Moshiru
会社情報記事一覧無料スキャン

会社のセキュリティ教科書　第12部 12-5

セキュリティプログラムとは｜予算・人・指標（KPI・KRI）で運営する方法

公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • セキュリティの担当者を置き、予算と指標で運営したいとき
  • 社長に「今年のセキュリティにいくら使い、何が良くなったか」を数字で報告したいとき
  • CISMのプログラム分野（KPI・KRI、指標の種類）を、会社の例で覚えたいとき

読み終えたあと、社内でこう言えます

「兼務の担当1人で回す年間計画と、指標の案をまとめました」

結論：セキュリティプログラムとは、方針を実行に移すために、予算・人・計画・指標をまとめて回し続ける取り組みです。一度きりの導入で終わる「プロジェクト」とは違い、毎年続きます。中小企業なら、兼務の担当者1人、外部の専門家、年間計画、指標5つ前後から始められます。指標は、進み具合を測るKPIと、危なさを測るKRIを分けて持ちます。

セキュリティプログラムは、人・予算・計画・指標の4つを年間のサイクルで回す取り組み

セキュリティプログラムとは？戦略・方針との関係

前の節セキュリティガバナンス（12-4）では、経営者が方向を決める仕組みを扱いました。プログラムは、その方向に向けて現場を動かし続ける仕組みです。似た言葉と並べると、違いが分かります。

言葉中身例
戦略何を目指し、何に力を入れるか3年で、取引先の要請に全部「はい」と答えられる会社にする
方針・規程守るべきルール基本方針、パスワードの規程
プログラム人・予算・計画・指標をまとめた、続く取り組み年間計画と担当、毎月の点検、四半期の報告
プロジェクト期限と成果物のある、一度きりの仕事今年度中に全社員のパスキーを登録する

米国に本部を置く専門家団体ISACAの資格CISM（公認情報セキュリティマネージャー）では、試験の3分の1（33%）がこのプログラムの分野です。人や道具の確保、資産の分類、規程、指標、管理策の選定、教育、委託先の管理、報告までを含みます。

担当者は誰にする？兼務・専任・外部の分け方

情報処理推進機構（IPA）の「2024年度 中小企業における情報セキュリティ対策に関する実態調査」（2025年5月）では、担当者を置くなど体制を整えた企業ほど、取引先の要請に応じたことが取引につながったと答えた割合が約2倍でした。まず、担当を決めることに意味があります。

形向いている会社注意点
兼務の担当者社員10〜50人。総務や経理が兼ねる本業の繁忙期に止まる。時間を週何時間と決めて確保する
専任の担当者社員100人前後、取引先の要請が多い会社1人に集中しすぎる。休みや退職に備えて手順を文書にする
外部の専門家専門的な判断や診断が必要なとき判断の責任は自社に残る。頼む範囲を文書で決める

経済産業省とIPAの「サイバーセキュリティ体制構築・人材確保の手引き」第2版（2022年6月）は、経営層を補佐する「セキュリティ統括機能」を勧めています。部署でも委員会でも、1人でもよいとされています。あわせて、事業部門や管理部門の人が自分の仕事に必要なセキュリティを身につける「プラス・セキュリティ」も挙げています。担当者の決め方はセキュリティ担当者の置き方にもまとめています。

たとえば社員25人の運送会社では（架空の例）

配車と経理を兼ねる事務員が、週4時間をセキュリティに充てるとします。社長は次のように分担を決めます。

  1. 事務員（担当者）：アカウントの追加と削除、更新の確認、点検表の記入、社員からの相談の窓口。
  2. 総務部長（責任者）：年間計画をつくり、四半期に1回、社長に報告する。
  3. 外部の専門家：年1回の点検と、事故のときの支援。範囲と費用を契約で決める。

セキュリティ予算はどう決める？

同じIPAの調査では、全体の約7割が直近3期の情報セキュリティ対策投資について「投資していない」か「わからない」と答えました。投資していない理由は「必要性を感じていない」が約44%、「費用対効果が見えない」と「コストがかかりすぎる」を合わせて45%超です。予算は、次の順で組むと説明しやすくなります。

