サイバーセキュリティリスクの測り方――「何でも測定できる」という発想と実践ガイド

「何でも測定できる」――ダグラス・ハバードのアプローチ

応用情報経済学(Applied Information Economics)の提唱者であるダグラス・ハバード氏の著書『How to Measure Anything(何でも測定できる)』第3版では、その手法が多様な業界に適用された事例が紹介されています。どんなに複雑で不確実性が高く、定義しづらい問題であっても、実証済みの手法を使えば必ず測定可能になる――これが同書の核心的な主張です。

観察できるものはすべて測定できる

ハバード氏によれば、「測定できないものは存在しません」。ある対象をなんらかの形で観察できるのであれば、そこには必ず測定の手段が存在します。たとえ測定結果が「曖昧」であっても、それによって新しい情報が得られるなら、それは立派な測定だと言えるのです。

無形資産の測り方

ビジネスにおける無形の要素(顧客満足度やブランドイメージなど)は、態度や認知を通じて測定されることが一般的ですが、その他の手法も有効です。例えば、回答者に5段階評価で賛否を尋ねるサーベイ形式が代表的です。中間点を中立値として扱い、無形の項目を複数のレベルに分類することで、定量的な分析が可能になります。

サイバーセキュリティ対策の基本

オンライン上で安全を確保するためには、以下のような基本的な対策が欠かせません。

• 推測されにくい強固なパスワードを使用し、アクセス権限を適切に管理する
  
• ファイアウォールを正しく設定する
  
• セキュリティソフトを導入する
  
• OSやアプリケーションを定期的にアップデートする
  
• 不正侵入の兆候を常に監視する
  
• 従業員へのセキュリティ意識の啓発を行う

サイバーセキュリティ対策とは

サイバーセキュリティ対策とは、データを保護するために講じられる一連の手法を指します。パスワード保護や暗号化などの施策は、機密情報を守るうえで重要です。一方、サイバー攻撃には、フィッシング、盗聴攻撃、マルウェア感染、DoS(サービス拒否)攻撃など、さまざまな種類があります。

サイバーセキュリティのKPIと主要指標

KPI(重要業績評価指標)やKRI(重要リスク指標)、セキュリティ態勢を分析することで、セキュリティチームがどれだけ効果的に機能しているか、取り組みが改善しているのか、それとも悪化しているのかを把握できます。これはビジネスの利害関係者とのコミュニケーションにも役立ちます。

測定すべき主要メトリクス

• 侵入試行の件数
  
• インシデント発生率、深刻度レベル、対応時間、復旧にかかった時間
  
• 脆弱性パッチの適用までの所要時間
  
• データやアプリケーションへのアクセスレベル別のユーザー数
  
• ビジネスが日々生成するデータ量

リスクの計算式

基本的なリスク定義式

リスクは一般的に次の式で定義されます。

リスク = 発生確率 × 損失額

また、脅威・脆弱性・影響(結果)という3つの要素で構成すると考えることもできます。特定のイベントにおける潜在的損失は、発生可能性と影響を掛け合わせて表現されます。

リスク = 発生可能性 × 影響度

ITリスクは、ITの利用、所有、運用、関与、影響、採用といった側面から生じるビジネスリスクの一種と位置づけられます。

サイバーセキュリティリスク評価の計算式

イベントに内在するリスク(または残余リスク)は、次のように表現できます。

(脅威 ÷ 脆弱性)× 発生可能性 × 影響度 × 統制の有効性

サイバーリスクスコアとは

サイバーリスクスコアを活用すれば、セキュリティ態勢を客観的に評価できます。評価結果をわかりやすい定性的なスコアへ変換することで、組織は自社の資産がどの程度安全か、どこを改善すべきかを把握しやすくなります。

サイバーリスクとは

サイバーリスクとは、情報技術システムへの不正かつ意図的なアクセスによって、金銭的損失、事業の中断、企業の評判低下などが生じるリスク全般を指します。

サイバーセキュリティリスク評価の進め方

ステップバイステップガイド

1. 範囲の特定: 評価対象となるシステムやプロセスの範囲を明確にします。
   
2. 資産の識別: 保護すべき情報資産を洗い出し、カタログ化します。
   
3. 脅威の特定: 想定されるサイバー脅威を整理します。
   
4. リスク分析: 潜在的な影響との関連でリスクを分析します。
   
5. 優先順位付け: リスクのレベルを決定し、対応の優先順位をつけます。
   
6. 文書化: 特定したすべてのリスクを記録します。

詳細な手順

1. システム(プロセス、機能、アプリケーション)を特定する
   
2. 脅威を特定する
   
3. 固有リスクと影響を評価する
   
4. 統制(コントロール)を分析する
   
5. 発生可能性の評価(ライクフッドレーティング)を決める
   
6. リスク評価を算出する

サイバーリスク算出に含まれる作業

脅威分析、脆弱性評価、発生確率の分析、影響度の判定、統制の分析などのタスクが含まれます。これらの要素を組み合わせて露出度(エクスポージャー)の評価を行います。リスクとは、脆弱性、確率、統制を考慮したうえでの脅威の発生可能性を指します。

セキュリティ評価の継続的なポイント

• 各資産の価値を決定する
  
• 存在するサイバーリスクを把握する
  
• 予防コストと資産価値を比較して評価する
  
• セキュリティ統制の監視を継続的に行う

書籍『サイバーセキュリティリスクの測り方』について

『How to Measure Anything in Cyber Security Risk(サイバーセキュリティリスクを測定する)』は、現在の業界で主流となっているサイバーリスク管理手法が成果を出せていない実態を暴き、セキュリティを改善し、穴を塞ぐための一連のテクニックを提示した注目作です。Audibleでは完全版のオーディオブックも配信されています。より良い測定を求める世界において、ハバード氏はベストセラーの中で自身の経験を語り、多くのビジネスパーソンの目を開かせました。