2019年4⽉ 初版 JCIC作成【別紙】サイバーセキュリティに関するKPIの例
管理番号

⼤項⽬

1.1.1

セキュリティ部⾨

2

1.1.2の施策

3

1.1.3

14

1.1.4

5

1.2.1

中項⽬
情報資産棚卸進捗率

法規制やガイドラインの準拠率

⼩項⽬
ハードウェア資産棚卸進捗率

KPIの⽬安95%以上

対象組織
成熟度「低」（初期段階）

分類

KPI算出⽅法

⽬的／期待する効果

参考情報

組織・プロセス

棚卸を実施した情報資産数 ÷ 対象とする情報資

脆弱性対応などが短時間で可能となり、リスクを 棚卸⽅法には「各部⾨からの申告ベース」と「IT資産管理ツールによる⾃動収集」の2産数軽減できる

ソフトウェア資産棚卸進捗率

95%以上

成熟度「低」（初期段階）

組織・プロセスモバイル機器棚卸進捗率

95%以上

成熟度「低」（初期段階）

組織・プロセス

利⽤しているクラウドサービス棚卸進捗率

90%以上

成熟度「中」（改善段階）

組織・プロセス

法規制準拠率100%

成熟度「低」（初期段階）

法令順守現在の実績値 ÷ 計画値

URL

種類がある。

対外的な説明責任を果たし、⾏政指導や罰⾦のリ ⽇本のサイバーセキュリティや個⼈情報保護に関わる主な法制度には、「サイバーセJCIC「諸外国のサイバーセキュリティ・個⼈情報保護に関する法制度」

スクを軽減する

https://www.j-cic.com/column/Cybersecurity-Privacy-Law.html

キュリティ基本法」、「個⼈情報保護法」、「割賦販売法」、「不正アクセス禁⽌法」、「不正競争防⽌法」、「電⼦署名法」、「著作権法」、「刑法」、「迷惑メール防⽌法」などがある。
国内のガイドラインには「サイバーセキュリティ経営ガイドライン」、「個⼈情報の保護に関するガイドライン」などがあり、海外では「NIST Cyber SecurityFramework」、「情報セキュリティマネジメントシステム（ISMS）」、「SANS 20
Critical Controls」などがある。

6

1.2.2

個⼈情報の匿名化、⾮保持化の進捗率

100%

成熟度「中」（改善段階）

法令順守

現在の実績値 ÷ 計画値対外的な説明責任を果たし、⾏政指導や罰⾦のリ 各国のプライバシー法規制に準じ、個⼈情報の匿名化、⾮保持化などの対応が必要とスクを軽減するなる。また、クレジットカード情報を保有している場合、「割賦販売法」や「PCIDSS」に準じたクレジットカード情報の匿名化、⾮保持化が必要となる。

7

1.3.1

監督官庁の指摘事項対応完了率

監督官庁の指摘事項対応完了率

100%

成熟度「低」（初期段階）

法令順守

対応完了数 ÷ 指摘事項数

監督官庁への説明責任を果たし、ビジネス影響を 特に、重要インフラ事業者に関しては、監督官庁と内閣サイバーセキュリティセン

8

1.4.1

セキュリティ部⾨⼈員数

セキュリティ部⾨⼈員数

対IT⼈員の5%以上

成熟度「中」（改善段階）

組織・プロセスセキュリティ⼈員 ÷ IT⼈員

スキルを有する⼈員を確保し、施策実⾏を確実に 【カーネギーメロン⼤学の調査（年商60億円以上、4ヵ国の555組織が対象）】

セキュリティ⼈員 ÷ 全社員数

する

回避

対全社員数の0.25%以上

ター（NISC）の両⽅の指摘事項に対応することに留意すること。

- IT部⾨社員数の割合に対するセキュリティ社員は「平均5.2％」

Carnegie Mellon University Software Engineering Institute「Structuring
the Chief Information Security Oﬃcer Organization」【韓国の電⼦⾦融監督規定では、韓国⾦融委員会（FSC）が⾦融機関が最低限守るべき https://resources.sei.cmu.edu/asset_files/TechnicalNote/2015_004_00
数値を規定】

1_446198.pdf- 全社員数に対するセキュリティ社員は「0.25％以上」（従業員1万⼈の場合、25⼈以 韓国電⼦⾦融監督規定 http://www.law.go.kr/행정규칙/전자금융감독규정

