すべてのチームが追跡すべきサイバーセキュリティ指標トップ15

組織は平均して 週に2000件のサイバー攻撃に直面しているにもかかわらず、多くのセキュリティチームは自社の防御が本当に効果的かさえ把握できていません。明確な指標がなければ、彼らは手探りで運用せざるを得ず、ROIを示すことも、リソースを賢く配分することも、侵害につながる前に弱点を発見することもできません。

2025年においても、電子メールは最も悪用される攻撃経路であり、DMARCの導入率は は11％増加する 。しかしメールセキュリティだけでは不十分です。強固なサイバーセキュリティは、セキュリティプログラム全体で適切な指標を測定することに依存します。

このガイドでは、セキュリティチーム、リスク管理者、経営陣が自社のセキュリティ環境で実際に何が起きているかを理解するために頼る、15の有用なサイバーセキュリティ指標について説明します。

サイバーセキュリティ指標とは何か？

サイバーセキュリティ指標とは、組織のセキュリティがどの程度機能しているか、弱点がどこにあるか、そして時間の経過とともに状況がどのように改善しているかを示す測定可能なデータポイントです。これらはセキュリティの健康状態を示すバイタルサインのような役割を果たします。医師が血圧や心拍数をチェックするように、セキュリティチームは検知時間やインシデント発生件数などを追跡するのです。

これらの指標は、一般的な主要業績評価指標（KPI）や主要リスク指標（KRI）とは異なります：

• KPI 特定の目標に対する実績に焦点を当てる（例：「インシデント対応時間を30%短縮する」）。
• KRIs 潜在的なリスクが顕在化する前に特定する（例：「未修正の重大な脆弱性の数」）。
• サイバーセキュリティ指標 は、KPIとKRIの両方に供給される生の測定値を提供する。

これらの指標が測定する内容

セキュリティ指標は、いくつかの重要な側面を追跡します：

• 検知速度： 脅威が発生した際に、どれほど迅速に特定できるか。
• 対応の有効性： インシデントの封じ込めと解決の速さ。
• 脆弱性管理： セキュリティ上の弱点をどれだけ効果的に発見し修正できるか。 
• リスクの暴露： 組織が直面する実際の脅威レベル。
• コンプライアンス状況： 規制および業界基準を満たしているかどうか。 
• サードパーティリスク： ベンダーやパートナーによって生じるセキュリティ上の脆弱性。

組織がそれらを利用する理由

セキュリティチームはこれらの指標を活用し、事後対応型の消火活動から事前予防型の防御へと移行します。その利点には以下が含まれます：

• より良い意思決定、セキュリティ予算の配分においてデータが推測に取って代わるため。
• 明確な優先順位付け どの脅威と脆弱性が直ちに対処を必要とするかを特定する。
• リソース配分、どのセキュリティ投資が実際の成果をもたらすかを証明することで。
• ステークホルダーとのコミュニケーション 経営陣や取締役会向けに、技術的なセキュリティをビジネス用語に翻訳することで実現します。
• 継続的改善、セキュリティ施策が効果を発揮しているか、調整が必要か追跡することで実現する。

適切な指標を追跡する組織は有用なパターンを発見できる。例えば、四半期決算発表前に増加するフィッシング攻撃や、特定ベンダーに関連するパッチ適用遅延などだ。こうした知見は、セキュリティを単なるコストと捉える見方から、事業を円滑に運営するための戦略的要素として理解する方向へ転換させる助けとなる。

追跡すべきサイバーセキュリティ指標トップ15

これらの15の指標は、セキュリティ運用、脆弱性管理、リスク、コンプライアンス、経営層向け報告において最も実用的かつ広く使用されています。目的は、傾向を明らかにし、リスクを浮き彫りにし、賢明な意思決定を支援する指標に焦点を当てることです。

