セキュリティの指標
セキュリティの方針・手順・管理策が十分か、どれだけ効いているかを、数値などで表して、判断と改善に使うものです（英語では security measures、security metrics。KPI（主要な成果の指標）や KRI（主要なリスクの指標）も指標の例）。CISSP では
CISSPドメイン6 セキュリティの評価と試験で、セキュリティの過程のデータを集める項目の「Key performance and risk indicators」として扱います。
定義
NIST SP 800-55 Vol. 1（情報セキュリティの測定の手引き 第1巻、2024年12月）は、言葉を次のように使い分けています。
| 語 |
意味 |
| 測定（measurement） |
数量の値を得る過程。評価（assessment）は、測定を含む、より広い考え方 |
| 測定値（measures） |
測定で集めた、数で表したデータ |
| 指標（metrics） |
決めた目標に対して、進み具合を追い、判断を助け、成果を高めるためのもの。測定値を使って、組織がどれだけうまくやれているか、セキュリティのリスクを減らせているかを示す |
同じ文書は、KRI（主要なリスクの指標）と KPI（主要な成果の指標）は指標の例だが、すべての指標がこのどちらかに当たるわけではないとしています。
測定値の種類
SP 800-55 Vol. 1 は、測定値を次の種類に分けています。
| 種類 |
何を測るか |
例（同じ文書から） |
| 実装 |
特定の管理策がどこまで進んだか。多くは割合で表す |
承認されたセキュリティの計画を持つシステムの割合、パスワードの方針が求めるとおりに設定されたシステムの割合 |
| 有効性 |
実装の過程と管理策がどれだけうまく働き、望む結果を出しているか |
|
| 効率 |
管理策が、どれだけ早く役に立つ情報を返し、問題がどれだけ早く扱われるか |
|
| 影響 |
セキュリティが組織の使命と目標に与える影響。費用の削減、セキュリティの事象への対応にかかった費用、規制の罰金、信頼など。経営層が求めることが多く、セキュリティの価値を最も直接に示しうるとしている |
組織の予算のうち、情報セキュリティの管理策に充てる割合 |
有効性と効率を合わせて、プログラムの成果（Program Results）と呼ぶことが多いとしています。
よい指標の条件
SP 800-55 Vol. 1 は、意味のある指標の特徴として、値が客観的・正確・精密で、決まった基準や時点に結び付き、再現でき、前の測定と比べられることを挙げています。また、指標を時間をかけて一貫して続けることで、長い期間の傾向と、普通の範囲が分かるとしています。
測定を組織の仕組みとして続ける方法（測定のプログラムの作り方）は、第2巻（SP 800-55 Vol. 2、2024年12月）が扱っています。
違い・誤解しやすい点
- 「集めやすい数字を並べればよい」：SP 800-55 Vol. 1 は、選び方の悪い数値の指標は、報告の質を下げ、信頼を損ないうるとしています。その数値が、有効な管理策の働きを直接示すか、組織の目標にとって重要なリスクを追うものかを考え、そうでなければ外すのがよいとし、少なくとも初めのうちは「少ないほどよい」ことが多いとしています
- 「数値が良ければ安全」：数値は、決めた目標や基準に照らして初めて意味を持ちます（SP 800-55 Vol. 1 の指標の定義から導いた筆者の整理）。同じ文書は、報告に含めうるものとして、測定値が示すリスク、それが組織のリスク選好（risk appetite。進んで受け入れるリスクの大きさ）に収まるか、どんな優先付け・対応・判断が要るかなどを挙げています
- 測定値と指標の違い：測定値は集めたデータ、指標は目標に照らして判断に使うものです（上の表）
関連するページ
出典
確認日：2026年10月18日
最終更新：2026年10月18日 18:18
