サイバーセキュリティリスクは測定できるのか？―ダグ・ハバードの手法と実践指標を徹底解説

サイバーセキュリティリスクは本当に「測定」できるのか？

「見えないものは管理できない」という言葉通り、サイバーセキュリティにおいても、リスクを正しく測定することが対策の出発点となります。しかし、「リスク」という抽象的な概念をどうやって数字で捉えればよいのでしょうか。本記事では、ダグラス・ハバードの著書『サイバーセキュリティリスクの測定方法（How to Measure Anything in Cybersecurity Risk）』の考え方を軸に、リスク定量化の基本公式、実務で使えるセキュリティ指標、NISTフレームワークの5つの機能まで、体系的に解説します。

効果的なサイバーセキュリティ体制を支える5つの重要要素

堅牢なセキュリティ体制を構築するには、次の5つの要素が不可欠です。

1つ目は効果的なフレームワークの採用です。組織全体の方針と基準を一貫させる土台となります。2つ目は始点から終点までを網羅するスコープ設計であり、システムのライフサイクル全体を視野に入れることが重要です。3つ目はリスクアセスメントと脅威モデリングで、効果的なリスクマネジメントプログラムの中核を担います。4つ目はインシデント対応計画の事前準備です。事故発生後に慌てないためにも、平時からのシミュレーションが欠かせません。そして5つ目は専任のサイバーセキュリティチームの設置です。責任の所在を明確にすることで、対応速度と品質が大きく向上します。

サイバーリスクは金額として定量化できるのか？

答えは「できる」です。実際、金融機関をはじめとする一部の先進企業では、サイバー攻撃がもたらす潜在的損失を金額に換算し、それに対する対策コストと比較する形でリスクを算出しています。このサイバーリスク定量化（Cyber Risk Quantification）は、経営層に対してIT部門以外の人間にも理解しやすい形でリスクを伝える強力な手段となります。複雑なスコアリング方式に依存しないため、投資判断の説得力が格段に高まるのです。

ハバードの主張：「何でも測定できる」

応用情報経済学（Applied Information Economics）の考案者であるダグラス・ハバード氏は、情報学と経済学の両分野で高い評価を受ける専門家です。同氏の著書『サイバーセキュリティリスクの測定方法』は、現行の「リスクマネジメント」慣行の欠陥を暴き、その改善策を多角的に提示しています。

ハバード氏の核心的な主張はシンプルです。観察可能なものであれば、必ず何らかの水準で測定できるというものです。たとえ測定値が「曖昧」に見えても、既に知っている情報より多くを教えてくれるなら、それは立派な測定だというのです。同氏の手法はさまざまな業界で実証されており、どれほど困難で不明瞭な問題でも、実証済みのテクニックを使えば測定可能であることを示しています。

ハバードの言葉から学ぶ測定の心得

• 事前知識がほとんどない状況では、粗い測定であっても大きな価値を持つ。
• 「すべてのモデルは間違っている。ただし、有用なモデルもある」
• 問題を明確に提示することこそが、解決への第一歩である。

サイバーリスクの基本的な計算式

リスクを数値化する際には、脅威分析、脆弱性診断、発生確率の分析、影響度分析、統制策の分析といった要素を組み合わせます。これらを統合すると、一般的に次のような式でリスク暴露度を表現できます。

リスク ＝（脅威 × 脆弱性 × 発生確率 × 影響度）÷ 統制策

また、重大なリスクの期待値は「発生確率 × 損害規模」で求められます。これを金額で表現すれば、リスクを受け入れることのコストを見積もることができ、保険料や対策予算の妥当性検証にも活用できます。定量化手法は複数の標準規格で提案されており、プロジェクトの性質や影響要因に応じて使い分けるのが実務上のポイントです。

実務で使えるサイバーセキュリティの主要指標（KPI）

セキュリティの成果を可視化するには、継続的に追跡できる指標が必要です。代表的なものは以下の通りです。

• 侵入試行の検出件数：攻撃の傾向と防御の隙を把握する。
• インシデント発生率・深刻度・対応時間・復旧時間：対応体制の成熟度を測る基本指標。
• 脆弱性パッチ適用までの所要時間：平均修復時間（MTTR）の短縮は被害最小化に直結する。
• アプリケーション／データへのアクセスレベル別ユーザー数：権限管理の適切さを監査できる。
• ビジネスが扱うデータ量の全体像：保護対象の規模を認識する基礎情報。

セキュリティの有効性はどう測る？

組織の効率性は、「リスクを検知してから対処行動を完了するまでの時間」で評価できます。さらに、時間経過に伴うサイバー攻撃の報告データを蓄積し、将来の脅威動向と照らし合わせることで、早期の脅威とその後の対応を検証し、セキュリティシステムの実効性能をより正確に把握できるようになります。重要なのは、復旧時間を主観ではなく客観的な方法で計算する仕組みを整えることです。

無形のリスクを測定する方法

ブランドイメージや顧客の信頼といった無形の要素も、工夫次第で測定可能です。最も一般的なのは、回答者に5段階尺度で賛否を評価してもらうサーベイ手法です。「どちらとも言えない」の中立点を基準に置くことで、態度や認識を数値化できます。また、無形の概念を階層ごとに分解して定義し直すことで、より精度の高い測定につなげるアプローチもあります。

優れたセキュリティ専門家に共通する資質

技術力だけでなく、人間的な資質もサイバーセキュリティの質を左右します。第一線で活躍する専門家には、謙虚さ——自分の知識に限界があると認める姿勢——が不可欠です。加えて、人を助けようとする奉仕の精神、科学的な思考法、旺盛な好奇心、健全な懐疑心、迅速な反応、そして粘り強い勤勉さが挙げられます。

NISTサイバーセキュリティフレームワークの5つの機能

NIST（米国国立標準技術研究所）のサイバーセキュリティフレームワークは、5つのドメイン（機能）で構成されています。これは、全体的かつ成功するセキュリティ計画を立てるための骨格となるものです。公式サイトでは、重要インフラセクター向けのサイバーセキュリティ活動、望まれる成果、関連する参照情報の集合体と定義されています。

1. Identify（特定）：資産・脆弱性・リスクを把握する。
2. Protect（防御）：アクセス制御や教育などで守りを固める。
3. Detect（検知）：異常や侵害を速やかに発見する。
4. Respond（対応）：インシデントに即座に対処する。
5. Recover（復旧）：正常な状態へ迅速に戻す。

サイバーリスクアセスメントの進め方：5つのステップ

1. スコープの決定：何を評価対象とするかを最初に明確にします。
2. リスクの特定：資産の所在や依存関係を含めて、サイバーセキュリティ上のリスクを洗い出します。
3. リスクの分析：各リスクが事業に与える影響を評価します。
4. 優先順位付けと対応方針の決定：限られた資源をどこに投じるかを判断します。
5. 文書化：すべてのリスクを記録し、継続的に見直せるようにします。

まとめ：測定こそがセキュリティ投資の説得力を生む

サイバーセキュリティ対策は、ランサムウェアやアドウェアといった脅威からデジタル資産を守る生命線です。物理的な施錠の欠如、認証の不備、不正アクセス防止策の不足は、多くの攻撃の温床となります。ハバード氏の言う通り、リスクは「測れないもの」ではありません。定量化の公式、KPIの設定、NISTフレームワークの5機能、体系的なアセスメントを組み合わせれば、セキュリティは感覚的なコストから、経営判断に耐える戦略的投資へと変わります。まずは自社の資産とリスクの「見える化」から始めてみてください。