  1. 今の支出を洗い出す：ウイルス対策やクラウドのライセンス、保守、バックアップ、保険、研修。ばらばらの支出を1枚に集める。
  2. 3つに分ける：今の守りを保つ「維持」、弱い所を直す「改善」、事故に備える「備え」。
  3. 改善はリスクの順に並べる：リスクアセスメント（5-3）で大きいと分かった所から、費用をつける。
  4. 対策しない場合の損失と並べる：「出荷が3日止まったときの売上」など、社長が判断できる形にする。
  5. 年度の途中で見直す：取引先の要請や事故で優先順位が変わったら、四半期の報告で組み替える。

売上の何%をセキュリティに使うべきか、という公的な目安はありません。金額より、何のための支出かを説明できることが大切です。国や自治体の補助を使える場合もあります。2026年度の制度はセキュリティ対策の補助金にまとめています。

KPIとKRIの違いは？セキュリティ指標の例

米国立標準技術研究所（NIST）のSP 800-55 第1巻（2024年12月）は、KPI（重要業績評価指標）を「意図した結果に向けた進み具合の指標」、KRI（重要リスク指標）を「リスクを測る指標」と定義しています。

項目KPIKRI
測るもの対策がどこまで進んだかどれだけ危ない状態か
数字の向き上がるほどよいことが多い上がると危険を知らせる
例多要素認証の設定率、研修の受講率更新が30日以上遅れた端末の数、退職者のアカウントの残り数
使い方目標値と比べて進み具合を報告しきい値を超えたら経営に知らせる

経産省の「サイバーセキュリティ経営ガイドライン Ver3.0」（2023年3月）も、KPIの例として次の5つを挙げています。対策をしなかった場合の被害額、セキュリティが原因のサービス中断時間、研修の受講率、要員のスキルの自己評価、セキュリティ成熟度の自己評価です。

指標の4つの種類

NIST SP 800-55 第1巻は、測るものを4種類に分けています。始めは「実施」の指標から入り、慣れたら効果や影響へ広げる流れです。

種類何を見るか中小企業の例
実施（Implementation）対策が入っているか更新が最新のパソコンの割合
有効性（Effectiveness）対策が狙いどおり効いているか訓練メールで不審と報告した社員の割合
効率（Efficiency）どれだけ速く手が打てるか退職から、アカウント停止までの日数
影響（Impact）事業にとっての価値や損失事故の対応にかかった費用、予算に占める割合

指標は少ないほうが続きます。KPIを3つ、KRIを2つくらいから始め、同じ測り方で四半期ごとに並べると、良くなったか悪くなったかが見えます。

年間の運営サイクル：月・四半期・年でやること

プログラムは、決まった時期に決まったことをする形にすると止まりにくくなります。次の表は、兼務の担当者でも回せる組み方の例です。

周期やること担当
毎月更新の確認、アカウントの棚卸し、点検表の記入、指標の記録担当者
四半期指標と事故の報告、計画の組み替え、取引先の要請の確認責任者→社長
半年訓練メール、バックアップから戻す試験担当者＋外部
年1回リスクの見直し、規程の改定、全社員の研修、翌年度の予算責任者＋社長

毎月の点検は月1回のセルフチェック（7-9）、規程の見直し方はPDCAで規程を見直す（6-11）、研修の組み方は社員教育と標的型メール訓練（7-10）で扱います。

チェックシートではこう聞かれる

よくある設問答え方の例
情報セキュリティの担当者（または部署）を定めていますか。はい。総務部の担当者1名を兼務で任命し、責任者は管理部長です。
対策の実施状況を定期的に確認し、経営層に報告していますか。はい。毎月点検表で確認し、四半期に1回、指標とあわせて代表者に報告しています。
従業員への情報セキュリティ教育を実施し、記録していますか。はい。年1回全員に研修を行い、受講者の一覧を保管しています。
情報セキュリティの年間計画はありますか。いいえ。現在は点検を毎月行っていますが、〇月までに年間計画として文書にします。

