何かを比べるときに、度量衡という言葉を使いませんか？ 私は、そもそも、度・量・衡が、長さと体積と重さのことだということを、最近まで知りませんでした。さらに、単位の話も無知と言うしかなく、世界に共通な単位の系（国際単位系：SI）は、1875年にパリで交わされた「メートル条約」によって、時間（秒）、長さ（メートル）、質量（キログラム）、電流（アンペア）、熱力学温度（ケルビン）、物質量（モル）、光度（カンデラ）の7つとなったことも、実に150年ほども後になってから知ることになりました。なお、これらの7つの系の内容とその相互関係は、例えば国立研究開発法人産業技術総合研究所の計量標準総合センターの資料「はかる単位」で俯瞰できますが、見つめているとその繋がりの複雑さに不思議な感覚を覚えます。
さらに驚いたのは、メートル原器が長さの基準だと子供のころ教わったはずなのですが、1960年に既に使われなくなっており、日本のメートル原器も重要文化財となり、筑波の同センターに保存されているそうです（今では、メートルは、光や時間から割り出されるようです）。
さて、話はサイバーセキュリティに移ります。
この7つの系の中に、サイバーセキュリティに関連した単位が無いのは、ある意味自明なことではあります。さまざまな組織の事業におけるデジタルや通信の仕組みでの障害がサイバーリスクという事象であり、そのパターンやインパクトは組織によって異なるからです。しかし、困るではありませんか。自社にとっては、こんなに深刻な事態なのに、他社にとっては何でもない掠り傷にすぎない、ということでは、比較ができません。サイバーセキュリティはどんな計測の仕方をするのが国際標準なのでしょうか。単純に単位で測れないのは分かりますが、測り方（量り方、計り方）までバラバラでは、ステークホルダーとの対話にも支障を来しそうです。
こういう時に便利なのが国際的なNPOのISFです。Steve Durbinさん、ご説明お願いします。
（ここから引用）
サイバーセキュリティの測定：何を・何故・どのように
Published: February 14, 2023
SOURCE：CSO ONLINE
Steve Durbin, Chief Executive, Information Security Forum
サイバーリスク対策が成熟するためには、サイバーセキュリティの脅威とパフォーマンスを測定、分析、報告する能力が肝となります。とはいえ、サイバーセキュリティを測定するというのは簡単なことではありません。一方では、経営者は情報リスクを理解するのに骨を折り（彼らは一般に、サイバーリスクとは無縁の経歴を持つため）、他方では、セキュリティ責任者は技術的な細部にこだわり過ぎて、かえって関係者を混乱させたり、誤った情報を与えたり、誤解させたりしてしまうからです。
理想的にいえば、セキュリティ専門家は、経営幹部が理解でき、役に立つと感じ、好奇心も満たされ、行動に移せて成果も出せるような形でサイバーセキュリティを測定し、報告する必要があります。
サイバーセキュリティではいったい何を測定できるのか？
ステークホルダーの多くは、リスク、コンプライアンスあるいはアシュアランスにまつわる質問をしてくるのが常です。残念ながら、このような質問には、単一のデータ点では答えられないのが普通です。幸いにして、ステークホルダーの疑問や懸念に応えるために、セキュリティ実務者が測定できるものは多岐にわたります。その項目は、次のように大別することができます。
・コントロール： 脅威に対処し、情報リスクを軽減するために講じられる対策
・資産： 価値を持つもの、またはその組織によって所有されているすべてのモノ
・脆弱性： 脅威（アクター）によって悪用される可能性のあるシステムの弱点
・脅威イベント： 資産に損害を与える可能性のある、脅威（アクター）による何らかの行動
・セキュリティインシデント： 通信障害、システム中断、システム停止、データ漏洩、フィッシング詐欺、ランサムウェア攻撃など、事業に悪影響を及ぼす事象
上記の分類は、数値、時間、またはコストの観点からさらに細かく分類することが可能です。例えば、数値で言えば、パッチ未適用のサーバーの合計数や割合、必要なベースラインや処理能力との比較におけるパッチ未適用のサーバーの割合、またはパッチ適用可能なサーバーの数などを測定することができます。時間で言えば、インシデントを特定するのにかかった時間や、特定の脅威の出現頻度を時系列で測定することができます。コストについては、インシデントの影響を金銭的に引き直せるように測定したり、復旧にかかるコスト、あるいはシステムダウンによる事業損失を割り出すように測定したりすることができます。
なぜ測定基準ではなく、KPIに注目するのか？
セキュリティ実務者は、経営陣に報告する際に、最も適切な測定方法を選択する必要があります。セキュリティチームの多くは、資産、脆弱性、脅威イベントに関する機械語で測定された値である測定基準に焦点を当ててしまいがちです。一方、経営陣は、主要業績評価指標（KPI）や主要リスク評価指標（KRI）を重視します。それは、こうした指標によって、セキュリティのリスクや、健全性や、リスク対応態勢や、優先事項に関する、次のような具体的な質問に答えるのに役立つからです。
