はじめに
「うちの会社が攻撃される確率なんて、測定できるわけない」
そう思ったことはないでしょうか。あるいは、リスク評価を行う際に「高・中・低」の3段階で仕分けする、あのヒートマップを何となく使っていませんか。
本書 How to Measure Anything in Cybersecurity Risk 第2版（著：Douglas W. Hubbard、Richard Seiersen）は、まさにその「測定できない」という思い込みと、業界全体に蔓延するリスクマトリックス依存に真っ向から挑む一冊です。
本記事では、全12章＋付録の内容を1本にまとめた書評としてお届けします。
なぜ今、この本なのか
サイバー脅威の深刻化
1年間で10億件の記録が侵害され、4,000億ドルの経済的損失。2021年に漏洩した記録は2014年比で22倍。こうした数字が示すように、脅威は年々加速しています。
保険業界はこれをすでに織り込んでいます。2017〜2021年の4年間でサイバー保険の保険金支払い総額は3倍以上に増加し、ロイズ・オブ・ロンドンは国家支援型サイバー攻撃に対する保険販売の停止を勧告しました。保険会社が「引き受けられない」と判断したリスクは、そのままあなたの組織が負うことになります。
現在の手法は「機能していない」
著者たちは明言しています——「現在のスコアリング手法とリスクマトリックスは失敗であり、機能しない」と。
Hubbard Decision Researchの調査によると、サイバーセキュリティ組織の約80%が何らかのスコアリング手法を用いており、50%以上がリスクマトリックスを使用しています。しかし、それらが判断精度を向上させるというエビデンスは存在しません。むしろ、ノイズと誤差を加えるという研究結果もあります。
第I部：測定とは何か、なぜ測定できるのか
第1章：サイバーセキュリティに最も必要なパッチ
冒頭の章で本書は「パッチ」というメタファーを使います。技術的な脆弱性にパッチを当てるように、リスク評価手法そのものにパッチが必要だという主張です。
攻撃対象領域（Attack Surface）はインターネットユーザー数の増加、IoT普及、脆弱性数の増大、組織間の相互依存深化という4つのマクロ要因によって拡大し続けています。
第2章：測定入門——「測定できない」という誤解を解く
本書の核心的な定義がここにあります。
測定とは、1つ以上の観察に基づいて定量的に表現された不確実性の削減である。
測定は「正確な値を出すこと」ではありません。不確実性を減らすことです。この定義を受け入れると、測定できないと思っていたものの多くが測定可能になります。
本章では3つの誤解が整理されます。
- 概念の誤解：測定＝完全な精度、という思い込み
- 対象の誤解：何を測定するかが不明確
- 方法の誤解：測定手法を知らない
また、「5のルール」という強力な洞察も登場します。母集団からランダムに5つのサンプルを取った場合、その最小値と最大値の間に母集団の中央値が含まれる確率は**93.75%**です。小さなサンプルでも、想像以上に多くのことがわかります。
第3章：シンプルな定量的リスクモデルから始める
複雑な数理モデルに尻込みする必要はありません。本章はとにかく「まず始める」ことを重視します。
損失を年間確率 × 損失額の期待値で表すモンテカルロシミュレーションの入門的なアプローチが紹介されます。Excelで実装できる程度のシンプルさでも、リスクマトリックスより測定精度が高い、というのが著者たちの主張です。
第4章：最も重要な測定基準
何でもかんでも測定する必要はありません。情報の経済的価値（Value of Information） という概念を使い、「どの不確実性を減らすことが最も意思決定に影響するか」を先に計算します。測定のコストが情報の価値を超えるなら、測定しなくてよいのです。
第5章：リスクマトリックスの問題点
本章は本書のなかで最も辛辣です。リスクマトリックスに対する批判が、研究を引用しながら丁寧に展開されます。
- 同じリスクをアナリストが評価すると、結果が一致しない（ノイズ）
- 発生確率と影響度を掛け算することに数学的根拠がない
- 「高・中・低」の分類が意思決定の差別化を妨げる
Tony Cox氏の研究が示す「ランダムより悪いかもしれない」という結論は衝撃的です。
