2つの企業が同じ週に同じランサムウェア株に襲われたとします。フォレンジック、封じ込め、復旧に同じ200時間。一方は約6万ドルを支払い、2時間以内にレスポンダーがトリアージを開始します。もう一方は15万ドルをはるかに超えて支払い、システムが停止したまま初日に契約交渉を進め、会社史上最悪の週に初めて対応チームと顔を合わせます。違いはマルウェアではありませんでした。数か月前に平穏な時に署名された契約 — インシデントレスポンス・リテイナー — と、各企業が自分が何を買ったのかを理解していたかどうかです。
攻撃者がファイル共有を移動している間にフォレンジック会社をグーグルで検索しなければならない企業なら、この記事はあなたのためのものです。IRリテイナーが実際に何を買うのか、前払ブロックを自社の帳簿でどう計上するのか、使わなかった時間はどうなるのか、ブロックを超えた時間に緊急の「サージ料率」が何をもたらすのかを解説します。会計は契約と同じくらい重要です。誤って計上されたリテイナーは、年間を通じて静かに資産を過大計上し、2度驚かせます — 未使用時間が失効する時と、超過請求書が届く時です。
リテイナーが実際に買うもの
インシデントレスポンス・リテイナーは、何かが炎上する前に買うレスポンダー時間の前払ブロックです。12か月の契約期間にわたって定義された時間数（またはクレジット）を前払いし、その見返りとして飛び込みの依頼者が買えない2つのものを得ます：契約で定められたトリアージSLA（通常1〜4時間）と、会社が作業するすべての時間に対する事前交渉済みのドローレートです。リテイナーがなければ、動員は24〜72時間に及び、その間に一から範囲を定め契約を結ぶことになり、すべての時間が緊急料率で請求されます。
市場はほぼ同じ保護を買う5つの方法を提供しており、公表価格は有用にまとまっています：
| モデル | 支払うもの | 公表されている基準値 |
|---|---|---|
| 前払ブロック／年間リテイナー | 設定時間数の固定料金 | IBM X-Forceは年間3万7,000〜10万5,000ドルを掲載、英国の開示では50/150/250時間の段階 |
| 時間制リテイナー | 年間料金に加え使用時間ごとのドローレート | ドローレートは1時間あたり約175〜400ドル |
| リテイナーなしの時間制緊急対応 | プレミアム料率、案件ごとに請求 | トップクラスの緊急対応は1時間あたり800〜1,500ドル |
| MDRサブスクリプション（監視と対応） | ユーザーごとの年間サブスクリプション | Arctic Wolfは100ユーザーまで年間4万4,000ドルを掲載 |
| 社内チーム | 人数×負荷コスト | 真の24時間365日体制には通常最低5名のシニアレスポンダー |
2つの点が際立ちます。第一に、大手企業のほとんどは時間単価を一切公表しておらず、Mandiant、CrowdStrike、Kroll、Unit 42はいずれも案件ごとに見積もります。したがって上記の数字は計画の基準値であり、見積もりではありません。リテイナーなしの緊急料率、リテイナー下のドローレート、年間料金という3つの数字を書面で入手してください。第二に、これらのリテイナー価格をリスクと比較してください。IBMの2025年データ侵害コスト調査では、世界平均の侵害コストは444万ドル、米国平均は記録的な1,022万ドルです。1件のインシデントに比べれば5桁のリテイナーは誤差に過ぎません — だからこそ、その会計は通常の誤差以上に注意を払う価値があるのです。
帳簿上、リテイナーは費用ではなく資産
多くの中小企業が犯す間違いはこれです：4万ドルのリテイナー請求書が10月に届き、全額がその月のセキュリティ費用に計上される。10月はひどく見え、次の11か月は不自然にきれいに見え、貸借対照表には実際に所有しているもの — 将来のレスポンダー時間4万ドル — が決して表示されません。
前払リテイナーは前払費用であり、流動資産です。まだ消費していない経済的利益 — 契約期間中オンデマンドで利用可能な専門家の時間 — に対して現金を支払ったのです。購入は資産勘定間で資金を移動させ（現金減少、前払リテイナー増加）、損益計算書には一切触れません。時間がドローされる（または失効する、後述）につれて初めて、コストは費用になります。
これは細かい話ではありません。リテイナー全額を前払費用処理すると、期間中の毎月、未消費残高の分だけ資産を過小計上し、最初の月の費用を過大計上し、リテイナーの規模が適切だったかを示すドローダウンパターンを隠します。毎年更新する場合、歪みは毎年繰り返され、前年比のセキュリティ支出が読めなくなります。資産として計上し、消費を費用化してください。月末決算が感謝するでしょう。
インシデントが消費するにつれてブロックをドローダウンする