・貴社のセキュリティは大丈夫なのか？
・セキュリティへの投資によって、事業上の価値がもたらされているのか？
・セキュリティに関連する規制上のさまざまな義務は果たしているのか？
・ランサムウェア攻撃やサプライチェーン攻撃への備えは十分なのか？
このような質問には、KPIやKRIによって答えることができます。だからこそ、セキュリティのパフォーマンス、態勢、有効性を評価するために、セキュリティ実務者はKPIやKRIに焦点を当てなければならないのです。
セキュリティチームによるサイバーセキュリティの測定はどのように行えばよいのでしょうか？
適切な測定の枠組みを構築するのは、段階的かつ繰り返しのプロセスです。それでは、セキュリティの測定サイクルを構築するために必要な5つの主要ステップについてご紹介しましょう。
1. 要件を定義する
まず、関連するステークホルダーとの双方向の会話を通じて、そのニーズを明確にし、理解します。着手小局と言っても、ステークホルダーが情報リスクや自身の要求事項を必ずしもよく理解しているとは限らないので、セキュリティ実務者が重要だと思うことを測定して上に報告する、ボトムアップのアプローチがむしろ必要です。セキュリティ実務者も、このような会話の機会を利用して、自らも質問を投げかけ、必要であれば教育や議題の設定に役立てることもできるでしょう。
2. 主要な指標を選択する
ステークホルダーの要件が定義された後、セキュリティ実務者は、これらの要件を満たすのに役立つ主要指標を特定し、選択する必要があります。また、すべてのステークホルダーは、後日提示されることになる測定項目について事前相談を受け、決定内容の報告を受ける必要があります。
主要な指標を確認したことによって、ステークホルダーが行動を起こしたり意思決定したりできるようになるはずです。こうした主要な指標は、大局的で厳選されたものであるべきです。その目的は意思決定を助けることにあるのであり、複雑なデータで混乱させてしまうようでは無用の長物になるからです。
3. 測定基準の特定
セキュリティチームは、大局的な目的を特定したら、次に、報告に役立つ機械言語の指標を特定することに神経を集中させることになります。指標の内容の厳密性如何では、上記で説明したさまざまな測定項目だけでなく、数十の測定基準を必要とする可能性もでてくるでしょう。
4. 主要な指標の算出に資する測定基準の収集と分析
要件が合意され、重要な指標も選択され、測定基準も特定されたことから、実務者はこれらの重要な指標につながるデータの収集と分析を開始することができる状態になりました。測定基準は、正確で、タイムリーで、適切で、信頼できるデータのみを使用して導き出される必要があります。さもなければ、会社として誤った判断を下し、自社のセキュリティ態勢にも深刻な影響を与えることもありうるからです。セキュリティチームは、純正データを絶えず収集できる方法を見つけ（測定では、経時的変化を把握することが不可欠）、できればそのプロセスを可能な限り自動化することも必要です（手作業では時間を要し、疲労が大きい）。
5. 主要な指標をステークホルダーに報告する
主要な指標は、意思決定者にタイムリーに報告されなければなりません。セキュリティ実務者とステークホルダーは、その周期や頻度について合意しておく必要があります。また、ステークホルダーによって都合の良い報告受領形式が異なるため、報告スタイルについても同様です。ダッシュボードが必要なのか、それともスライドによるプレゼンテーションで十分なのか？主要な指標は、はっきりと見え、直感的に理解できるものでなければならず、結局のところ、報告が意思決定や行動につながらなくてはなりません。
こうやって、各報告サイクルが一巡したら、主要な指標のそれぞれを見直し、ステークホルダーとともに再検証することが重要です。セキュリティチームもステークホルダーも、「報告指標は依然として有用なのか、それとも何か変更する必要があるのか」と問いかけなければなりません。もしも、ビジネス要件が変わっていたならば、実務担当者は再び要件定義のステップに戻り、別の指標や測定基準を分析しなければなりません。
ここで忘れてはならないのは、脅威の状況は常に進化し続けているため、セキュリティ対策もそれに合わせて進化していかなければならないということです。企業、ステークホルダー、セキュリティ担当者は、後戻りや前倒しをためらってはなりません。サイバーセキュリティの測定で成果を上げるには、失敗を恐れず、前進し、改善や改良を行っていける能力が不可欠なのです。
（引用おわり）
サイバーセキュリティの測定の「何を・何故・どのように」は、分かりました。ただし、本質的なことについて、Steveさんに再度問いかけたいと思います。なぜ、世界標準の測定方法や測定単位が無いのでしょうか？
