組織はサイバーセキュリティの導入に多額の費用と労力を費やしていますが、それでも侵害される可能性があります。このような状況で、組織は侵害が発生する前に十分な対策を講じていたかどうかをどのように判断すればよいのでしょうか？ここで役立つのがセキュリティスコアカードです。セキュリティスコアカードは、サイバー攻撃への組織の対応準備状況を把握するのに役立ちます。簡単に言うと、セキュリティスコアカードとは、さまざまなセキュリティパラメータにおける組織のパフォーマンスを示す一連の指標と尺度です。以下に、すべての組織のセキュリティスコアカードに含めるべき重要な尺度をいくつか示します。
セキュリティ スコアカードの最小限の指標と測定基準
指標や測定方法は多岐にわたりますが、それらの関連性は事業や組織の性質によって異なります。しかし、ほぼすべての組織が測定すべき重要な指標の例をいくつか挙げます。
1. セキュリティ予算：これはおそらく最も重要で測定しやすい指標の一つです。サイバーセキュリティ予算と組織全体のIT予算の単純な比率です。この値が低い場合は、セキュリティへの投資が不十分であることを示します。値が高すぎる場合は、投資が正当化されない可能性があることを示唆します。ただし、最適な範囲は業界の性質によって異なります。たとえば、金融サービスの場合、セキュリティ予算はかなり高額であるべきです。
2. 脆弱性修正の有効性：この指標は、組織が指定した期間内に修正された脆弱性の割合として定義されます。一般的に、セキュリティ脆弱性は優先度1のインシデントとして記録されます。優先度1のインシデントはすべて、特定の時間内に解決する必要があります。したがって、脆弱性修正の有効性は、優先度1の期間内に修正された脆弱性の割合として定義されます。この指標においては、ギャップが埋められていれば、修正は永続的なものでなくても構いません。
3．意識：この指標は、セキュリティ対策に関する情報が組織全体でどれだけ効果的に共有されているかを示します。これは、セキュリティ研修を修了した従業員の総数を、組織全体の従業員数で割った比率として測定されます。理想的には、この数値は1年間で計算され、100％であるべきです。
4. 監査と説明責任:これは少し難しいですが、不可欠です。理想的には、アクセス制御、ソフトウェアの更新など、セキュリティの基本的な側面はすべて、SLA 期間を除いて、いつでもすべてのシステムで最新の状態である必要があります。しかし、実際にはそうなっていることはまれです。多くの従業員が、本来アクセスできないシステムにアクセスしています。一部のマシンのソフトウェアは、最新のパッチで更新されていない可能性があります。これらのすべての不備がセキュリティリスクを生み出すため、この対策は重要です。これは、次のように計算できます。許可されたユーザー アクセスの数を、許可されたユーザー アクセスの総数で割った比率に、インストールされていないソフトウェア パッチと更新の数 (各マシンの各ソフトウェアについて) と、パッチと更新の総数 (各マシンの各ソフトウェアについて) の比率を加えたもの。理想的には、この数値はゼロであるべきです。組織は、自社に関連するより多くのパラメータを使用して、この式を最適化する必要があります。
5. リスク評価:この指標は、組織が特定の時点で抱えているリスクのレベルを示します。これは、修正されていない脆弱性の総数と特定された脆弱性の総数の比率として測定されます。特定されたリスクのすべてが、私たちが望むほど軽減されるとは限らないことはよく知られています。リスク軽減策の中には、通常はソフトウェアなどの外部要因に依存するものがあります。この数値は、組織の制御範囲外のリスクのレベルとその深刻度を示します。
6. リスクにさらされる価値：この指標は、セキュリティリスクの発生が組織に与える影響をより重視したものです。情報漏洩の実際のコストは、漏洩した情報そのものの価値だけでなく、損失、罰金、法的措置の費用、事業機会の損失など、将来的な影響も含まれることは周知の事実です。この数値こそが、サイバーセキュリティが組織にもたらす真の価値を示すものです。
セキュリティスコアカードが完成したら、組織におけるサイバー侵害リスクを把握するために、定期的にレビューする必要があります。スコアカードのパフォーマンスは、社内で設定した目標に対するスコアカードの絶対的なパフォーマンスと、同業他社（ベンチマーク）との比較パフォーマンスの2つの側面から評価する必要があります。他のビジネスパラメータと同様に、セキュリティスコアカードは組織の準備状況と直面するリスクを表します。では、あなたの企業のセキュリティスコアはどれくらいでしょうか？
お客様のビジネスのITセキュリティパートナーとして、 Seqrite 高度なサイバー脅威からエンドポイントを包括的に保護します。詳しくは、 ウェブサイト or