第II部：精度を上げる——ベイズと推定技術
第6章：分解する——詳細を解き明かす
「評判へのダメージ」「事業の混乱」といった曖昧な概念は、観察可能な要素に分解することで測定可能になります。損失イベントツリー（Loss Event Tree）を使って、あいまいなリスクを具体的な確率×金額のノードに落とし込みます。
第7章：較正済み推定値——今どのくらいわかっているか
「確率を主観で決めていいのか？」という疑問に答える章です。
答えは「Yes、ただし校正（キャリブレーション）が必要」です。人間は確率の見積もりが系統的にずれる傾向があります（過信バイアスなど）。本章では、訓練によって確率の見積もり精度を向上させる方法が紹介されます。
90%信頼区間を正しく設定できるよう練習する「較正トレーニング」は、特に印象的な手法です。
第8章：ベイズ法による不確実性の低減
ベイズの定理そのものの解説章です。難解に聞こえますが、本書の説明は実務ベース。
「6年間で重大な侵害が0件だった組織が来年侵害される確率は？」——ラプラスの継承則を使えば、情報がほぼなくても12.5% という初期推定が導けます。あとはそこに外部データ（業界のベースライン）を加えてアップデートしていきます。
$$
P(\text{来年侵害あり}) = \frac{1 + 0}{2 + 6} = 12.5%
$$
第9章：ベイズに基づく強力な手法
前章を発展させ、より複雑なリスクシナリオへの適用を扱います。モンテカルロシミュレーションとベイズ更新の組み合わせにより、限られたデータから堅牢なリスク推定が可能になります。Rのコード例も登場し、実装のハードルが下がります。
第III部：組織への展開
第10章：セキュリティメトリクスの成熟に向けて
CISOの視点から、組織としてのリスク測定成熟度を高める方法が議論されます。メトリクスが経営層に伝わるコミュニケーション設計にも踏み込み、「測定できても、伝わらなければ意味がない」というプラグマティックな視点が光ります。
第11章：セキュリティ投資はどの程度機能しているか
Return on Security Investment（ROSI）の定量化が主題です。
投資対効果を「リスク低減額 − セキュリティ投資額」で表現し、どのコントロールが最も費用対効果が高いかを比較します。リスクマトリックスでは不可能だった投資の優先順位付けが、定量的手法によって初めて実現します。
第12章：行動への呼びかけ
本書の締めくくりは、業界全体へのメッセージです。
- 現在の手法を捨てることへの恐れを乗り越えてほしい
- まず簡単なモデルから始めてほしい
- 定量化は完璧でなくていい——今よりマシであればよい
著者たちは「これは理論ではない。自分たちが実際の企業で使ってきた方法だ」と強調します。
まとめ：本書から得られる視点
| 項目 | 従来のアプローチ | 本書が提案するアプローチ |
|---|---|---|
| リスク評価の形式 | 高・中・低のヒートマップ | 確率 × 損失額の期待値 |
| データが少ない場合 | 「測定不可能」として諦める | ラプラスの継承則・ベイズ更新 |
| 不確実性の扱い | 曖昧なまま順序尺度に変換 | 確率分布として明示 |
| 投資判断 | 定性的な優先順位付け | ROSIによる定量比較 |
| 測定の定義 | 正確な値を出すこと | 不確実性を減らすこと |
本書は技術的なセキュリティ書籍ではありません。対象読者は、セキュリティ投資の意思決定に関わるすべての人——CISO、セキュリティアナリスト、経営企画、リスク管理担当者——です。数学的なバックグラウンドは必須ではなく、高校数学と確率の基本があれば十分についていけます。
「ウチのリスクは特殊だから測定できない」と感じている方こそ、ぜひ手に取ってみてください。その直感が、数学的に誤りである可能性を本書は丁寧に示してくれます。
書籍情報
- 原題：How to Measure Anything in Cybersecurity Risk, 2nd Edition
- 著者：Douglas W. Hubbard、Richard Seiersen
-
出版社：Wiley
https://learning.oreilly.com/library/view/how-to-measure/9781119892304/