9

1.4.2

資格取得者数

⾃社の現状に合わせて設定

成熟度「中」（改善段階）

組織・プロセス

資格取得者数上を確保しなければならない）（韓国語）,- IT担当者に対するセキュリティ担当者数は「5%以上」

https://www.fsc.go.kr/downManager?bbsid=BBS0085&no=115218

情報処理安全確保⽀援⼠、CISSP（セキュリティプロフェッショナル認定資格制度）（英語抄訳版）などがある。
10

1.5.1

セキュリティ予算

対IT予算⽐率

対IT予算の7%以上

成熟度「中」（改善段階）

組織・プロセスセキュリティ予算 ÷ IT予算

適切な予算を確保し、施策実⾏を確実にする【カーネギーメロン⼤学の調査（年商60億円以上、4ヵ国の555組織が対象）】- IT予算に対するセキュリティ予算は「平均5.1％」【韓国の電⼦⾦融監督規定では、韓国⾦融委員会（FSC）が⾦融機関が最低限守るべき

11

1.5.2

予算消化率95%以上

成熟度「中」（改善段階）

組織・プロセス

数値を規定】

使⽤額 ÷ 予算額

- ITセキュリティ予算は、IT予算総額のうち「7%以上」（⼈件費、福利厚⽣費、研修費⽤、システム購⼊費⽤、保守費⽤等が対象）

12

1.6.1

13

1.6.2

14

1.7.1

新規システム開発の評価回数、合格率

新規システム開発の評価回数

⾃社の現状に合わせて設定

成熟度「中」（改善段階）

組織・プロセス

システム評価回数

新規システム開発の評価合格率90%以上

成熟度「中」（改善段階）

組織・プロセス

合格数 ÷ システム評価回数

ベンチマーク評価

ベンチマーク評価

⾃社の現状に合わせて設定

成熟度「中」（改善段階）

評価・アセスメント

ベンチマーク評価結果

セキュアなシステム構築が可能となる

NIST SP 800-64「システム開発ライフサイクルにおけるセキュリティの考慮事項」な NIST「システム開発ライフサイクルにおけるセキュリティの考慮事項（SPどを参照

800-64）」https://csrc.nist.gov/publications/detail/sp/800-64/rev-

⾃社の弱いポイントを客観的に把握でき、対策を 国内のベンチマークツールには「IPA 情報セキュリティ対策ベンチマーク」、「NIRセ IPA「情報セキュリティ対策ベンチマーク」
具体化できるキュア Secure SketCH」などがあり、海外では「NIST Cyber Security

https://www.ipa.go.jp/security/benchmark/Framework」、「FFIEC CAT（⾦融機関向け）」などがある。

NIRセキュア「Secure SketCH」https://www.secure-sketch.com/
ISF「The ISF Benchmark」https://www.securityforum.org/tool/the-isfbenchmark-and-benchmark-as-a-service/
FFIEC 「Cybersecurity Assessment Tool（CAT）」
https://www.ffiec.gov/cyberassessmenttool.htm

15

1.8.1

アセスメント結果

⾃社のアセスメント結果

成熟度「中」（改善段階）

評価・アセスメント

アセスメント・監査結果

⾃社の弱いポイントを客観的に把握でき、対策を アセスメントや監査の⽅法には「インタビュー、質問表形式」と「⾃動化ツール」の2具体化できる

16

1.8.2

⼦会社や海外現地法⼈のアセスメント結果

成熟度「⾼」（最適化段階）

評価・アセスメント

アセスメント・監査結果

ガバナンスを効かせにくいグループ⼦会社や海外種類がある。⾃動化ツールには、「BitSight」、「SecurityScorecard」、「Cyence」、「PivotPoint Risk Analytics」などがある。

