セキュリティKPIの選び方｜事故件数だけで評価しない指標設計

セキュリティの指標は、対策の数をきれいに見せるためでなく、意思決定に必要な変化を知るために使います。事故件数や損失は結果を示しますが、件数が少ない理由が安全なのか、検知・報告できていないのかは分かりません。対策の運用を測る指標と、起きた結果を測る指標を組み合わせます。

パッチ適用率を使う場合は、対象の分母、期限、例外、確認できない端末を明確にします。確認できた100台だけで計算し、未確認20台を除けば高く見えます。数値を報告する時は、重要業務の対象が含まれるかと、未確認をどう扱ったかまで説明します。率だけで現場を評価すると、難しい対象を台帳から外す誘因にもなります。

目標値は事業の要求から決めます。他社の高い数値をそのまま採用したり、報告件数の増加を直ちに対策失敗と判断したりしないことが重要です。

一つの指標に目的、対象、算定方法、データの取得元、更新頻度、責任者を定義します。未確認の対象が増えた時は、数字が改善しても結論を保留する仕組みにします。

復元試験を実施した割合だけでなく、必要な業務まで復旧できたかも記録します。実施した回数と成果を混同しないことが、他の指標にも共通する考え方です。

独自の計算例では、全120台のうち100台を確認し、90台が期限内なら、確認済みの範囲では90％です。しかし全体への適用が確認できた割合は90÷120で75％になります。未確認20台を除いた数字を全体の達成率として報告しないことがポイントです。率の名称と分母を一緒に示します。

実際に使う目標は、この例の数字をそのまま採用するものではありません。重要端末の未確認が一台でも業務に与える影響は変わります。平均、重要度別の不足、未確認の理由を合わせて経営の判断へ渡します。

サイバーセキュリティの学習ガイドで、このテーマを資産・リスクと運用管理の中に位置付けてください。関連する前提はNIST CSF 2.0の現状・目標プロファイル、セキュリティアラートのトリアージで確認できます。

資格対策との接点は情報・サイバーセキュリティ管理士の概要へ。用語を理解した後は登録不要の無料お試し20問で、別の状況でも判断できるか確かめてください。記事のテーマを全て公式の出題項目とする説明ではありません。