以下の各指標は、測定対象、重要性、およびセキュリティチーム、リスク管理チーム、または経営陣に提供する洞察を説明しています。

1. 平均検出時間（MTTD）

測定対象: セキュリティインシデントが発生してから、チームがそれを特定するまでの平均時間。

重要性： 攻撃を早期に検知すればするほど、攻撃者が拡散したりデータを盗んだり、損害を与えたりする時間が短くなります。24時間以内に問題を発見した組織は、通常、深刻な問題を引き起こす前に侵害を阻止しています。

それが示すもの： MTTD（侵害検出までの時間）が長い場合、監視の抜け穴、不十分なログ記録、またはアラートの過剰発生により、チームが重要な警告サインを見逃している可能性があります。MTTDを短縮するには、通常、検知ツールの改善、SIEM（セキュリティ情報イベント管理）の最適化、そして十分に訓練されたSOC（セキュリティオペレーションセンター）アナリストの配置が求められます。

PowerDMARC接続: メール認証プロトコル（例: DMARC は、不正なメール送信の試みをリアルタイムで可視化し、フィッシングやスプーフィング攻撃のMTTD（検出から対応までの時間）を大幅に短縮します。PowerDMARCの脅威インテリジェンスは、数千のドメインにわたるフィッシングキャンペーンを追跡し、認証通過率やブロックされた脅威を可視化します。

2. 平均封じ込め時間（MTTC）

測定対象: インシデントを検知してから、その封じ込めに成功し、さらなる被害を防止するまでの平均時間。

重要性： 完璧な検知能力も、封じ込めに数日かかるなら無意味だ。MTTC（侵害検知から対応までの平均時間）は侵害の深刻度と直接相関する。侵害されたシステムを隔離する速度が速ければ速いほど、盗まれたり暗号化されたりするデータ量は少なくなる。

明らかにされること： MTTCが長い場合、インシデント対応手順が不明確であること、自動化された封じ込めツールの不足、またはセキュリティチームがシステムを迅速にオフラインにする権限が不十分であることを示唆している。

実行可能性: 明確なプレイブック、自動化された隔離ツール、および封じ込め手順を練習するための定期的な机上演習を活用することで、MTTCを低減する。

3. パッチの遅延

測定対象: セキュリティパッチが利用可能になってから、環境全体に完全に展開されるまでの時間。

なぜ重要なのか： ほとんどの侵害は、既にパッチが提供されている既知の脆弱性を悪用します。対応を遅らせるごとに、被害を受ける可能性が高まります。

それが示すもの： パッチ適用までの遅延が長い場合、脆弱性管理プロセスの不備、複雑な変更管理手順、またはダウンタイムなしでは更新を受け入れられないレガシーシステムが原因であることが多い。 2017年のエクイファックス情報漏洩事件 は、重要なApache Strutsパッチが数か月間適用されなかったために発生した。

実行可能性: パッチの遅延を深刻度レベル別に追跡する：重大なパッチは1桁日のデプロイメントタイムラインを設定すべきであり、優先度の低い更新は標準的なメンテナンスウィンドウに従うことができる。

4. 脆弱性の再発率

測定対象: 修正後に再発する脆弱性の割合。問題が根本的に解決されていないことを示す指標。

重要性： 繰り返し発生する脆弱性はセキュリティチームの時間を浪費し、誤った進捗感覚を生み出す可能性があります。問題の20%が再発する場合、修正の5回に1回が持続的でないことを意味します。

それが示すもの： 再発率が高いことは、根本原因分析の不備、設定のドリフト、または開発者がコード変更を通じてセキュリティ上の欠陥を再導入していることを示唆しています。これは、修正プロセスが根本的な問題ではなく症状を対処していることを示しています。

実行可能性: どの脆弱性タイプが最も頻繁に再発するかを追跡し、その根本原因に対処する。具体的には、開発者トレーニングの改善、インフラストラクチャ・アズ・コードの実践の強化、変更管理プロセスの強化などが考えられる。

