情報セキュリティにおけるセキュリティメトリクスの基本とは？基礎知識をわかりやすく解説

セキュリティメトリクスには、押さえておくべき基本的な概念がいくつかあります。ここでは、その背景からライフサイクル、活用分野、そして価値までを体系的に解説します。

背景

メトリクス（測定基準）とは、意思決定を支援し、関連するパフォーマンスデータの設定・分析・文書化のプロセスにおいて、パフォーマンスとアカウンタビリティ（説明責任）を高めるために設計されたツールです。

パフォーマンスを測定する目的は、対象となる活動の現状を把握し、観測された指標に基づく是正措置を通じて、その活動の改善を促すことにあります。「メトリクス」「尺度（メジャー）」といった用語を、より包括的・集約的な項目に対して使い分ける考え方もありますが、本稿ではこれらの用語を互換的に使用します。

メトリクスのライフサイクル

メトリクスに関連するビジネスロジックは、シンプルな処理モデルに従います。

1. 作成（Create）

商用製品や自社開発アプリケーションなど、信頼できる一つ以上のプロバイダから一次入力データを取得します。

2. 計算（Calculate）

一次データに対して一連の分析操作（アクション）を適用して結果を導き出し、その結果をテーブルの1行以上の形式でメトリクス結果データベースに格納します。

3. 伝達（Communicate）

メトリクスの結果を、標準の可視化表示、電子メール通知、ポリシー違反の検出に基づくメールアラートなど、任意の形式で関係者に伝達します。

セキュリティメトリクス管理

メトリクスが生成した結果は、定義済みのメトリクスデータベースに蓄積され、標準的なSQLおよびJDBCインターフェースを通じて利用できます。これにより、以下のような機能を実現できます。

リスク管理

脅威の発生確率、脆弱性、対策のカバレッジ、資産コストを算出するメトリクスは、リスクモデリングに活用できる結果をもたらします。

予算管理

工数、影響度、期待される効果を判定するメトリクスは、金額コストへ換算することで、予算策定や投資対効果（ROI）の算出に役立ちます。

監査およびコンプライアンス評価（内部・外部）

個別およびグループ単位のポリシー準拠状況を測定するメトリクスは、コンプライアンスツールが生成するレポートの品質向上につながる結果を提供します。

セキュリティ運用

時間の経過とともにデータを収集するメトリクスは、データセンターの担当者が講じるべき具体的なアクションを示唆するトレンドの特定に活用できます。

セキュリティメトリクスの価値

メトリクスは、セキュリティ責任者にとって非常に有効な手段となります。具体的には、保護プログラムを構成する各要素の有効性、特定のシステム・製品・プロセスの安全性、さらに組織内のスタッフや部門が担うセキュリティ課題への対応能力を見極めることができます。

また、特定の対応策を実施しなかった場合のリスクの大きさを把握するのにも役立ち、それによって是正措置の優先順位付けの指針を得ることができます。さらに、メトリクスを活用することで、組織全体のセキュリティ意識の向上にもつなげられます。