前払ブロックは銀行残高のように考えてください。すべてのインシデントは引き出しであり、残高はまだ使える資産です。毎月（または各案件の後）、IR会社から時間明細を取得し、消費した価値をドローレートで前払資産からセキュリティ費用へ振り替えます。1時間300ドルでドローした22時間の封じ込め案件は、作業が発生した月の6,600ドルの費用です — 前払した月ではありません。
3つの簿記習慣がドローダウンを誠実に保ちます：
- 時間を現金のように照合する。 会社の時間明細はこの口座の銀行明細です。月初残高、ドロー時間、適用料率、月末残高を毎月記録してください。変化がない月でも「変動なし」の仕訳を入れます。照合をやめた月が、係争中の14時間の「評価」がすり抜ける月です。
- 実行済みだが未請求の作業を未払計上する。 レスポンダーが月末の最後の週に作業し、時間明細が翌月中旬に届く場合、未払計上します：セキュリティ費用を借方、未払金を貸方。そうしないと、インシデントの月は安く見え、請求書の月は高く見え、どちらも現実を反映しません。
- 損益計算書上、ドロー時間と超過分を分ける。 ブロック内でドローした時間と、それを超えて請求される緊急時間は、大きく異なる料率の別の経済事象です。1つの費用勘定に両方を入れられるのは、「リテイナーが実際に何を節約したか」に決して答えなくてよい場合だけです — だからサブ勘定やメモ規律で分けられるようにしてください。
使わなかった時間：失効、繰越、償却
リテイナーの最も静かな条項は、ドローしない時間がどうなるかです。ほとんどの契約は3つの扱いのいずれかを選びます：期間末に時間は無価値で失効する、上限付きの一部が次の期間に繰り越される、未使用時間が卓上演習や侵害評価などのプロアクティブサービスに変換される。例えばIBMの開示された段階では、対応時間とともにプロアクティブサービスユニットがバンドルされています — 組み込みの変換経路です。
契約が何と言おうと、帳簿はそれと一致しなければなりません。100時間のうち40時間が期間末に未使用で失効する場合、残りの前払残高はもはや資産ではなく、損失です。償却します：セキュリティ費用（または失効を別途可視化したいなら償却勘定）を借方、前払資産をゼロまで貸方。この仕訳を飛ばすと、前払勘定に何年も資産を過大計上する幽霊残高が蓄積します。
プロバイダ側はまったく同じように鏡映します。これは交渉前に知っておく価値があります。会社の帳簿では、あなたの前払金は前受収益 — まだ提供していない作業に対して受け取った現金という負債 — として残り、失効する未使用時間は失効時に会社の収益となり、会計士はこれをブレッカッジ（失効益）と呼びます。あなたの失効時間は彼らのマージンです。これは批判ではなく、交渉材料です。ブレッカッジで利益を得る会社はしばしばそれを交換に出します：繰越上限、未使用時間のプロアクティブサービスへの変換、または失効するように設計された大きなブロックの代わりに、より安い追加料率付きの小さなブロックを求めてください。卓上演習に変換された時間はすべて、償却ではなく資産として残る時間です。
サージ料率：ブロックを超えた時間が実際にかかるコスト
さて、リテイナーが元を取れるかどうかを決める条項です。ブロック内の時間は、平穏な時に交渉したドローレートで請求されます。ブロックを超えた時間 — そしてリテイナーがまったくない企業のすべての時間 — は緊急料率で請求され、その差がこの製品の経済性のすべてです。
自分の見積もりで割り算をしてください。ただし、ほとんどの会社で緊急料率はドローレートよりおよそ50〜150%高いと予想されます — あなたのブロックを1時間300ドルでドローする同じ店が、飛び込みの緊急対応を450〜750ドルで請求するかもしれません — 一方、トップクラスの緊急案件はドローレート175〜400ドルに対して1時間800〜1,500ドルです。サージはタイミングとも複合します：夜間、週末、専門フォレンジックは基本緊急料率にプレミアムを積み上げます。
損益分岐の計算は署名前に実行できるほど簡単です。実際に計画している規模のインシデントについて、（予想時間×緊急料率）を（予想時間×ドローレート）+リテイナー料金と比較してください。リテイナー料金は使用時間から控除されるため、損益分岐は通常1件の深刻なインシデントの範囲内に十分収まります。ドローレート300ドル対緊急料率750ドルでは、100時間の案件はリテイナーありで3万ドル+料金、なしで7万5,000ドル — 料金は2件目のインシデント前に元を取れ、契約上のトリアージSLAはその上乗せ価値です。ブロックは願うインシデントではなく、計画するインシデントに合わせて規模を決め、大きなものがブロックを超えて続いた場合にまだ負う超過分の現金準備を予算化してください。リテイナーは料率を買います。インシデントを上限付けるものではありません。
リテイナーを販売する場合、鏡像が適用される
