サイバーセキュリティという刺激的な世界でさえ、企業のセキュリティ予算に関する議論は平凡な方向へ傾きがちです。しかし、今日のマクロ環境はほぼすべての市場予測を覆し、市場の低迷が多くの企業を緊縮財政へと駆り立てたことは確かですが、それがサイバーセキュリティ支出に及ぼす真の影響は今日まで謎のままでした。
YL Ventures が最近発表したレポートは、Fortune 1000 企業の CISO (最高情報セキュリティ責任者) とサイバーセキュリティの意思決定者に対する調査から得たデータに基づいており、市場の低迷が購買行動に及ぼす影響、それに応じてセキュリティ戦略がどのように進化しているか、そしてその結果として顧客とベンダーのやり取りがどのように変化したかを明らかにしています。
最大のポイントは、CISOの半数が依然として新しいソリューションに対応できていること、そして低い予想に反して、サイバーセキュリティ予算の45%が横ばい、あるいは増額されていることです。具体的には、回答者の3分の1（33.3%）が予算に変化はないと回答し、12.2%が予算を増額したと回答しています。
一方、サイバーセキュリティ予算の3分の1（33.3%）が削減され、サイバーセキュリティリーダーの21.2%が現在凍結された予算を管理しており、新たな支出は不可能であることを示しています。
最初の接触
データを見ると不安に感じるかもしれませんが、ベンダーにとってはまだ参入のチャンスは十分にあります。サイバーセキュリティリーダーの大多数（75.8%）は依然として新規ベンダーとの面談に前向きです。ただし、新たなベンダーとの面談には、より慎重な対応が求められるというだけのことです。回答者のほぼ半数（45.5%）はどのベンダーとも面談する意思がある一方で、18.2%は自社のセキュリティ上の最優先事項に厳密に対応してくれるベンダーとのみ面談し、12.1%は比較的小規模で若いスタートアップ企業との面談にのみ関心があると回答しています。
確かに、今は小規模なスタートアップ企業が活躍する絶好の機会であり、大手ベンダーも注目すべき時期と言えるでしょう。多くのサイバーセキュリティリーダーにとって、小規模で初期段階の企業は、より有利なライセンスコストと設計パートナーシップを提供し、それぞれの企業特有の課題や運用ニーズに最適なオーダーメイドのソリューションを提供できる傾向があります。
現在、回答者の26.7%が暫定的な対策として無料トライアルに頼っています。パンデミックの困難な時期に多くのサイバーセキュリティプロバイダーが無料サービスを提供していたことを振り返ると、こうした取り組みがどれほどの好意を築き、企業をトップへと押し上げたかを示す十分な証拠が浮かび上がります。こうした取り組みを我慢できないベンダーは、過去に土地や事業拡大戦略がどれほど効果的であったかを考えてみてください。そして、財政保守主義の高まりによって、頑固な態度を取る余地はほとんど残されていないことを思い出してください。
テッククランチイベント
サンフランシスコ | 2025年10月27日～29日
柔軟な契約の必要性は、CISO自身の明確な要請によってさらに明確になっています。レポートに参加した多くのCISOは、大規模なレイオフや閉鎖の後に大規模な契約を持ちかけてくるベンダーに対して厳しい言葉を投げかけています。彼らは、脅威の状況に関して恐怖、不確実性、疑念を植え付けるという時代遅れの戦術に依然頼っているベンダーに対して、さらに厳しい言葉を投げかけています。終わりが見えない困難な時期に、ネガティブな感情を広めることは、人々の心を掴む方法とは到底言えません。
顧客ニーズを理解するという黄金律は、各企業がそれぞれ独自の財務的プレッシャーを経験する中で、新たな側面を帯びてきました。このことに敏感になれるベンダーは、そうでないベンダーよりもはるかに大きな成功を収めることができるでしょう。
同じ言語を話す
予算が増加したCISOの間でさえ、緊縮財政の精神が新製品導入の評価方法の優先順位付けを見直している。サイバーセキュリティの真のベテランは、新規購入の承認を得るために戦うプロセスを既に熟知しており、通常は実証可能なROI（投資収益率）を頼りにしている。ROIとコスト削減がこれまで以上に意思決定の大きな要因となっている今、この経験が再び役立っている。
ROIとコスト削減は、CISOが求めるベンダー基準の60%を占め、製品購入における主要な決定要因となっています。CISOが時間、労力、そしてパートナーシップに対して期待できるリターンを示せないベンダーは、今日の倹約的な環境で生き残ることは困難でしょう。
本レポートは、こうした倹約が企業のサイバーセキュリティ戦略にどのように現れているかを具体的に明らかにしています。サイバーセキュリティのリーダーたちは長年にわたり、業務の効率化（現在では多くの部門の連携も必要）とセキュリティスタックの肥大化の解消に尽力してきました。そして今、彼らは以前よりも大きなプレッシャーにさらされています。調査対象となったサイバーセキュリティのリーダーたちによると、80%がソリューションの統合に注力しており、43.3%が少なくとも1つのベンダー契約を解消し、70%が自動化への依存度を高め、23.3%が人員削減を余儀なくされています。