現地法⼈の弱いポイントを客観的に把握でき、対策を具体化できる
17

1.9.1

全社ポリシー準拠率

成熟度「中」（改善段階）

組織・プロセス18

1.9.2

監視システム導⼊率

成熟度「中」（改善段階）

組織・プロセス19

1.10.1

経営層向けサイバー演習実施回数

成熟度「⾼」（最適化段階）

教育・トレーニング

20

組織内のインシデント対応チーム「CSIRT（シーサート）」を中⼼にサイバー演習の

JPCERT/CC「CSIRTマテリアル」

1.10.2CSIRT向けサイバー演習実施回数

成熟度「中」（改善段階）

教育・トレーニング

企画・実⾏・振り返りを⾏う。公的機関などが提供する集合型のサイバー演習、⾃組

http://www.jpcert.or.jp/csirt_material/

21

1.10.3

グループ会社向けサイバー演習実施回数

成熟度「中」（改善段階）

教育・トレーニング

織内で⾏う独⾃のサイバー演習の2種類がある。

22

1.11.1

インシデント発⾒までの平均時間

成熟度「⾼」（最適化段階）

組織・プロセス

不正侵⼊から検知までの平均時間

潜伏期間を短くすることで被害を軽減

23

1.11.2インシデント対応完了平均時間・⼯数

成熟度「⾼」（最適化段階）

組織・プロセス

検知から封じ込めまでの平均時間短時間に封じ込めすることで、被害を最⼩限にす MTTC: Mean Time To Contain（情報漏えいを⾷い⽌めるまでにかかった時間の平海外現地法⼈のガバナンス構築進捗率

現在の実績値 ÷ 計画値

組織全体のセキュリティレベル向上に繋がる本社で策定したポリシーに従い、海外現地法⼈に対するガバナンス体制構築を実施。
JCICのインタビューの中では、「中央集権的にするのか、現地にある程度の裁量を持サイバー演習実施回数

インシデント対応完了たせるのかを最初に決めることが重要」、「3か⽉ごとなど定期的に直接コミュニケーションを取ることが重要」という声があった。
現在の実績値 ÷ 計画値

サイバー攻撃を受けた後の被害を最⼩限にする

MTTI: Mean Time To Idendify（情報漏えいが発⽣したことを検出するまでにかかっ Ponemon Institute社/IBM社「2018 Cost of Data Breach Study」
た時間の平均）という⽤語を⽤いることがある

る24

1.12.1

脆弱性対応

脆弱性対応着⼿までの平均時間

成熟度「⾼」（最適化段階）

組織・プロセス

緊急な脆弱性の公開から着⼿までの平均時間

1.12.226

1.13.1

脆弱性対応完了までの平均時間・⼯数
業界内の情報共有体制構築

迅速にインシデント情報を⼊⼿するための業界内体制

業界の現状に合わせて設定

28

1.13.2

組織・プロセス

着⼿から対応完了までの平均時間

緊急度の⾼い脆弱性をすぐに対応することでリス 更なる対策強化のため、脆弱性通報プログラムなどにより、積極的に脆弱性情報を収集する仕組み作りも検討する必要がある。
クを回避

成熟度「⾼」（最適化段階）

業界内の情報共有・連携

現在の実績値 ÷ 計画値

⾃社だけで得られない情報を得ることで対策強化 ⽇本国内では、サイバー情報共有イニシアティブ（J-CSIP）、⽇本シーサート協議

成熟度「⾼」（最適化段階）

業界内の情報共有・連携

現在の実績値 ÷ 計画値

2.1.1

29

2.1.2

30

3.1.1

できる

業界ガイドラインの策定
経営層の巻き込み

経営層打合せ回数

経営層打合せ回数

⾃社システム標準システムポリシー準拠率

ハードニング対応率

⾃社の現状に合わせて設定

成熟度「中」（改善段階）

組織・プロセス

打合せ回数

経営層の理解を促進し、サイバーセキュリティ対 特に、経営戦略改定があった場合、異動や組織変更があった場合などに経営層打合せ

成熟度「⾼」（最適化段階）

組織・プロセス

出席回数

策推進をサポートしてもらえる

成熟度「中」（改善段階）

組織・プロセス

対応完了数 ÷ 対象システム数

会社で定めたセキュリティ対策を実施することに 標準システムポリシーを策定する場合、対象となるシステムを特定することが前提と

31

3.1.2

特権アカウント管理の対応率

95%以上

成熟度「中」（改善段階）

組織・プロセス

3.1.3

BCP策定完了率

95%以上

成熟度「中」（改善段階）

組織・プロセス

33

4.2.1
4.2.2

35

4.3.1

社員教育

セキュリティ教育受講率

標的型メール訓練開封率会、業界毎のISAC（情報共有分析組織）などがある。

95%以上

役員会議・経営会議出席回数

32

34

いて、⾃社システム環境を考慮した評価を⾏う前提。

成熟度「⾼」（最適化段階）構築27均）という⽤語を⽤いることがある。

緊急度の⾼い脆弱性をすぐに着⼿することでリス ⾃社システムに影響のある脆弱性について、脆弱性CVSS共通脆弱性評価システムを⽤ 「CVSS共通脆弱性評価システム」 https://jvndb.jvn.jp/cvss/ja/v3.html
クを軽減