「定期的に」と聞かれたら、頻度と記録の名前を書くと根拠が伝わります。

試験ではここが問われる

CISM 3・CISSP 1

  • KPIとKRIの区別：KPIは目標に向けた進み具合、KRIはリスクの大きさ。しきい値を超えたら上に知らせるのはKRIの使い方です。
  • 先行指標と遅行指標：先行指標は事故の前に起きる兆し（更新の遅れなど）、遅行指標は結果（事故の件数など）を測ります。
  • 指標の4種類（NIST SP 800-55）：実施・有効性・効率・影響。経営層が最も知りたいのは事業への影響です。
  • プログラムは戦略に合わせる：CISMでは、プログラムを戦略と事業の目標に整合させ、経営層の支持を得ることが重視されます。
  • ビジネスケース：投資の理由を、費用・効果・リスクの低減で説明する文書です。予算の確保で問われます。

確認問題

問1 次のうち、KRI（重要リスク指標）として最も適切なものはどれですか。

  1. ア 今年度の研修の受講率
  2. イ 多要素認証の設定を終えた社員の割合
  3. ウ 更新が30日以上遅れているパソコンの台数
  4. エ 年間計画のうち完了した項目の割合
答えと解説
正解：ウ　更新の遅れは、攻撃を受けやすい状態の大きさを示すので、リスクを測る指標です。ア・イ・エは、対策の進み具合を測るKPIの例です。

問2 社員35人の印刷会社（架空）で、担当者が「全社員に訓練メールを送り、不審と報告した人の割合」を四半期ごとに測っています。NIST SP 800-55の4種類のうち、この指標に最も近いものはどれですか。

  1. ア 実施の指標
  2. イ 有効性の指標
  3. ウ 効率の指標
  4. エ 影響の指標
答えと解説
正解：イ　研修という対策が、狙いどおり社員の行動に効いているかを見ているので、有効性の指標です。研修をしたかどうかなら実施、報告までの速さなら効率、損失の金額なら影響に当たります。

問3 セキュリティの「プログラム」と「プロジェクト」の違いとして、最も適切なものはどれですか。

  1. ア プログラムは製品の名前で、プロジェクトは作業の名前である
  2. イ プログラムは続く取り組みで、プロジェクトは期限と成果物のある一度きりの仕事である
  3. ウ プログラムは経営者だけが行い、プロジェクトは外部だけが行う
  4. エ 両者は同じ意味で、区別する必要はない
答えと解説
正解：イ　プログラムは人・予算・計画・指標をまとめて続ける取り組みで、その中に期限つきのプロジェクトがいくつも入ります。ア・ウ・エは、どちらの定義にも当てはまりません。

よくある質問

セキュリティの担当者は専任でないといけませんか？
いいえ、兼務でも構いません。大事なのは、任命されていて、使える時間が決まっていることです。IPA の調査でも、兼務で任命されている場合を含めて「体制がある」企業として分析しています。
セキュリティ予算は、売上の何%が目安ですか？
公的に決まった目安はありません。業種や取引先の要求で、必要な額は大きく変わります。今の支出を集め、リスクの大きい順に必要な対策をつけ、対策しない場合の損失と並べて決める方法が説明しやすいです。
指標は、最初に何から測ればよいですか？
まずは、すでに数えられるものから測ります。たとえば、多要素認証の設定率、更新が遅れた端末の数、退職者アカウントの残り数です。同じ測り方を続けることが、数を増やすことより大切です。

この記事のまとめ

社長への報告に使う指標を、一人で抱えずに決める

Moshiruは、打合せなしでテキストだけでお受けします。今の体制と支出を文面で伺い、年間の点検の組み方や、社長への報告に使う指標の候補をまとめてお返しします。ご希望の内容をメニューから選ぶか、そのままお書きください。

サービスと料金を見る打合せなし・テキストで完結メニューにないことを頼む文面で合意するまで料金はかかりません

参考にした資料

  1. NIST「SP 800-55 Vol. 1 Measurement Guide for Information Security: Identifying and Selecting Measures」（2024年12月）
  2. 経済産業省・IPA「サイバーセキュリティ経営ガイドライン Ver3.0」（2023年3月）
  3. 経済産業省・IPA「サイバーセキュリティ体制構築・人材確保の手引き」第2版（2022年6月）
  4. IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書（概要説明資料）」（2025年5月）
  5. IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月）
  6. ISACA「CISM Exam Content Outline」（2026年10月閲覧）