5. 重大度別のインシデント発生件数

測定対象: セキュリティインシデントの発生件数と分布状況（影響レベル別分類：重大、高、中、低）

重要性: この指標は、脅威の状況が改善しているか悪化しているかを示します。重大なインシデントの増加は、直ちに対応が必要であり、追加のセキュリティ対策が求められる可能性があります。

それが明らかにすること： ボリュームの傾向からパターンを把握できます。例えば、給与支払いの直前にフィッシング攻撃が増加したり、新たな脆弱性が公表された後にスキャンが急増したりする傾向です。深刻度レベルは、単なるノイズか、システムへの深刻な侵入試みかを判断する手がかりとなります。

対応可能性: セキュリティ投資にもかかわらず重大なインシデントが増加傾向にある場合、脅威モデルや検知ルールの再評価が必要となる可能性があります。軽微なインシデントが主流となっている場合は、アナリストの疲労軽減のため、アラートの調整を改善する必要があるかもしれません。

6. フィッシングクリック率

測定対象: フィッシングシミュレーションまたは実際の攻撃において、悪意のあるリンクをクリックした従業員の割合。

重要性： フィッシングは依然として データ侵害の大半において です。クリック通過率は侵害発生確率を直接予測します。10%を超える組織は著しく高いリスクに直面します。

それが示すもの： 高いクリック率は通常、従業員のセキュリティ意識向上のための研修が不十分であるか、現在の研修が日常業務と結びついていないことを示します。低いクリック率は、研修が効果を発揮しており、従業員が確固たるセキュリティマインドを構築していることを示しています。

PowerDMARC接続: DMARC の強制により、なりすましフィッシングメールが受信トレイに届くのを未然に防ぎ、従業員がフィッシング攻撃にさらされるリスクを大幅に低減します。

実行可能性: 部門別のクリック率を追跡し、重点的なトレーニングが必要な高リスクグループを特定する。フィッシングシミュレーションとメール認証を組み合わせ、多重防御を構築する。

7. 高リスク資産の割合

測定対象: 既知の脆弱性または不十分なセキュリティ対策が存在する重要システム、データベース、アプリケーションの割合。

重要性について： すべてのシステムが同等のリスクをもたらすわけではありません。問題のあるファイルサーバーは、同じ問題を抱える決済処理システムほど緊急性を要しません。この指標は、最も効果的な修正にリソースを集中させる手助けとなります。

それが示すもの： リスクの高い重要資産の割合が高いことは、脆弱性管理プログラムがビジネスの優先順位と整合していないことを示しています。セキュリティチームが影響の小さい問題を修正している一方で、重要なシステムが危険に晒されたままになっている可能性を示唆しています。

実行可能性: 自社のシステムを一覧化し、ビジネスへの重要度に基づいて分類する。そのリストに基づき、セキュリティ対策とパッチ適用に注力する。脆弱性スコアが深刻に見えなくとも、高リスクと判断されたものは直ちに対処すべきである。

8. セキュリティ態勢スコア

測定対象: 複数のセキュリティ指標（パッチ適用状況、設定コンプライアンス、アクセス制御など）を単一の健全性指標に集約した総合スコア。

重要性： 経営陣や取締役会は、複雑なセキュリティ状況を簡潔に把握する手段を必要としている。セキュリティ態勢スコアは、数十の技術的指標を単一の数値に変換し、セキュリティが向上しているか悪化しているかを示す。

明らかにすること： 時間の経過に伴う傾向は、セキュリティ投資が効果を発揮しているかどうかを示します。スコアの急激な低下は、新たなリスクや保護範囲の不足を示しており、直ちに調査が必要です。

PowerDMARC接続: PowerDMARCの メールセキュリティ評価 は、DMARC、 SPF、および DKIM の設定状況を統合したドメインレベルのスコアを迅速に提供し、メール認証の健全性を一目で確認できるようにします。

