セキュリティKPIの選択と追跡方法

主要業績評価指標（KPI）はあらゆるセキュリティプログラムに不可欠であり、ほとんどのセキュリティリーダーはすでにそれを認識しています。それでも実際には、どのサイバーセキュリティKPIがSOCダッシュボードに本当に必要で、どれがノイズを追加するだけなのかについて混乱が残っています。セキュリティプログラムの堅牢性を測定・改善するために追跡する必要があり、適切なKPIを選択する方法について説明します。

ここでは、組織に適切なKPIを選択・追跡する方法についていくつかのアイデアを提案します。

セキュリティKPIとセキュリティメトリクス：同じものですか？

まず、いくつかの明確化が必要です。

セキュリティKPIとセキュリティメトリクスという用語はしばしば同じ意味で使用されていますが、その意味には微妙な違いがあります。メトリクスは主にセキュリティの戦術と結果の日々の測定に関連する「定量的測定」ですが、KPIは長期的なセキュリティ戦略と最終的な目標に結びついた測定可能な指標です。選択したセキュリティKPIは重要な戦略的決定を推進するため、セキュリティプログラムの信頼性はそれにかかっています。

セキュリティメトリクスは、この2つの中でより広い概念です。セキュリティKPIは、他のセキュリティメトリクスよりも組織にとってより重要な意味を持つセキュリティメトリクスに過ぎません。

セキュリティとは、サイバーセキュリティと情報セキュリティの両方を意味するため、「セキュリティKPI」「サイバーセキュリティKPI」「サイバーセキュリティKPI」が同じ意味で使用されます（やや緩く、という人もいるかもしれません）。同じことが「セキュリティメトリクス」と「サイバーセキュリティメトリクス」にも当てはまります。

セキュリティKPIの選択方法

品質

サイバーセキュリティKPIを選択する場合、品質は常に数量を上回るべきです。この場合、品質は有効性と同義です。

効果的なセキュリティKPIは以下の条件を満たす必要があります。

• シンプル
• 測定可能
• 実行可能
• 関連性がある
• 時間ベース

数量

多くのKPIを追跡すると、意思決定者は情報過多の状態に陥る可能性があります。

その落とし穴に陥らずに監視すべきKPIを決定するには、2つの簡単な質問をしてください。

• このKPIは組織に意味のある変化をもたらすでしょうか？
• セキュリティプログラムの予期しない欠点に対処したり、その適用性を高めたりするために適応させることができますか？

セキュリティオペレーションで測定されるセキュリティKPI

以下は、セキュリティオペレーションセンター（SOC）が通常測定する重要なサイバーセキュリティメトリクス、つまりKPIの厳選されたリストです。さらに、このリストには、サイバーセキュリティメトリクスが貴社に適切なKPIであるかどうかを検討する際に回答する必要がある重要な質問が含まれています。

SIEMがセキュリティKPIの追跡にどのように役立つか

SIEMは、これらのKPIをリアルタイムデータで追跡するためのダッシュボードを提供し、事後的に手動で組み立てる必要がなくなります。Sumo Logicの顧客ベース全体では、SIEMは1日に11億件以上のイベントを処理し、それらを配置レベルでおよそ10,000件のアラートに絞り込みます。ここで、コンテキスト検証と誤検知チューニングが行われ、その後、相関分析を適用して、さらに約10件の実用的なアラートに絞り込みます。KPIダッシュボードがなければ、SOCは他の10億件以上のイベントに何が起きたかを誰かに示す方法がありません。

また、当社のSOC Analyst Agentを使用すれば、別のアラートを表示する代わりに、ほとんどのSOCが最も時間を失うステップでMTTRを削減することを目的とした特定の対応アクションを推奨します。

最後に

すべての組織に適した正しいセキュリティKPIのセットが存在することはありません。各企業の目標と目的は必ず異なり、組織のKPIは常にその個別の優先事項と状況を反映すべきです。言い換えれば、貴社のセキュリティKPIは、貴社の環境と目標の関数であるべきです。

SIEMがこれをどのように合理化するのかをご確認ください。デモをリクエストしましょう。