上場準備、SCS評価制度、取引先のセキュリティ調査——
「今どこまでできているか」を問われる場面が増えています。
「今どこまでできているか」に、
四半期ごとの数字で答える。
現在地のスコアと次に取り組む優先順位。そこに準備度と投資対効果（ROI）まで添えて
現場が動ける形と、経営が判断できる形の両方でお渡しします。
無料相談 受付中·会社のメールアドレスがあればお申し込みいただけます。担当より3営業日以内にメールでご返信します。
Problem
その問いに即答できないのは、担当者のせいではありません。
「なぜやるのか」を説明できない
作業はしている。だが、どの要求に応えているかが繋がっていないため、外部に疎明できない。やらない理由も説明できない。
前任者の頭の中にしかない
回っているうちは問題に見えない。担当交代の瞬間に、把握からやり直しになる。上場準備は2〜3年——属人化は時間が経つほど確実に発現する。
点で終わり、線にならない
年1回の棚卸しは、まとめ終えた時点ですでに古い。前回とは基準も様式も違うので、改善したことを証明できない。
経営の言葉に翻訳されていない
現場の課題感が、投資判断の言葉になっていない。
Value
現場の20問が、経営の意思決定に変わる。
3つの価値
点でなく、線で
一度きりの棚卸しでなく、四半期の推移として残ります。改善によって削減できた損失額まで、前提を明示したレンジで見えます。
軽く、無理のない価格で
20問・15分。単発33,000円から。仕組みで工数を落としているから、この価格で成り立ちます。
属人性を、置かない
設問と採点には、20年以上の専門家の判断基準も落としてあります。同じ回答なら、誰がいつ実行しても同じスコア。担当が代わっても続きます。
なぜ中立でいられるか
私たちは、対策の実装や改修サービスを販売していません。そのため、測定結果に利害が生じません。
だから「まだやらなくていい」も含めて、そのままお伝えできます。
Report
これが、経営会議や定例会議などでそのまま活用できるものです。
スコアの推移グラフ、6機能別の現在地、優先すべき「次の一手」、そして投資対効果（ROI）。
経営が知りたいことを、専門用語の翻訳なしでひと目で分かる形に集約しました。
※ 表示はサンプルです。実際の生成結果はご利用企業の診断結果に基づきます。
The basis
数字の、その根拠。
SecuROIの投資判断レポートは、思いつきの数字ではありません。
米国NISTのフレームワーク「NIST IR 8286（サイバーセキュリティとエンタープライズリスク管理の統合）」
の考え方に基づいています。
セキュリティを“技術の話”でなく“事業リスク＝いくら損するか”に翻訳し、経営が投資を判断できる形で示す──
これがNIST IR 8286の中核であり、SecuROIが実装しているものです。
回答は、NIST CSF 2.0 と ITGC の基準へマッピングされます。
1つの回答が複数の評価項目に対応します。
経営への翻訳
現場のリスクを、経営が扱える事業リスク（金額）に変換します（CSRM→ERM統合）。
改善を、推移で可視化
四半期ごとに改善の推移を追い、"その時点"でなく"線"で捉えます。
誠実な数字
発生確率や損失額は、前提を明示したレンジで示します。精密に見えて実は当てにならない「偽の精度」は出しません。計算式もすべて開示します。
※NIST IR 8286は2025年12月に最新版（Rev.1）が公開され、経営層の関与を重視するNIST CSF 2.0のGOVERN機能に対応しています。日本の経済産業省・IPA「サイバーセキュリティ経営ガイドライン」とも方向性を同じくするものです。SecuROIは同フレームワークへの認証・準拠を主張するものではなく、その考え方に基づいて設計しています。
For every role
立場ごとに、違う武器になる
このレポートが組織全体の共通言語になります。
情シス責任者／一人情シス
やることは多いが、何から手を付けるかが決まらない。──スコアと「次の一手」。何を・どの順で、が決まった状態で朝を迎えられます。同じ物差しで測るので、予算申請の根拠にも、担当者の成果を測る共通言語にもなります。
CFO／管理本部長
IT投資が説明できず、準備の進捗が見えない。──準備度と投資対効果（ROI・前提つきレンジ）。経営会議や定例会議などでそのまま出せる形でお渡しします。
CTO／開発責任者
統制を入れると、プロダクトの速度が落ちるのが怖い。──どこまでやれば足りるかの線引き。過剰を持たない設計にします。
IPO支援コンサル／監査法人窓口
顧客の初期診断が属人的で、毎回工数を食う。──共通の物差しで、顧客の現在地を。私たちが立つのは前工程です。業務記述書・フローチャート・RCMの作成や、合否の評価は、これまで通り御社の領域です。
たった3ステップ。最短15分。
STEP 1
答える
専門用語ゼロの20問に、現場の運用状況を回答。設問の側で用語を噛み砕いてあるので、専門知識がなくても現場の担当者がそのまま答えられます。
STEP 2
自動で翻訳される
回答が裏側でNIST CSF 2.0 / ITGC基準へ自動マッピング。スコアは決定論的な計算式で算出するため、監査にも耐える再現性があります（＝担当が代わっても評価がブレず、そのまま引き継げます）。