実行可能性: セキュリティ態勢スコアの算出に用いる指標を定義し、サブスコアを追跡して改善が必要なセキュリティ領域を特定する。実際のリスクを反映しない見せかけの指標は避ける。

9. 定量化されたリスクエクスポージャー

測定対象： 現在の脆弱性と脅威による推定財務的影響。通常、潜在的な損失額（ドル建て）で表される。

重要性： リスクエクスポージャーは技術的問題を経営陣が理解できる用語に変換します。「200の未パッチシステムが存在します」という表現は経営陣にとって意味を成しませんが、「侵害コストとして500万ドルの損失が発生する可能性があります」と伝えることで注目を喚起し、行動を促すのです。

明らかにすること： この指標は、リスクが時間とともに増加しているか減少しているかを示し、セキュリティ予算の要求を正当化するのに役立ちます。どの脅威が最も重大な財務的危険をもたらすかを特定します。

実行可能性: 脆弱性の数に平均悪用率と平均侵害コストを乗じてリスクエクスポージャーを算出する。脅威やビジネスニーズの変化に応じて四半期ごとに更新する。この指標を用いて、修正すべきリスク、移転すべきリスク、受容すべきリスクを決定する。

10. セキュリティ投資収益率（ROSI）

測定対象： セキュリティ投資による財務的リターン。計算式は（リスク低減による価値－セキュリティプログラムのコスト）÷セキュリティプログラムのコスト。

重要性： セキュリティ責任者は、予算が真の価値を生み出すことを示す必要がある。ROSI（投資利益率）はこれを証明するのに役立つ。例えば、メール認証に50万ドルを投資し、200万ドルの侵害コストを防止した場合、300％の投資利益率を示すことになる。

それが示すもの： ROSIがプラスであれば、セキュリティ投資が成果を上げていることを示します。ROSIがマイナスの場合、通常は低リスク領域への過剰な支出、あるいは特定の脅威の深刻さを誤って判断していることを意味します。

PowerDMARC接続:DMARCを導入した組織は、フィッシング被害の減少、メール配信率の向上（収益増加につながる）、ブランド毀損コストの回避を通じて、測定可能なROSI（投資収益率）を実現しています。サイバーセキュリティ専門家でありPowerDMARCのCEOであるマイサム・アル・ラワティ氏は、次のように述べてこれを裏付けています：「当社のクライアントは DMARC準拠メールを導入したクライアント企業では により配信率が約10%向上し…ドメイン悪用インシデントが大幅に減少しました」

実行可能性: 主要なセキュリティ施策のROSIを追跡し、どの投資が最大の価値をもたらすかを特定する。将来の予算はROSIの高いプログラムに配分し、ROSIの低い取り組みは再検討または廃止する。

11. コンプライアンスおよび監査指標

測定対象： 組織の規制要件（GDPR、HIPAA、SOC 2など）および内部セキュリティポリシーへの準拠状況。

重要性： 法令違反は罰金、訴訟、顧客信頼の喪失を招く。データ侵害や法令違反に対する規制罰則は平均 数百万 に上ります。

明らかにされること： コンプライアンスのギャップは、どのセキュリティ対策を実施または改善すべきかを示します。傾向分析により、 サイバーセキュリティコンプライアンスの 姿勢が強化されているか弱体化しているかを示します。

PowerDMARC接続: メール認証が必須化されつつあり、Yahoo、Googleをはじめとする主要プロバイダーは、大量送信者に対してDMARC、SPF、DKIMを要求しています。PowerDMARCは自動化されたレポート機能と強制ツールを提供することで、この対応を容易にします。

実行可能性: 各コンプライアンス要件に対応するセキュリティ対策を選択し、それらの対策が実際に実施されているか監視する。定期的な監査を実施し、すべてが想定通りに機能していることを確認する。明確なダッシュボードを活用すれば、経営陣が規制要件への対応準備状況を把握しやすくなる。

