KRI

KRI（Key Risk Indicators：重要リスク指標）とは、組織が直面するリスクの変化を早期に検知するために設定する定量的な指標です。KRIは、リスクが顕在化する前にその兆候を捉える「早期警戒システム」として機能し、経営層やリスク管理担当者がリスクの増大を適時に把握し、予防的な対応を取ることを可能にします。

KRIはKPI（Key Performance Indicators：重要業績評価指標）と密接に関連しますが、その目的は異なります。KPIが業績目標の達成度を測定するのに対し、KRIはリスクの状態や変化を測定します。例えば、「システム稼働率」がKPIであれば、「未対応の脆弱性数」や「パッチ適用遅延日数」がKRIに該当します。効果的なリスク管理には、KPIとKRIの両方を統合的に監視することが不可欠です。

情報セキュリティの分野では、KRIはサイバーリスクの可視化とリスクベースの意思決定を支援する重要なツールです。適切に設計されたKRIダッシュボードは、セキュリティ投資の優先順位付け、規制対応の状況把握、インシデント対応能力の評価など、多面的なリスク管理活動を支えます。

先行指標と遅行指標

KRIは先行指標（Leading Indicators）と遅行指標（Lagging Indicators）に大別されます。先行指標は、リスクが顕在化する前の兆候を示す予測的な指標であり、リスクの予防に活用されます。例として、「セキュリティ研修未受講者数」「脆弱性スキャン未実施システム数」「特権アカウントの増加率」などがあります。

一方、遅行指標は、すでに発生した事象の結果を示す指標であり、過去の傾向分析や対策の効果測定に使用されます。例として、「インシデント発生件数」「データ漏洩件数」「平均復旧時間（MTTR）」などがあります。効果的なKRIプログラムでは、先行指標と遅行指標をバランスよく組み合わせることが重要です。

KRIの閾値設定

KRIの有効性を高めるためには、適切な閾値（Threshold）の設定が不可欠です。一般的に、3段階の閾値が設定されます。グリーン（正常）はリスクが許容範囲内にある状態、アンバー（警告）はリスクが増大しており注意が必要な状態、レッド（危険）はリスクが許容限度を超え即座の対応が必要な状態を示します。

閾値の設定には、過去のデータ分析、業界ベンチマーク、リスクアペタイト（リスク許容度）の3つの要素を考慮する必要があります。閾値は固定的なものではなく、組織の成熟度、脅威環境の変化、ビジネス要件の変化に応じて定期的に見直すことが求められます。

ダッシュボードによる監視

KRIダッシュボードは、複数のKRIを統合的に可視化し、リスクの状態をリアルタイムに把握するためのツールです。効果的なダッシュボードには、各KRIの現在値と閾値の比較、トレンドグラフ（時系列推移）、閾値超過時のアラート通知、ドリルダウン機能（詳細情報へのアクセス）などの要素が含まれます。

ダッシュボードの設計においては、対象者（経営層、リスク管理者、技術者）に応じて表示内容と粒度を最適化することが重要です。経営層向けには全体のリスクポジションを示すサマリービュー、技術者向けには詳細なメトリクスとアラート情報を提供するなど、多層的な設計が推奨されます。

リスクレポーティングとの連携

KRIは、組織のリスクレポーティングプロセスと緊密に連携して運用されます。定期的なリスク報告書において、KRIの推移と閾値超過の状況、リスクの傾向分析、対応策の実施状況と効果を報告します。KRIデータは、リスク委員会や取締役会での議論の基礎資料として活用され、リスクベースの経営判断を支援します。

また、KRIは規制報告にも活用されます。金融業界では、バーゼル規制やSOX法の要件に基づくリスク報告においてKRIデータが活用されており、KRIの適切な管理は規制コンプライアンスの重要な要素となっています。

情報セキュリティにおける代表的なKRI

• 未対応の重大脆弱性数：CVSS 7.0以上の脆弱性のうち、SLA期限を超過して未修正のもの
• フィッシングメール報告率：従業員が不審メールを報告した割合（セキュリティ意識の指標）
• 特権アクセスの異常利用件数：通常パターンから逸脱した特権アカウントの使用回数
• 平均検知時間（MTTD）：インシデントの発生から検知までの平均所要時間
• サードパーティリスク評価未実施率：定期評価が未実施のベンダーの割合

• 01
  組織のリスクプロファイルに基づいたKRIの選定：業界特性、脅威環境、ビジネス戦略を考慮し、組織にとって最も重要なリスクを反映するKRIを選定してください。KRIの数は10〜15程度に絞り、管理可能な範囲で運用することが重要です。過多なKRIは管理の形骸化を招きます。
• 02
  先行指標を優先的に設定：リスクの予防に寄与する先行指標を遅行指標より多く設定し、プロアクティブなリスク管理を実現してください。先行指標と遅行指標の比率は7:3程度が推奨されます。先行指標の変化をトリガーとした自動対応プロセスの構築も検討してください。
• 03
  閾値の定期的な見直しとキャリブレーション：KRIの閾値は、最低でも半年に1回見直しを行い、脅威環境の変化や組織のリスクアペタイトの変更を反映してください。閾値が常にグリーンのKRIは、閾値が緩すぎる可能性があるため、再評価が必要です。
• 04
  自動データ収集とリアルタイム監視の仕組みを構築：KRIデータの収集を可能な限り自動化し、手動収集によるデータの遅延やエラーを最小化してください。SIEM、脆弱性管理ツール、IT資産管理ツールなどからAPIを通じてデータを自動収集し、リアルタイムのダッシュボードに反映させることが推奨されます。
• 05
  KRIの閾値超過時のエスカレーションプロセスを明確化：各閾値レベル（アンバー・レッド）に対して、報告先、対応手順、対応期限を明確に定義してください。レッド状態のKRIについては、即座にリスクオーナーと経営層に通知される仕組みを構築し、対応の遅延を防ぎます。
• 06
  KRIプログラムの成熟度評価と継続的改善：KRIプログラム自体の有効性を定期的に評価し、KRIがリスクの変化を適切に捉えているか、閾値超過の予測精度が十分かを検証してください。インシデント発生時にKRIが事前に警告を発していたかを振り返り、KRIの改善に活用します。