情報セキュリティメトリクスとは？測定値との違いや活用メリットを解説

情報セキュリティメトリクスとは、特定の情報セキュリティプロセスの状態を追跡・確認するために用いられる指標（尺度）のことです。メトリクスは、定量化可能な手順に基づいた評価体系として定義されます。

メトリクスと測定値（Measurement）の違い

測定値は、特定の個別要素についてある時点での状態を示す「一点のスナップショット」です。一方、メトリクスは、時間をかけて取得した複数の測定値を、あらかじめ定めた基準値（ベースライン）と比較することで導き出される結果です。

測定値は単純なカウントによって得られる客観的な生データであるのに対し、メトリクスはそのデータを分析して作成されるものであり、客観的な場合もあれば、主観的な判断が含まれる場合もあります。

優れたメトリクスの条件

有用なメトリクスには、以下のような特徴が求められます。

• 具体性：何を測っているのかが明確であること
• 定量性：数値で表現できること
• 達成可能性：現実的に収集・算出できること
• 反復性：継続的に同じ方法で測定できること
• 時間依存性：時間軸に沿って変化を追跡できること

測定方法に求められる再現性と反復性

採用する測定方法は再現可能でなければなりません。つまり、異なる有資格者がそれぞれ独立して測定を行った場合でも、同一の結果が得られる必要があります。また、反復性も重要であり、最初の評価者グループが再度測定を行っても同じ結果が出ることが求められます。

数量の単位を求めるための測定手段としては、測定器、標準物質、測定システムなどが挙げられます。

情報システムセキュリティにおける測定

情報システムのセキュリティ測定では、測定可能なセキュリティ特性を持つシステムの複数の構成要素に対して測定手法を適用し、評価値を取得します。こうして得られた測定値は、組織にとってタイムリーかつアクセスしやすい形で提供されなければなりません。

メトリクスの目的：意思決定と改善の支援

メトリクスは、パフォーマンスに関連するデータの収集・分析・記録を通じて、意思決定を支援し、実行力とアカウンタビリティ（説明責任）を向上させるために設計されたツールです。

パフォーマンスを測定する目的は、対象となる活動の状況を把握し、観察された測定値に基づいて是正措置を講じることで、それらの活動の改善を促すことにあります。

セキュリティ管理者にとってのメリット

情報システムセキュリティの分野では、セキュリティに寄与するシステムの各要素に対して測定手法を適用します。つまり、セキュリティメトリクスは、定量化可能なセキュリティ特性を持つシステム内の複数のエンティティに測定手法を適用し、測定値を取得するものです。

メトリクスは、セキュリティ管理者にとって非常に効果的なツールとなります。具体的には、以下のような評価に役立ちます。

• 保護プログラムを構成する各コンポーネントの有効性の把握
• 特定のシステム、製品、プロセスのセキュリティレベルの評価
• セキュリティ対応を担う社員や部門が責任範囲を適切に果たせているかの確認

さらに、メトリクスは特定の対策を実施しなかった場合のリスクレベルを特定するのにも役立ち、それによって是正措置の優先順位付けや意思決定の指針を提供します。