読者の多くはこの契約の反対側 — 独自の前払ブロック時間を販売するMSP、セキュリティコンサルタント、IT企業 — にいます。会計は買い手を鏡映します：顧客の前払金はあなたの収益ではなく、負債である前受収益です。提供した時間についてのみ収益を認識し、未提供残高を貸借対照表に保持し（ASC 606では契約負債）、ブレッカッジは契約条件に基づいて時間が実際に失効した時にのみ収益認識します — 顧客が使わないと確信した時ではありません。同じ照合規律が適用されます：あなたの前受残高と顧客の前払残高が一致しない場合、どちらかが間違っており、時間ログが決着させます。前払金全額を初日収益として認識する会社は、収益を過大計上し、義務を過小計上し、売却のデューデリジェンス中にそのギャップを発見します。買い手は未提供作業の1ドルごとを引き継ぐ負債として価格に織り込むのです。
台帳で1年がどう見えるか
買い手の完全なリテイナー年を示します：10月に購入した100時間の4万ドルブロック、2月に1時間300ドルでドローした22時間のインシデント、同じインシデントで1時間750ドルの8時間の緊急超過（ドローレートの150%サージ）、期間末にさらなるインシデントなく未使用残高が償却される。帳簿をプレーンテキストで管理する場合、ドキュメントが設定を扱い、Favaが前払残高を期間中に枯渇するのを監視できるチャートに変えます：
2025-10-01 open Assets:Cash:Operating USD
2025-10-01 open Assets:Prepaid:IR-Retainer USD
2025-10-01 open Liabilities:Payable USD
2025-10-01 open Expenses:Security:Incident-Response USD
2025-10-01 * "Sentinel IR" "年間リテイナー、100前払時間"
Assets:Prepaid:IR-Retainer 40000.00 USD
Assets:Cash:Operating -40000.00 USD
2026-02-14 * "Sentinel IR" "封じ込め、22時間を1時間300.00ドルでドロー"
Expenses:Security:Incident-Response 6600.00 USD
Assets:Prepaid:IR-Retainer -6600.00 USD
2026-02-20 * "Sentinel IR" "緊急超過、8時間を1時間750.00ドルで"
Expenses:Security:Incident-Response 6000.00 USD
Liabilities:Payable -6000.00 USD
2026-03-02 * "Sentinel IR" "超過請求書支払い"
Liabilities:Payable 6000.00 USD
Assets:Cash:Operating -6000.00 USD
2026-09-30 * "Sentinel IR" "期間満了、未使用時間を償却"
Expenses:Security:Incident-Response 33400.00 USD
Assets:Prepaid:IR-Retainer -33400.00 USD勘定が語る物語を読んでください：平穏な時の料率で買ったインシデントレスポンス6,600ドル、サージ料率で買った6,000ドル、そして呼べるオプション以外何も買わなかった3万3,400ドル — 過大なブロックの代価です。その償却はリテイナーに反対する議論ではありません。次のブロックを会社の提案ではなく今年のドロー履歴から規模を決め、未使用残高を失効前にプロアクティブ作業へ変換するよう交渉するための議論です。
リテイナー買い手のための月末チェックリスト
リテイナーが有効な毎月の決算チェックリストにこれを載せれば、年末版は自ずと書けます：
- 何かを計上する前に、会社の時間明細を取得し前払残高と照合する — 月初時間、ドロー時間、料率、月末時間。
- 明細を待つのではなく、月末に未請求作業を未払計上し、作業が発生した月にドロー時間を費用化する。
- 超過分を独自のサブ勘定に保ち、サージプレミアムがそれを超えたドローレート支出の隣で見えるようにする。
- 失効日の90日前警告をカレンダーに入れる：卓上演習をスケジュールし、繰越を交渉し、更新の規模を適正化する時はその時 — 時間が死ぬ週ではない。
- 更新時に、昨年の総インシデントコスト（ドロー+超過+償却）を実際に使用した時間で割る。そのブレンド料率、パンフレットのドローレートではなく、次のブロックが競争する数字です。
200時間に6万ドルを支払う企業と15万ドルを支払う企業は異なる契約を買いました — しかし異なる帳簿も付けていました。一方はリテイナーを管理・照合・ドロー・証拠から更新する資産として扱いました。もう一方は10月に費用化し、サージ料率を不意打ちとして迎えました。必要になる前にリテイナーに署名し、あるがままに計上し、来年のブロックは営業提案ではなくドロー履歴に決めさせてください。