12. サードパーティ／ベンダーリスク指標

測定対象： システムやデータへのアクセス権を持つベンダー、サプライヤー、パートナーのセキュリティ態勢。

なぜ重要なのか： セキュリティの強度は、最も脆弱なベンダーのレベルに依存します。 ターゲット社の情報漏洩事件は は空調設備業者の認証情報が侵害されたことで発生した。サードパーティリスク指標は、どの提携関係が許容できないセキュリティリスクをもたらすかを特定する。

それが示すもの： サードパーティリスクが高い場合、通常はベンダーが適切に評価されていない、契約に強固なセキュリティ要件が含まれていない、あるいはパートナーが長期的に十分に監視されていないことを意味する。

実行可能性: ベンダーの脆弱性スキャン結果、セキュリティ質問票のスコア、認証ステータスなどの指標を追跡する。許容できないリスクレベルにあるベンダーに対しては是正計画を要求し、セキュリティ要件を継続的に満たせないパートナーとの関係終了を検討する。

13. システムカバレッジまたは攻撃対象領域の指標

測定対象: EDR、SIEM、脆弱性スキャナー、認証制御などのセキュリティツールによって監視されているインフラストラクチャの割合。

重要性： 監視されていないシステムは、攻撃が検知されずに発生する盲点を生み出します。完全なカバレッジにより、環境全体にわたる脅威を可視化できます。

それが示すもの： 低いカバレッジは、セキュリティツールの乱立（機能が重複する複数の製品が導入されているが、それらの間にギャップがある状態）またはセキュリティチームの可視化範囲外に展開されたシャドーITシステムを示している。

PowerDMARC接続: 電子メールは巨大な攻撃対象領域を生み出しますが、PowerDMARCはドメインの完全な可視性を提供することでこれを保護します。その DMARC集計レポートビューでは では、自社ドメインを使用してメール送信を試みるすべての送信元が表示され、不正な送信者や設定上の問題を発見するのに役立ちます。

実行可能性: 全システムのインベントリを作成し、監視レベルを分類する。まず重要システムを完全に監視対象とし、その後全システムのカバーを目指す。新規システム追加時にカバー率が低下しないよう、毎月カバー率を確認する。

14. 脆弱性の公開時間

測定対象: 脆弱性が最初に発見されてから完全に修正されるまでの、未修正状態の継続時間。

重要性: この指標は、発見速度と修復速度を組み合わせて、脆弱性の全体的な影響期間を示します。30日前に発見された重大な脆弱性を持つシステムは、攻撃者が悪用できる30日間の露出期間を抱えていることになります。

明らかにされること： 長い対応時間は、脆弱性管理プロセスにおける遅延（発見の遅れ、承認プロセスの長期化、パッチ適用リソースの不足など）を示していることが多い。

実行可能性: 脆弱性発見時間、優先順位付け時間、修正時間を分解し、どの段階が実際に遅延の原因となっているかを可視化します。ボトルネックが特定できれば、プロセスの効率化が格段に容易になります。また、深刻度に基づいた最大対応時間ポリシーを設定しましょう。重大な脆弱性については、対応期間を数週間ではなく数日単位で設定し、深刻な問題が不必要に長引くことを防ぎます。

15. インシデント影響度指標

測定対象： セキュリティインシデントによるビジネスへの影響。これには、財務損失、ダウンタイムの期間、影響を受けたユーザー数、侵害された記録、および規制報告要件が含まれる。

重要性について： 技術的なインシデントの詳細よりも、ビジネスへの影響が重要である。1,000件の顧客記録が流出し、3時間のダウンタイムを引き起こしたインシデントは、将来のセキュリティ投資の指針となる定量化可能なコストを生む。

明らかにされること： 影響の傾向は、インシデントの深刻度が時間とともに増減しているかを示します。セキュリティ支出の増加にもかかわらず高影響度のインシデントが発生している場合、制御策が実際のビジネスリスクに対処できていないことを示しています。

