情報セキュリティにおけるセキュリティメトリクス管理とは？基本概念と活用方法を徹底解説

セキュリティメトリクスとは何か

情報セキュリティメトリクス（Security Metrics）とは、特定の情報セキュリティプロセスの状態を追跡・評価するために用いられる測定指標のことです。メトリクスは、定量化可能な手順に基づく一連の評価体系（ディメンションの仕組み）を定義します。

優れたメトリクスの条件

質の高いメトリクスであるためには、以下の5つの要素を備えていることが求められます。

• 具体的であること（Specific）
• 測定可能であること（Measurable）
• 達成可能であること（Attainable）
• 再現可能であること（Repeatable）
• 時間に依存していること（Time-dependent）

ディメンション（測定値）とメトリクスの違い

ディメンションは、特定の時点における個別かつ離散的な要素の一時点ビューを提供します。一方、メトリクスは、時間をかけて取得した複数のディメンションを、あらかじめ定めたベースラインと比較・分析することによって導き出されるものです。言い換えれば、ディメンションは「計数」によって作られ、メトリクスは「分析」から生まれるのです。

また、ディメンションは客観的な生データであり、メトリクスはそのデータに対する人間による記述（客観的な場合も主観的な場合もある）と捉えることもできます。ここで重要なのは、採用される測定手法に再現性があることで、異なる有能な評価者が別々に実施しても必ず同じ結果が得られなければなりません。

ソフトウェアメトリクスの役割

ソフトウェアメトリクスは、関連するパフォーマンスデータの設定、分析、文書化のプロセス全体を通じて、意思決定を支援し、パフォーマンスとアカウンタビリティ（説明責任）の向上を実現するために設計されたツールです。

パフォーマンス測定の目的

パフォーマンスを測定する目的は、対象となる活動の現状を把握し、観察された測定値に基づいて是正措置を講じることで、活動の継続的な改善を促進することにあります。より包括的・集約的な要素に対しては「メトリクス」や「ミジャー（Measure）」など複数の用語を使い分けるべきだという見解もありますが、本稿ではこれらの用語を互換的に使用します。

測定（Measurement）とメトリクスの関係

測定は、特定の離散的な要素に関する単一時点のビューを提供します。一方、メトリクスは、固定されたベースラインと比較することで、時間の経過とともに取得した2つ以上の測定値から導出されます。つまり、測定は「計数」により生成され、メトリクスは「分析」により生成されるのです。あるいは、測定は客観的な生情報であり、メトリクスはそのデータに対する人間による客観的または主観的な記述であるとも言えます。

情報システムセキュリティにおけるメトリクスの適用

情報システムのセキュリティにおいて、測定手順はシステムのセキュリティに寄与する各要素に関連付けられます。すなわち、セキュリティメトリクスを活用することで、定量化可能なセキュリティ属性を持つシステム内の複数のエンティティに測定手法を適用し、測定値を取得することが可能になります。

メトリクスデータベースと4つの主要な活用機能

メトリクスが生成した結果は、定義済みのメトリクスデータベースに蓄積されます。このデータベースは標準的なSQLおよびJDBCインターフェースを通じて利用でき、以下の4つの機能を支援します。

1. リスク管理（Risk Management）

脅威の発生確率、脆弱性、対策の適用範囲、資産価値などを算出するメトリクスは、リスクをモデル化するために利用できる結果をもたらします。

2. 予算管理（Budget Management）

工数レベル、影響度、可用性などを判定するメトリクスは、予算策定や投資対効果（ROI）の算出を目的として、金額コストへと変換することができます。

3. 監査・コンプライアンス評価（Audit & Compliance Assessment：内部／外部）

個人およびグループごとのポリシー遵守状況を測定するメトリクスは、コンプライアンスツールが生成するレポートの精度向上に役立つ結果をもたらします。

4. セキュリティ運用（Security Operations）

長期間にわたってデータを収集するメトリクスは、トレンドの把握に活用でき、データセンター運用スタッフが取るべき具体的なアクションを示唆します。