30 秒でわかる答え経営が見るべきなのは、攻撃の件数よりも「気づく速さ」「直す速さ」「戻す力」です。この 3 つを表す 5 つの指標が毎月そろえば、セキュリティへの投資の判断がぶれなくなります。
被害の大きさは、気づくまでの時間で決まります
IBM の 2025 年の調査では、情報漏えい 1 件あたりの平均損害は 444 万ドルでした。発見から封じ込めまでには平均 241 日かかり、そのうち 181 日は、気づくまでの時間です。
攻撃を完全に防ぎ切ることより、早く気づき、早く止め、早く戻すこと。経営の指標も、この速さを測るものにします。
444万ドル情報漏えい 1 件あたりの平均損害（世界）
241日発見から封じ込めまでの平均日数。うち 181 日が気づくまで
出典：IBM「Cost of a Data Breach Report 2025」
ランサムウェアは、高い水準が続いています
警察庁によると、国内のランサムウェアの被害報告は 2025 年に 226 件で、最も多かった 2022 年の 230 件に次ぐ水準でした。
自社の守りに加えて、取引先の守りも、事業を続ける力に直結します。
出典：警察庁
経営の報告に置く 5 つの指標
次の 5 つを、毎月同じ形で報告してもらいます。どれも、担当者が手元のデータから出せるものです。
| 指標 | 表すもの | 目安の置き方 |
|---|---|---|
| 機器とソフトの把握率 | 守る対象が見えているか | 100% を目指し、把握できていない数を追う |
| KEV に載った脆弱性を直すまでの日数 | 直す速さ | 期限を決め、守れた割合を見る |
| 重要なアカウントの多要素認証の割合 | 入口の固さ | 管理者と役員は 100% に |
| 異常に気づくまでの時間 | 気づく速さ | 訓練と実際の件の両方で測る |
| バックアップから戻せると確かめた日 | 戻す力 | 年に一度以上、実際に戻して確かめる |
件数より、推移を見ます
ブロックした攻撃の件数は、増えても減っても、判断の材料にはなりにくい数字です。見るべきなのは、5 つの指標が先月より良くなったかどうかです。
動きの悪い指標があれば、人・予算・手順のどこに手を打つかを決めます。それが、経営が下すセキュリティの判断です。
確かめる 3 つの問い
- 守るべき機器とソフトウェアを、すべて把握できていますか
- バックアップから実際に戻せることを、最後に確かめたのはいつですか
- セキュリティの報告は、毎月同じ指標で届いていますか