実行可能性: インシデントの総コスト（直接損失、対応コスト、規制当局による罰金、評判の毀損を含む）を算出する。影響データを活用し、最もコストのかかるインシデントタイプを防止するセキュリティ投資の正当性を示す。影響指標を経営陣にビジネス用語で提示する。

オーディエンスに基づいて指標を選択する方法

異なるグループは、その役割や意思決定内容に基づいて異なる指標を必要とします。優れたセキュリティレポートは、全てのデータを全員に押し付けるのではなく、各対象者ごとに指標を調整します。

SOC／運用チーム

セキュリティ運用チームは、検知、対応、およびカバレッジに関連する指標を必要としており、それらは日々の業務をより効果的に遂行するのに役立つ。

以下の指標に焦点を当ててください：

• 平均検出時間（MTTD）
• 平均封じ込め時間（MTTC）
• 深刻度別のインシデント発生件数
• システムカバレッジ指標
• フィッシングのクリック率
• 脆弱性の公開時間

これらの指標が機能する理由： 運用チームは、ツールの改善、プロセスの最適化、より効果的な対応手順を通じて、これらの指標に直接影響を与えることができます。これらの指標は、SOCアナリストがアラートの優先順位付けを行い、自身の効果を測定し、追加のリソースやトレーニングが必要な領域を特定するのに役立ちます。

コミュニケーション手法: これらの指標を、改善または悪化を示すトレンドライン付きのリアルタイムダッシュボードで提示する。ビジネス用語は避け、SOCチームが現状の技術的詳細と対応方法を知りたいことを考慮する。

リスク・コンプライアンス部門

リスク管理者とコンプライアンス担当者は、組織のエクスポージャーを定量化し、規制遵守を実証する指標を必要とする。

以下の指標に焦点を当ててください：

• 定量化されたリスクエクスポージャー
• コンプライアンスおよび監査指標
• 脆弱性の再発率
• サードパーティベンダーリスク
• 高リスク資産の割合
• 重要システム向けのパッチ適用遅延

これらの指標が機能する理由： これらの指標は、日々のセキュリティ業務をリスク低減とコンプライアンス要件に直接結びつけます。リスク管理チームはこれらを基に、優先的に対応すべき是正措置を判断し、監査人に対して適切なデューデリジェンスが実施されていることを示し、特定の脅威に対する「受容」「移転」「軽減」の判断を、リスクの重要性を明確に把握した上で行うことができます。

コミュニケーション手法: これらの指標をリスク登録簿およびコンプライアンスダッシュボードに、明確な赤/黄/緑のステータスインジケーターと共に提示する。各指標を特定の規制要件または事業リスクに関連付け、関連性を示す。

役員／取締役会

経営陣と取締役会メンバーは、技術的な専門知識を必要とせずに戦略的決定に役立つビジネスインパクト指標を必要としている。

以下の指標に焦点を当ててください：

• セキュリティ態勢スコア
• セキュリティ投資利益率（ROSI）
• 定量化されたリスクエクスポージャー
• インシデント影響指標（金額ベース）
• コンプライアンス状況の概要
• 改善または悪化を示すトレンドライン

これらが効果を発揮する理由： 経営陣が重視するのはビジネス成果であって、技術的な詳細ではない。セキュリティ投資が効果を上げているか、組織が最も重大なリスクに直面している領域はどこか、そしてどの戦略的決定に注力すべきかを理解する必要がある。

コミュニケーション手法: これらの指標は、シンプルな可視化を伴うエグゼクティブサマリーで提示する。専門用語は避ける。例えば「未パッチのCVE」ではなく「既知の攻撃に対して脆弱なシステム」と表現する。常にビジネスコンテキストを含める：「この20万ドルの投資により、フィッシング被害リスクを75%削減し、推定80万ドルの潜在的損失を防止しました」。