STEP 3
経営が動ける状態に
「今どこまで・次に何を」が、次の一手とROIまで含めて整理される。経営会議や定例会議などでそのまま出せる形で、投資判断が前に進みます。
Pricing
スモールスタートで、IT統制やIPO準備などを加速する。
Standard
¥220,000 / 年（税込）
月払いの場合 ¥22,000 / 月（税込）
主に成長期・IPO準備中の企業向け。「現状を測り、次の一手を特定する」ために必要な全機能。都度の外部依頼を積み上げるより、無理なく続けられる投資額で、推移（線）として残せます。
- ✓四半期セキュリティ診断（年4回）
- ✓スコア・自走度・6機能別評価
- ✓ITGCレーン・IPO準備度
- ✓投資対効果（ROI）レポート
- ✓経営サマリーPDF（推移グラフ付き）
- ✓差分再診断（前回回答プレフィル）
- ✓改善施策の紐付け・改善で回避できる損失（守りROI）
Premium
近日提供
Standardの全機能に加え、IPO進捗トラッカー、未来推移シミュレーション、そして専門家による四半期ごとの優先度レビューを追加予定。
まずは1回だけ試したい方へ——単発診断（¥33,000〜・請求書払い対応）もご用意しています →
Spot Assessment
自社のセキュリティとIT統制——
「今どこまでできているか」を、答えられますか。
20問・15分。NIST CSF 2.0／IT全般統制（ITGC）の観点に照合した現在地レポートに、投資対効果（ROI）の視点と改善の優先順位を添えて。
実務経験20年超の専門家レビュー付き、稟議に諮りやすい価格で。
上場準備、SCS評価制度、取引先のセキュリティ調査をはじめとする対応——「今どこまでできているか」を問われる場面は増えています。コンサルティングに依頼すれば相応の費用と期間がかかり、自社でのExcel整理は担当者の時間を使ううえ、その整理が妥当かを確かめる手段がありません。
Light
¥33,000 / 1回（税込）
診断＋現在地レポート＋専門家レビュー（テキスト・診断後2ヶ月以内）
Standard
¥55,000 / 1回（税込）
ライトの内容＋結果の読み合わせ（Web会議・1時間・診断後2ヶ月以内・1回）
プランの選び方
レポートは現在地を確定します。読み合わせは、御社の体制・監査日程に当てはめて「次の四半期に取り組む3つ」を一緒に整理する場です。レポートを自社で読み解ける体制があれば、ライトで十分です。
レビュー期間について
IT統制の現在地は、組織変更や人の入れ替わり、システム変更で動きます。診断結果が現実を映しているうちに助言をお届けするため、レビュー期間を診断後2ヶ月以内としています。それ以降も継続して推移を見たい場合は、四半期ごとの定点測定（年額プラン）をご検討ください。
年額プランとの関係
四半期ごとにスタンダードを4回診断すると¥220,000——年額プランと同額です。年額プランでは4回分の結果が推移（線）として1つに残り、経営会議や監査法人との対話にそのまま使えます。
支払方法
お申し込み後すぐに診断を開始できます。お支払いは請求書払い（銀行振込・後払い）です。
Reviewer
小山幸輝（こやま よしき）|合同会社SecuROI 代表
情報システム・セキュリティの現場に20年以上。警察庁関連（犯罪対策支援）を経て、世界4大監査法人グループのセキュリティコンサルティングファームで監査対応・セキュリティコンサルティングに従事。その後、事業会社のセキュリティ部門マネージャー・アドバイザーとして、統制の内製化とIPO準備の実務を担う。
保有資格＝Google Cloud Professional Cloud Architect／情報セキュリティマネジメント（国家試験）／個人情報保護士。過去にCISSP・CISA・CEH等の国際資格を取得しており（現在は更新を行っていません）、監査・攻撃者視点・統制設計の専門知識は現在も実務の中核としています。
「利便性と安全性の高度な両立」を信条に、技術・人・組織を繋ぐ。
Q. 無償の診断サービスとは何が違いますか？
A. 私たちは対策の実装や改修サービスを販売していません。そのため、測定結果に利害が生じません。また、現状把握にとどまらず、次の一手や今後の取り組みの優先順位を、中立な立場から整理してお伝えすることに価値があると考えています。
Q. 合否のような判定は出ますか？
A. 合否の判定はいたしません。現在地の可視化と、改善に取り組む内容・順序の整理をご提供し、継続的な取り組みを支援することを目的としています。
Q. 診断を受ければ監査や審査に通りますか？
A. 本診断は特定時点の現在地を可視化するものであり、監査・審査・認証の結果を保証するものではありません。出発点や途中経過の把握、取り組みの優先順位を明確にするためにご活用ください。
Model Plan
測った先に、道筋があります
現在地が分かったら、次は順序です。IPO準備企業のIT統制整備を、監査法人のショートレビューから上場審査までのアンカーで逆算した標準的な流れとしてまとめています。3つの水準（現状維持・IPO実務標準・先行投資）から選ぶ形にしてあるので、経営会議での判断にそのまま使えます。
