セキュリティメトリクスのライフサイクルとは？4つのフェーズをわかりやすく解説

セキュリティメトリクスとは

メトリクスとは、パフォーマンスに関連するデータの収集・分析・記録のプロセスにおいて、意思決定を支援し、パフォーマンスとアカウンタビリティ（説明責任）を確保するために設計されたツールです。パフォーマンスを測定する目的は、対象となる活動の現状を可視化し、観測された指標に基づく是正措置によって活動の改善を促進することにあります。

メトリクスや測定値（マージャー）といったより包括的・集約的な項目には複数の用語を使うべきだという考え方もありますが、本稿ではこれらの用語を同じ意味として扱います。

セキュリティにおけるライフサイクルモデル

他のITプロセスと同様に、セキュリティもライフサイクルモデルに従って管理することができます。ここで紹介するモデルは、「特定（IDENTIFY）→ 評価（ASSESS）→ 保護（PROTECT）→ 監視（MONITOR）」という基本的なステップで構成されています。

このライフサイクルは、さまざまなセキュリティ課題に取り組むための最良の基盤となります。このモデルを活用することで、セキュリティが継続的に強化されていることを確認するための指針が得られます。重要なのは、セキュリティプログラムは静的な一度きりの評価や完成品ではないという点です。むしろ、絶え間ない注意と継続的な改善が求められるものなのです。

また、セキュリティポリシーと標準（スタンダード）は、セキュリティ計画のあらゆる要素の基盤であり、特にライフサイクルの「評価」と「保護」の両フェーズにおいて重要な役割を果たします。評価フェーズでは、ポリシーと標準が評価実施の中核となり、各リソースはセキュリティポリシーとの適合性が検証されます。一方、保護フェーズでは、ポリシーと標準を満たすようにリソースが構成されます。

それでは、ライフサイクルの各フェーズに含まれる内容を順番に見ていきましょう。

1. 特定（Identify）

セキュリティプログラムの最初のステップは、何を保護しようとしているのかを理解することです。識別作業は、まず組織全体などの高いレベルから開始し、そこから個別のシステムや資産へと徐々に掘り下げて進める必要があります。

2. 評価（Assess）

セキュリティライフサイクルの評価フェーズは、特定フェーズの成果の上に構築されます。保護すべき資産が明確になったら、次のステップは徹底的なセキュリティ評価の実施です。評価プロセスは、業務プロセスや手順の見直しから脆弱性スキャンまで、多岐にわたる側面を網羅します。

評価の目的は、サーバー、ルーター、ファイアウォール、アプリケーションなど、あらゆるレベルのリソースをテストし、脆弱性を発見するだけでなく、各リソースに関するより詳しい情報を収集することにもあります。特定フェーズで作成されたリソースの全体像は、こうした詳細情報によって精度の高いものへと磨き上げられていきます。

3. 保護（Protect）

ネットワークとシステムの全体像が把握され、脆弱性が特定されたら、次はそれらのシステムを企業のセキュリティポリシーおよび標準に準拠させなければなりません。このフェーズの焦点は、各システムとネットワークコンポーネントを設定・アップグレードし、セキュリティを強化するとともに、企業ポリシーへの準拠を確保することです。

4. 監視（Monitor）

セキュリティライフサイクルの最終フェーズは、構築したセキュリティ体制の監視です。サーバー、ファイアウォール、ルーターのセキュリティを強化した後は、それらの変更が確実に維持されていることを確認する必要があります。さらに、今後企業に導入される新規システムについても、ポリシー遵守状況を継続的に監視しなければなりません。

まとめ

セキュリティメトリクスのライフサイクルは、「特定」「評価」「保護」「監視」の4つのフェーズを循環させることで、組織のセキュリティレベルを持続的に向上させていく仕組みです。監視フェーズで得られた知見は次の特定・評価フェーズにフィードバックされ、セキュリティプログラムは常に進化し続けます。一度対応して終わりではなく、継続的な改善こそが効果的なセキュリティ運用の鍵となるのです。