25を実施する。

より、全社的なセキュリティレベルを向上できる なる。定期的に準拠状況を把握する必要がある。

受講率95%以上

成熟度「低」（初期段階）

教育・トレーニング

受講者数 ÷ 教育対象者数

テスト合格率85%以上

成熟度「中」（改善段階）

教育・トレーニング

テスト合格者数 ÷ 受講者数

標的型メール訓練実施回数

⾃社の現状に合わせて設定

成熟度「低」（初期段階）

教育・トレーニング

実施回数

標的型メールに対する意識を向上させ、怪しい添 昨今の標的型メール訓練は、開封率だけを把握するだけでは⼗分ではなく、開封した社員の意識啓発を促進し、全社的なセキュリティ 教育対象者は、全社員を対象にするのか、派遣社員や業務委託者も対象にするのかをレベルを向上できるあらかじめ決める必要がある。また、受講率だけではなく、テストの合格率も把握する必要がある。

364.3.2

再テスト開封率

⾃社の現状に合わせて設定

成熟度「中」（改善段階）

教育・トレーニング

開封者数 ÷ 訓練対象者数

付ファイルなどは開かないこと、開いた場合は適 者に対する再訓練や追加トレーニングなども実施することが重視されている。

37

4.3.3

開封者に対するトレーニング受講率

90%以上

成熟度「中」（改善段階）

教育・トレーニング

受講者数 ÷ 開封者数

切な対処を⾏うことができる

38

5.1.1

取引先・サプライ

外部委託監査進捗率

⾃社の現状に合わせて設定

成熟度「中」（改善段階）

評価・アセスメント

監査実施数 ÷ 監査対象

取引先・サプライチェーンからの情報流出などを 取引先との契約内容に基づき、「インタビュー」、「現地調査」、「質問表形式」な

39

5.1.2

チェーンの監査指摘事項対応率

成熟度「中」（改善段階）

評価・アセスメント

指摘事項完了数 ÷ 指摘事項数防ぐことができる

40

5.2.1

M&A、提携先の評価回数

M&A、提携先の評価回数

成熟度「⾼」（最適化段階）

評価・アセスメント

評価回数

M&A、提携先のセキュリティ評価を⾏うことで、 デューデリジェンス（相⼿先の価値やリスクなどの調査）の⼀環でサイバーセキュリ

41

6.1.1

事故対応⼿順の策定

事故対応⼿順の承認

成熟度「低」（初期段階）

組織・プロセス

現在の実績値 ÷ 計画値

全社展開進捗率

成熟度「中」（改善段階）

組織・プロセス

公表判定基準の策定

公表判定基準の承認

成熟度「中」（改善段階）

組織・プロセス

全社展開進捗率

成熟度「⾼」（最適化段階）

組織・プロセス

新セキュリティシステム導⼊進捗率

新セキュリティシステム導⼊進捗率

成熟度「中」（改善段階）

組織・プロセスプロジェクトレビュー数

成熟度「中」（改善段階）

組織・プロセス

新法規制対応進捗率

成熟度「中」（改善段階）

法令順守

外部委託監査進捗率

ビジネスリスクを軽減できる
42

6.1.2

436.2.1

44

6.2.2

456.3.146

6.3.2

47

6.4.1

プロジェクト

新法規制対応進捗率

計画値に対して遅延がないこと

どの⼿法で監査を定期的に実施することが望ましい。
ティ状況を把握することが望ましい。

プロジェクトを計画通りに進めることで、着実に プロジェクト計画時に、作業スケジュールを詳細化したWBS（Work Breakdown
組織全体のセキュリティレベル向上を図る

Page 1 of 1

https://www.ibm.com/security/data-breach

Structure）を作成し、実績値と計画値を定期的に把握することが必要。