セキュリティの世界でも、ISO（国際標準化機構）やNIST（米国国立標準技術研究所）などがStandardを出しています。皆バラバラで、「帯に短し」という側面があるのは何故でしょう。さらに、そうした各種「国際的」Standardのクロスリファレンスやより詳細な実践の手引き（ISF Standard of Good Practice）をISFが作って、グローバル企業の会員に提供しなければ、最先端の実務が回らないのは何故でしょうか？
そうです。何故、サイバーリスクが出現するのか、そこに理由がある訳です。「人間」です。一人としてコピーがいない（比喩の世界ではいることがありますが）、人間が原因を作っているから「標準化」「数値化」が手法として効かないのです。
では、人間相手にどうやってサイバーセキュリティを整えていけば良いのでしょうか？ 今日の質問は、これでお終いですので、教えてください。
（次のページから引用）
人間中心のセキュリティプログラム開発への投資
Published: 14 April 2023
SOURCE：Architecture & Governance
Steve Durbin, Chief Executive, Information Security Forum
企業各社では、データ漏洩を防止するための、セキュリティ啓発・訓練プログラムを長きにわたって実施してきました。こうしたプログラムは、コンプライアンスに重点を置いた画一的なアプローチで設計されることが多く、セキュリティ行動の持続的な変化をもたらしたことはほとんどないのが実状です。その結果として、人為的なミスによるデータ漏洩は増え続け、英国個人情報保護監督機関によると、漏洩の90％が人為的なミスに起因しているとされています。このことから、従業員個々人へのセキュリティ教育を見直す必要があることが浮き彫りになっています。
それには、これまでのセキュリティ訓練のアプローチでは不十分であり、その代わりに、人間中心のセキュリティプログラムの導入が求められます。このアプローチでは、職務、心理的プロセス、立ち居振る舞い、意思疎通の仕方などを考慮します。行動様式を長期的に変わらないものにしていくのは、総合作業であり、慎重な計画と、個々の職務に応じた幅広い方策、そして投資対効果を示す確かな指標に裏打ちされていることが必要です。
最初のステップとして、人間中心のセキュリティプログラム開発のための、行動様式のベースラインを確立します。そのためには、各種のデータセットを十分取り込んだ上で、過去のリスク評価、情報漏えい防止策、ユーザー行動分析などについて統計分析を行うことが必要です。データを職種別、部署別、場所別、さらに会社に分けて見てみることで、従業員が現在どのような行動をとっているのか、またその理由は何かを理解することができます。定性的な情報は、フォーカスグループへの質問、人の動きの観察、ポリシーやシステムの検証などを通じて収集できます。こうした情報によって、行動パターンに関する有用性の高い洞察が得られ、教育、訓練、あるいは啓発に対する現在のアプローチの弱点が明らかにされます。
セキュリティプログラムの成功に欠かせないのは、内容に合わせた工夫と感情移入です。昔ながらの「全社一律」の訓練では効果がないため、各従業員それぞれの役割と会社が直面する脅威に合わせた職務毎のセキュリティ訓練プログラムを作成することがはるかに効果的なアプローチと言えます。また、トレーニングは、ゲーミフィケーションや報償あるいは表彰などを通じて、感情的なレベルでも人々を巻き込むように工夫する必要があります。頻度も重要ですので、学習者の好みに合わせて色々な媒体を用意しておき、セキュリティ意識向上、トレーニング、そして教育を短時間でも頻繁に実施することが求められます。
また、セキュリティの向上には、デジタル基盤や、ユーザーエクスペリエンスあるいはユーザインターフェイスを再設計して、各人をセキュリティ行動に誘導するというデザイン志向も有効でしょう。例としては、危険な兆候をかわしたり、インシデント報告を簡単に出来るようにしたり、セキュリティ行動を促すように物理的な環境を整備し直すことが挙げられます。またさらに、共用スペースでのナッジやリマインダー、訓練モジュールの完了を促すアプリメッセージなども、望ましい行動を促すのに役立つでしょう。
成果を測定することは重要なポイントで、人間中心のセキュリティプログラムの効果を評価するための指標を開発する必要があります。モチベーション、習熟度、意識の変化など、個々人の行動への影響を調査することが大切です。また、プログラムのコストと比較して、インシデントが減少したことによる資金的な節約効果も計算する必要があります。人間中心のセキュリティプログラムは、安全な未来を確保するために、企業ができる賢明な投資であると言えるでしょう。
（引用おわり）
なるほど。ここでも測定は重要な手段なのですね。ただ、最初にイメージしていたような、ゴリゴリの理数系の人でないと分からない単位の話は無く、ひたすら人間に向き合っていく文科系の真骨頂が生かされそうです。
少し勇気が湧いてきました。たまには経営の方々の本音の話を酒席でもよいのでお伺いする機会が欲しくなりました。極めて人間臭いサイバーセキュリティ論をご披露しつつ。
小原：hiro.ohara@securityforum.org
