セキュリティ測定の側面とは？押さえておきたい5つの重要ポイント

セキュリティメトリクス（指標）とは、定量化可能な手順に基づいて構築された評価体系のことです。有用なメトリクスは、データの機密性保護といったセキュリティ目標がどの程度達成されているかを示すものであり、組織全体のセキュリティプログラムを強化するための施策立案を後押しします。ここでいうプライバシーとは、個人情報などの私的な情報へのアクセスを、自分自身でコントロールすることとして説明できます。

セキュリティメトリクスは、セキュリティ管理者にとって非常に有効なツールです。保護プログラムの各要素がどれほど効果を発揮しているか、特定のシステム・製品・プロセスがどの程度安全であるか、さらに組織内の担当者や部門が、それぞれの責任範囲となるセキュリティ領域にどれだけ適切に対応できているかを見極めることができます。

さらに、メトリクスは「特定の対策を実施しなかった場合にどの程度のリスクが生じるか」を把握するのにも役立ちます。これにより、是正措置の優先順位付けに関する明確な指針が得られます。また、組織内のセキュリティ意識を高めるための取り組みにも活用できます。

セキュリティ測定の主な側面

1. 正確性と有効性

正確性とは、セキュリティを強制する仕組みが意図したとおりに正しく実装されていることを保証することです。一方、有効性とは、それらの仕組みが宣言されたセキュリティ目標を実際に満たしていること、つまり想定された動作以外の余計なことをせず、柔軟性についても期待される水準を満たしていることを意味します。

2. 先行指標と遅行指標

先行指標と遅行指標は、セキュリティの変化が生じる前後の状況をそれぞれ捉えるためのものです。一般的に、遅延時間（ラグタイム）の短いセキュリティメトリクスの方が、長いものよりも好まれます。なお、一部のセキュリティメトリクスは遅行指標として位置づけられています。

3. 組織のセキュリティ目標

組織はそれぞれ多様な目的を持ち、さまざまな資産を保有しています。また、一般への露出度、直面する脅威、リスク許容度も組織ごとに異なります。こうした違いがあるため、セキュリティ目標も大きく変わり得ます。セキュリティメトリクスは、組織が自らのセキュリティ目標をどの程度達成できているかを判断するために広く活用されています。

4. 定性的特性と定量的特性

セキュリティ特性の定量的な測定結果を、定性値に置き換えて表現することができます（例：「低」＝脆弱性ゼロ件、「中」＝1〜5件検出、「高」＝6件以上検出）。さらに、複数のセキュリティ特性に対する定量的評価に重み付けを行い、それらを統合して複合的な評価値を算出することも可能です。

5. 大規模測定と小規模測定

セキュリティ測定は、大規模で複雑な対象よりも、小規模でシンプルな対象に焦点を当てたほうがはるかに高い成果を上げやすいことが実証されています。システムを構成するコンポーネントの数が増えると、コンポーネント間の潜在的な相互作用の数は、コンポーネント数の二乗に比例して増加するためです。