特定企業の導入事例ではなく標準例（モデルプラン）です。実際の期間・投資・体制は各社の状況により異なります。
Service Brochure
サービス紹介資料（PDF）をお送りします
設計思想・機能概要・料金プランを1冊にまとめた資料です。社内共有・ご検討にご活用ください。
ROI計算根拠・設計根拠・NIST/ITGC対応表など詳細資料のご要望はお問い合わせよりご連絡ください。
ホワイトペーパー
SCS評価制度対応 現在地把握ガイド（PDF・無料・登録不要）
IPO準備・取引先審査・サプライチェーン強化に備え、国のSCS評価制度（★3・★4）の要点と、自社の現在地を把握するチェックリストをまとめました。
Security by design
お客様の機密情報を、私たちは「預かりません」。
セキュリティを評価するサービスが、最大の弱点になっては本末転倒です。SecuROIは、ネットワーク構成図や生ログといった機微データをそもそも保存しない「データ最小化」を設計の根幹に据えています。守るべきものを最小化することが、最大のセキュリティです。
データベース層でのテナント完全分離（RLS）
運営者の常時アクセスを排除（JITアクセス・最小権限）
改ざん不可能な監査ログ
スコア算出にAIを使わない決定論的アルゴリズム
FAQ
よくある質問
Q. 私たちの機密データは安全ですか？＋
A. はい。SecuROIは生データをそもそも預からない設計です。証跡は社内のURLや規定名などのポインタのみを保持し、機密情報の漏洩リスクを構造的に極小化しています。認証（ISMS/Pマーク）の有無ではなく、「そもそも何を持たないか」という設計で安全性を担保します。
Q. たった20問で、正確な評価ができるのですか？＋
A. はい。品質は「AIの賢さ」ではなく、4つの構造で担保しています。
- 20問と国際基準（NIST CSF 2.0／CIS Controls v8／ITGC）の紐付けは、事前に固定された定義に基づき機械的に接続します（同じ回答からは必ず同じ結果が出ます）。
- スコアは決定論的に算出し、AIは数値を作りません（AIは数値を「経営の言葉」に翻訳するだけ）。
- 「合否」は判定せず、準備の目安を示すに留めます（最終評価は監査法人の領域）。
- 測る範囲を正直に開示します（IPO準備で最初に固めるべき、統制の土台となる主要領域を軸に、NIST 6機能すべてに対応する意図的な選定）。
問診票が短いことと、診断が的確なことは、背後の基準が緻密なら両立します。
Q. ROIの数字は、どう見ればいいのですか？＋
A. SecuROIのROIは「◯◯円で合格」という点数ではなく、投資判断の材料です。見方は3つ。
- 割に合うか（守り・攻めは「投資額＜効果」が成立すればOK）
- どの軸が御社の主役か（手作業が多いなら効率、大手取引を狙うなら攻め、上場審査を控えるなら上場準備 ── すべてを最大化する必要はありません）
- 推移で見る（一番大事なのは単発の数字より、四半期ごとに改善しているか）
数値は前提に依存する試算のため、「下限値でも投資額を上回るか」で見れば、堅実な判断ができます。
Q. ISMS・Pマークや、他のセキュリティ評価サービスと何が違うのですか？＋
A. 役割が違います。ISMS・Pマークは「合格の証明書」（第三者が保証する到達点のラベル）、取引先セキュリティ評価を仲介・共通化するサービスは「審査のやり取りを効率化する仲介役」、SecuROIは「今どの水準かを測り続ける物差しと、経営の投資判断」です。SecuROIは合否を判定せず、認証の"前（現在地把握・準備）"と"間（取得後に形骸化させない継続維持）"を支え、認証にも、そうした評価サービスにもない「経営のROI」を示します。どれかを選ぶのではなく、補完関係にあります。
Q. 導入にどれくらいの手間や時間がかかりますか？＋
A. 現場の担当者が20問に答えるだけで、最短15分で完了します。専門知識は不要で、回答するとNIST CSF 2.0やITGCの観点での充足状況・投資対効果（ROI）を自動でレポート化。CxOや役員にそのまま提出できる「経営サマリーPDF」が出力されます。
Q. 解約した場合、自社のデータは取り出せますか？＋
A. はい。ご利用期間中、管理者の方はいつでも診断データ・ROI・施策リストを一括エクスポート（ZIP）できます。解約前にお持ち出しいただけます。解約後は最大30日以内にバックアップを含む全データを完全に消去します。お客様のデータはお客様のものであり、特定のベンダーに縛られない設計です。
まず、要るかどうかから。
拠り所があり、投資対効果を説明でき、担当が代わっても回っている。
もしそうなら、SecuROIは不要です。
ただ、そこまで整っている会社はまだ多くありません。
1回測れば、どちらなのかがはっきりします。
Contact
まずは相談する
「まず話だけ聞きたい」も大歓迎です。
IPOコンサルタント・VC・監査法人・パートナーのご相談もこちらから。
（無料相談のお申し込みではなく、検討段階のご相談はお問い合わせフォームをご利用ください）
単発診断について問い合わせる