サイバーセキュリティに投じる金額には、保護レベルは反映されません。また、他社がサイバーセキュリティに投じる金額が分かっても、それで自社と他社の保護レベルが比較できるわけでもありません。
リスク／セキュリティ対策を金額で表したもの (「リスクは500万ドル相当か、5,000万ドル相当か」など) の大半は、信頼性も防御性もありません。また、信頼性がある場合でも、セキュリティにおける優先事項や投資に関する日々の意思決定をサポートするものではありません。
サイバーセキュリティの優先事項と投資に関する効果的なガバナンスを実現するには、評価指標 (ODM: Outcome-Driven Metrics)を使用すべきです。ODMは、脅威タイプごとに投資を測定／報告したり、投資に影響を及ぼしたりするものではありません。ランサムウェア、攻撃、ハッキングに対処するために、支出を調整することはできません。むしろ、そうした脅威に対処するためのコントロールに合わせて投資を調整すべきです。
例えば、組織はランサムウェア攻撃を受けるかどうかをコントロールすることはできませんが、バックアップ／リストア、事業継続、フィッシング詐欺トレーニングという3つの重要なコントロールに合わせて投資を調整することは可能です。これら3つのコントロールに関するODMは、組織がランサムウェアからどの程度保護されているか、またそのレベルの保護にどの程度のコストがかかるかというビジネス・ベースの分析を反映したものです。ビジネス・ベースの分析により、取締役会やその他の上級リーダーに説得力のあるストーリーを伝えることができます。
コントロールでは、組織を保護するために所有／管理／配備している人、プロセス、テクノロジを組み合わせることがあります。各コントロールについて、コスト (投資)、価値 (メリット)、管理されているリスクのレベルを評価するために、コスト最適化のアプローチを取り入れるべきです。一般的に、保護レベルが高いほど (リスクが低いほど) 高額になります。