これらのデータポイントからも多くの知見が得られます。最初の点は意外ではないかもしれませんが、CISOは日々同じことを繰り返しています。ベンダーは機能をプラットフォームとして販売するのをやめなければならない、という主張です。そもそも、これがスタックが肥大化してしまった原因です。ポイントソリューションも、今日ではそれほど状況は良くないでしょう。多くのセキュリティチームは人員不足で、新しいテクノロジーの習得やアラートの精査に時間を割くことができません。しかし、学習曲線が小さく、統合が容易なソリューションであれば、CISOにとっての優先課題を解決できるのであれば、まだチャンスがあるかもしれません。
大企業の構築を目指す起業家にとって、統合はまさに命題です。単一のソリューションでノイズを解消し、さらには複数のソリューションを置き換えることができることを示すプレゼンテーションは、今日のCISOの心を掴む可能性がはるかに高くなります。これはまた、もう一つの大きなトレンド、つまり緊縮財政政策が原点回帰を促していることを示唆しています。
重要なことに焦点を当てる
今日の最優先事項は、既存のエンタープライズ環境を最大限の効率で保護し、依然として存在する盲点を補うことです。肥大化したスタックや重複するソリューションが存在するにもかかわらず、多くの主要な保護領域が未対応のままです。回答者に複数の重点領域を選択するオプションを与えたところ、以下の領域が最も注目されました。環境に関しては、75%がクラウドセキュリティ、50%がデータセキュリティ、46.9%がアプリケーションセキュリティ、25%がサプライチェーンセキュリティ、28.1%がSaaSセキュリティ、21.9%がAPIセキュリティを優先しています。
包括的かつ基本的なセキュリティへの取り組みは、彼らが優先する分野にも反映されています。回答者の40.6%がコンプライアンスとリスク管理、31.3%が脆弱性評価、28.1%が検知と対応、15.6%がリモートアクセスを優先しています。このリストは一見意外に思えるかもしれません。IAM（アイデンティティ・アクセス・アイデンティティ）はどこにあるのでしょうか？オーケストレーション、修復、ユーザー行動分析はどうでしょうか？そして、最も顕著に欠けているのは、もちろんAIです。これは、CISOがこれらの分野に関心を示していないという意味ではありません。むしろその逆です。
少なくともAIに関しては、多くのCISOは適切なソリューションの登場を待ち、既存のツールを活用して、生成AIのリスクを可能な限り把握・管理しようとしています。あるいは、生成AIの使用を完全に禁止しているところもあります。その他の種類のソリューションについては、関心度を定量的に評価できる確かなデータはまだありません。とはいえ、市場ではこの種のソリューションが著しく増加しており、来年は関心が高まると予想されます。
顧客がほとんどいないように見える状況でも、適切な戦略を講じるベンダーは勝利を収めることができます。特に、関連するリスクについて警告するだけでなく、これらの分野におけるCISOの戦略を導くための貴重な専門知識を提供できるベンダーは、その可能性が高まります。少なくとも予算が以前の水準に戻るまでは、こうした状況への扉を少しだけ広げることができるでしょう。
どうやってここに来たのでしょうか?
サイバーセキュリティも今日の市場の減速の影響を免れているわけではありませんが、それでもテクノロジーセクターの大部分を上回る業績を上げています。もちろん、リモートワークの普及により多くの企業がデジタル化を余儀なくされ、その過程でサイバー攻撃の標的領域が大幅に拡大し、多くの新たなリスクポイントが生み出されたことを考えると、これは当然のことです。実際、サイバーセキュリティはデジタルトランスフォーメーションのリスクを相殺するために不可欠なものとなっており、パンデミックのピーク時にサイバーセキュリティ業界が経験した激しい混乱をほぼ説明できます。
残念ながら、バブル状態で運営されている市場セクターは存在せず、市場の低迷の影響を受けたサイバーセキュリティの顧客が、当面の間、より厳格な運用対策を講じざるを得なかったのも当然のことです。
戦略的かつ賢明なベンダー、そしてサイバーセキュリティ分野の創業を目指す人々は、数字だけでなく、その背後にある計り知れない影響にも特に注意を払うべきです。CISOは今もなお、日々、膨大な数のアプローチや提案を精査しています。そして、その多くは結局、自社のニーズとはほとんど関係のないものに終わってしまいます。CISOは、会う相手を厳選し、購入する製品も限定的になるにつれ、ベンダーが提供するサービスに創造性を発揮することが重要になります。重要な情報源となり、トライアルを通じて信頼関係を築くことは、どちらも優れた第一歩となるでしょう。
