離。機器が対応していなければ買い替え |
| リモートアクセス（VPN → ZTNA） | 1人月額500〜1,500円 | 既存VPNのサポート状況次第。急いで置き換える必要はない |
4. アプリケーション（SaaS管理・脆弱性）
| 対策 | 費用の目安 | 備考 |
|---|---|---|
| 未承認SaaSの把握 | 0円〜 | M365 / GWS の監査ログとクレジットカード明細で始められる |
| 外部公開サーバーの脆弱性診断 | 1回20〜100万円 | 公開サーバーやWebアプリがある場合のみ。ない会社は不要 |
5. データ（バックアップ・共有制御）：1人あたり月額300〜1,000円
| 対策 | 費用の目安 | 備考 |
|---|---|---|
| M365 / GWS のバックアップ | 300〜600円/人・月 | 既定の保持期間はバックアップではない。Microsoft 365のバックアップ戦略 |
| ファイルサーバー・PCのバックアップ | 容量1TBあたり月額1〜1.5万円程度 | オフライン or 書き換え不能な世代を1つ持つ（3-2-1ルール） |
| 共有範囲の見直し・ラベル付け | 0円〜 | 設定作業のみ。ラベルの自動適用は上位ライセンス |
ランサムウェア対策の本丸はここです。 他の領域を後回しにしても、バックアップの分離だけは先に済ませてください。
6. 運用・体制（横断領域）：ここで費用が数倍変わる
| 対策 | 費用の目安 | 備考 |
|---|---|---|
| 従業員教育・標的型メール訓練 | 0〜1,000円/人・年 | Defender の攻撃シミュレーション訓練は Business Premium に含む。専用サービスは1人年額500〜1,000円程度 |
| 規程・手順書の整備 | 自社で0円、外注で30〜100万円 | IPAのひな形で自社作成できる。SCS評価制度や取引先対応が必要なら外注も |
| ログ監視・SOC / MDR | 月額10〜50万円 | 24時間監視を外部に委託する場合。100人未満では過剰なことが多い |
| 外部の相談先・運用委託 | 月額10〜30万円 | 判断役としての顧問契約、または設定・運用の代行 |
| インシデント対応（発生時） | 1件200〜1,000万円 | 調査・復旧・通知・法対応。保険でカバーする範囲 |
運用を社内の兼任者が担うか、外部に出すかで、年間費用は同じ規模でも2〜3倍変わります。正社員でセキュリティ担当を1名採用すると年間650〜900万円かかるため、100人未満の会社では外部委託のほうが安く収まるのが実情です（比較はIT担当を採用するか、外注するか）。
「相場」より先に見るべき数字：IT予算比率と現状
JCICの「IT予算の15%以上」
日本サイバーセキュリティ・イノベーション委員会（JCIC）は、セキュリティ投資の目安としてIT予算の15%以上を提言しています（詳細はJCICの提言を読み解く）。従業員100人でIT予算が年間2,000万円なら、300万円が目安です。
ただし中小企業でこの比率を機械的に当てると、2つのずれが起きます。ひとつは、Microsoft 365 のライセンス費のようにIT費用とセキュリティ費用の境目がないものが多く、分母も分子も曖昧になること。もうひとつは、既存契約に含まれるセキュリティ機能を使い切っていない状態で追加投資しても、効果が出ないことです。
まず「今の契約で何が使えるか」を棚卸しする
当社が中小企業のIT環境を調査すると、Business Premium を契約しているのに Intune も Defender も条件付きアクセスも未設定、という会社が珍しくありません。この状態では、年間数百万円分のセキュリティ機能を払いながら使っていないことになります。
費用の相場を調べる前に、次の3つを確認してください。
- 契約している M365 / GWS のプランと、そこに含まれるセキュリティ機能のうち有効化されているもの
- 端末の台帳と、管理されている端末の割合
- バックアップの有無・世代・業務ネットワークからの分離
