Skip to main content
人的リスク指数（HRI）は、セキュリティチームが人的なサイバーリスクを把握し、優先順位を付けるのに役立ちます。関連するデータを一貫したひとつのビューにまとめることで、どこにアクションを講じれば最も効果的かを判断できます。 HRI は 0–1000 のスケールを使用します。値が高いほど警戒度が高く、測定された人的サイバーリスクが低いことを表します。

​
HRI が示す内容

HRI は、相互に関連する次の 3 つの領域からリスクを集約します。
  • 行動（Behavior） — トレーニングへの参加状況、フィッシングへの対応、データ取り扱いに関する活動など、リスクを高めたり低減したりする可能性のあるアクション
  • 脅威（Threat） — 個人またはグループに影響を及ぼすセキュリティ上の脅威や不審なアクティビティ
  • アイデンティティ（Identity） — 露出の度合いを変化させる可能性のある、アクセス、認証、権限に関する要因
プラットフォームは、接続されたデータソースから得られるシグナルを使用して、これらのビューを構成します。利用可能なインプットは、組織が接続しているシステムと、それらのシステムが報告するデータによって異なります。
HRI は意思決定を支援するものです。業務上の状況やセキュリティに関する専門知識と併せてご利用ください。調査に代わるものではなく、雇用に関する判断を行うためのものでもありません。

​
HRI の仕組み

1

関連するアクティビティの収集

接続されたシステムから、セキュリティ行動、脅威、トレーニング、アイデンティティに関するアクティビティが提供されます。
2

アクティビティとシグナルの対応付け

プラットフォームは、ソースのアクティビティを定義済みのシグナルに対応付けます。基になるアクティビティを複数のデータソースから取得できる場合でも、シグナルの意味は一定です。
3

エビデンスの正規化

プラットフォームはソースデータ間の違いを考慮するため、チームは関連するエビデンスを一貫した形式で確認できます。
4

リスクと変化の集約

HRI は、利用可能なエビデンスを組み合わせて、全体的なビューとそれを構成する要素を提供します。トレンドにより、測定されたリスクが改善しているのか、悪化しているのか、安定しているのかがわかります。

​
チームでの HRI の活用方法

​
アクションの優先順位付け

シグナルの詳細と併せて HRI を使用し、重点的なアクションが有効と考えられる個人やグループを特定します。プレイブックやその他の対応を開始する前に、裏付けとなるエビデンスを確認してください。

​
グループの比較

部門、拠点、その他のコホートを確認し、パターンを見つけます。グループ間の比較は、それぞれの状況と利用可能なデータが比較に適している場合にのみ行ってください。

​
進捗の測定

時間の経過に伴う推移を追跡し、プログラムによって測定されたリスクが低減しているかどうかを把握します。接続されたデータや従業員のカバレッジの変化も結果に影響する可能性があるため、トレンドとあわせてそれらの変化も確認してください。

​
プログラムの成果の報告

組織とコホートのビューを使用して、優先事項、アクション、進捗をプログラムの関係者に説明します。変化の背景を示すには、裏付けとなるシグナルを使用してください。

​
HRI を解釈する際の注意点

  • スコアやトレンドの背景にあるシグナルを確認してください。
  • 想定されるデータソースが接続され、データが報告されていることを確認してください。
  • 対象者の役割、アクセス権、業務の状況を考慮してください。
  • 同種のグループを、適切な期間で比較してください。
  • 単一のイベントや単一のスコアを、完全なリスク評価として扱わないでください。

​
よくあるご質問

HRI は、プラットフォームが接続されたソースから関連データを処理するのに伴って変化します。タイミングは、ソース、その報告スケジュール、利用可能なアクティビティによって異なります。
新しいシグナル、既存のアクティビティの変化、データカバレッジの変化が HRI に影響する場合があります。裏付けとなるシグナルの履歴を確認し、想定されるデータソースからデータが報告されていることを確認してください。
すべての組織に共通する目標値はありません。リスク許容度、データカバレッジ、従業員、プログラムの目標に合った目標値を設定してください。安定したベースラインと、文書化されたプログラムの成果に照らして進捗を測定します。
組織ごとに従業員、リスク許容度、データソース、プログラムの設計が異なる場合があるため、直接比較すると誤解を招くおそれがあります。変化を測定する際は、一貫した社内ベースラインと、比較可能なコホートを使用してください。

​
関連情報

シグナルライブラリ

プラットフォームがソースのアクティビティを定義済みのシグナルに変換する仕組みをご紹介します。

用語集

プラットフォームの一般的な用語をご確認いただけます。

プラットフォームの概要

プラットフォームが人的リスク管理プログラムをどのように支援するかをご紹介します。

トラストセンター

セキュリティおよびコンプライアンスに関するエビデンスへのアクセスをリクエストできます。