指標と成熟度の整合

組織のセキュリティ成熟度は指標選択に影響を与えるべきです。未成熟なプログラムは、システムカバレッジやパッチ適用遅延といった基礎的な指標から始め、能力が成熟するにつれてROSIや定量化されたリスクエクスポージャーといったより高度な指標へと拡大すべきです。

• スターター指標 （プログラム開発用）：MTTD、MTTC、パッチ遅延、システムカバレッジ。
• 中間指標 （確立されたプログラム向け）：脆弱性再発率、フィッシング攻撃発生率、コンプライアンス状況。 
• 高度な指標 （成熟したプログラム向け）：ROSI、定量化されたリスクエクスポージャー、セキュリティ態勢スコアリング。

一度にすべてを追跡しようとしないでください。現在の優先事項と、ステークホルダーが実際に確認する必要がある内容に沿った指標を5～7つ選び、測定能力が向上するにつれて追加していきましょう。これによりプロセスは焦点が定まり、はるかに持続可能になります。

結論

サイバーセキュリティ指標は、セキュリティを事後対応型のコストセンターから戦略的機能へと転換させます。明確なデータ駆動型改善を通じて事業運営を保護する機能です。ここに示す15の指標は、検知性能、対応能力、脆弱性管理、組織リスク、そしてそれら全体に潜む広範な事業影響を可視化します。セキュリティチーム、リスク管理者、経営陣が情報に基づいた意思決定を行うために必要な洞察を提供します。

組織の成熟度レベルとステークホルダーのニーズに合った指標から始めましょう。SOCチームはMTTDやMTTCといった運用指標から恩恵を受け、経営陣はROSIや定量化されたリスクエクスポージャーといったビジネス影響指標を必要とします。測定能力が成熟するにつれ、指標を拡張して追加のセキュリティ領域をカバーしてください。

一貫した測定が継続的な改善を推進します。選択した指標を毎月追跡し、傾向を特定し、データが示す内容に基づいてセキュリティプログラムを調整してください。改善を示す指標は、セキュリティ投資が効果を発揮していることを証明します。悪化を示す指標は、追加リソースの投入やアプローチの変更が必要な領域を指摘します。

PowerDMARCの無料ツールでドメインのメール認証ステータスを確認するか、マネージドメール認証が測定可能なセキュリティ向上をもたらす様子をデモでご覧ください。

よくある質問 (FAQ)

サイバーリスク評価とは何ですか？

サイバーリスク評価とは、サイバーセキュリティ上の脅威と脆弱性を特定、分析し、その発生可能性と潜在的な影響を判断するための体系的なプロセスである。 組織の情報システムやデータに影響を及ぼす可能性のある を特定、分析し、その発生可能性と潜在的な影響を評価する体系的なプロセスである。

サイバーセキュリティの5つのCとは何ですか？

サイバーセキュリティの5つのCとは：変更（システム更新の管理）、コンプライアンス（規制要件の遵守）、コスト（セキュリティ予算の配分）、継続性（インシデント発生時の業務維持）、カバレッジ（全システムにわたる完全なセキュリティ監視の確保）である。

サイバーセキュリティにおけるKPIとは何か？

サイバーセキュリティにおけるKPI（主要業績評価指標）とは、セキュリティチームが特定の目標をどの程度効果的に達成しているかを示す測定可能な値である。例えば、インシデント対応時間を30%短縮する、重要システム全体で95%のパッチ適用コンプライアンスを維持するといった目標が該当する。

サイバーセキュリティにはハッキングは含まれますか？

サイバーセキュリティには倫理的ハッキング（ペネトレーションテスト）が含まれます。これは訓練を受けた専門家が攻撃をシミュレートし、実際の脅威アクターが悪用する前に脆弱性を発見するテストです。ただし 含まれないもの 含まれないのは、あらゆる形態の不正アクセスや悪意のある活動です。倫理的テストは管理された許可ベースの活動であり、その設計上、防御的な性質を持っています。