この3点で「追加費用なしで埋まる穴」と「予算が必要な穴」が仕分けられます。仕分けができれば、相場より低い金額で同じ水準に到達できることが多いです。
費用を下げる4つの方法
- 既存ライセンスの機能を使い切る。 Business Premium なら MFA・条件付きアクセス・Intune・Defender for Business・攻撃シミュレーション訓練が含まれています。Standard から Premium への差額（1人月額1,500円前後）で、単体製品を3〜4つ買うより安く済むことが多いです
- 中小企業向けのパッケージを使う。 IPA「サイバーセキュリティお助け隊サービス」は月額1〜2万円程度で、監視・駆けつけ・保険がセットです。補助金・保険との関係で詳しく解説しています
- 補助金を使う。 デジタル化・AI導入補助金（旧IT導入補助金）のセキュリティ対策推進枠は、お助け隊サービスの利用料が対象です。公募回ごとに条件が変わるため、最新の公募情報を確認してください
- 優先順位を決めてから買う。 「営業に勧められた製品を都度買う」と、柱が偏ります。IDとデバイス、そしてバックアップを先に固め、SOC/MDRや脆弱性診断は規模と公開資産に応じて後から足します
規模別のモデルケース
従業員30人・Business Premium 契約済み・拠点1か所
| 項目 | 年間費用 |
|---|---|
| MFA・条件付きアクセス・Intune・Defender for Business | 0円（契約に含む） |
| M365 バックアップ（30人×月額400円） | 約14万円 |
| UTM レンタル（月額1.5万円） | 18万円 |
| 外部の相談先（月額10万円・IT顧問プラン） | 120万円 |
| 合計 | 約150万円 |
相談先を置かず、社内の兼任者が設定と運用を担えば、年間30万円強まで下がります。ただし設定の抜けに気づく人がいない状態になります。
従業員100人・Business Standard 契約・拠点2か所
| 項目 | 年間費用 |
|---|---|
| Business Premium への切り替え差額（100人×月額約1,500円） | 約180万円 |
| M365 バックアップ（100人×月額400円） | 約48万円 |
| UTM 2拠点（本体40万円×2＋年間ライセンス10万円×2、5年償却） | 約36万円 |
| 標的型メール訓練 | 0円（Premium に含む） |
| 運用委託（月額12万円・運用支援） | 144万円 |
| 規程整備（初年度のみ、外注） | 50万円 |
| 合計（初年度） | 約460万円 |
2年目以降は規程整備がなくなり、約410万円です。相場の300〜800万円の中央付近に収まります。
まとめ
- 中小企業のセキュリティ費用の相場は、50人で年間150〜400万円、100人で300〜800万円（2026年9月時点の目安）。幅の主因は「運用を誰がやるか」
- ライセンス費は1人あたり月額1,000〜2,000円に収まる。ID領域は追加費用ゼロ、デバイスとデータで月額600〜2,500円/人
- Business Premium 契約済みなら、MFA・条件付きアクセス・Intune・EDR・訓練が含まれる。追加で必要なのはバックアップと運用の手当てだけ
- JCICの「IT予算の15%」は目安として使えるが、先に今の契約で使える機能の棚卸しをしないと投資が空回りする
- 費用を下げるには、既存ライセンスの使い切り、お助け隊サービス、補助金、優先順位付けの4つ
- 正社員1名の採用（年間650〜900万円）と比べると、100人未満では外部委託のほうが安い
「自社は今いくら使っていて、どこが抜けているか」を先に確認したい場合は、IT環境診断で、契約・設定・端末・バックアップ・IT費用を読み取り専用で棚卸しし、優先順位と概算費用を付けたロードマップをお渡ししています。従業員数で決まる基本料金（30人まで¥100,000〜）で、診断だけの依頼も可能です。相場の数字を自社の見積もりに置き換えるための材料として使ってください。