情報セキュリティ開示に記載した数字が、会社の会計資料と一致していなければなりません。 

情報セキュリティ投資額は、セキュリティチームの記憶を頼りに算定してはなりません。監査報告書、合計残高試算表、資産台帳、費用元帳と紐づいている必要があります。ERPを使用している企業であれば、伝票データをどのように抽出するかもあらかじめ決めておく必要があります。

特に費用元帳を確認する際は、販売管理費だけを見てはなりません。売上原価の伝票にもIT・セキュリティ費用が含まれている可能性があります。アウトソーシングのセキュリティ監視、クラウドセキュリティサービス、セキュリティ機器の保守、セキュリティコンサルティングの費用がどの勘定科目に分類されているかは、会社によって異なります。

2027年に初めて開示を行う企業は、今年中に会計チームとともに、次の質問を整理しておく必要があります。

当社のIT・セキュリティ費用はどの勘定科目に分散していますか。資産と費用をどのように区分できますか。
セキュリティ目的の資産と一般的なIT資産をどのように区別しますか。外部委託費のうち、セキュリティ業務の比率をどのように証明しますか。

この質問に対する答えを用意できなければ、開示する数字の信頼性は揺らぐことになります。