副題：施策の優先順位、KPI/KRI、経営報告までを一本の線でつなぐ

想定読者：CISO、セキュリティ部門長、経営企画、IT企画

第2回で、現状と目標のGapを可視化しました。しかし多くの組織で、評価レポートはそこで止まります。「Gapは分かった。で、来年度は何にいくら使うのか」に答えられないからです。

本稿では、Gapを施策に変換し、優先順位を付け、3年間のロードマップとKPI/KRIに落とし、経営報告につなげる一連の手順を解説します。

1. Gapを「施策」に変換する

Gapは「統制のレベル差」であり、そのままでは実行できません。まず1つのGapを1つ以上の施策に翻訳します。

Gap（例）

施策への翻訳

種別

特権ID管理がレベル2→目標4

特権ID管理ツール導入、承認フロー整備、四半期棚卸し

技術＋プロセス

インシデント対応がレベル2→目標3

対応計画の文書化、CSIRT体制の明確化、年1回の机上演習

体制＋プロセス

委託先管理がレベル1→目標3

委託先台帳整備、リスク評価基準の策定、重要委託先への年次評価

プロセス

翻訳の際に、各施策に次の4つの属性を付けます。これが優先順位付けの材料になります。

2. 優先順位の4つの軸

軸1：重要度（経営リスク低減効果）

その施策が、業務停止・顧客影響・規制対応のどのリスクをどれだけ下げるか。ガイドラインの「求められる事項」に関わるものは原則として最上位です。

軸2：依存関係

資産台帳がなければ脆弱性管理は機能しません。ID基盤が整理されていなければ特権管理も進みません。土台になる施策を先に置きます。

軸3：コストと工数

初期費用だけでなく、運用にかかる人の時間を含めます。小さく始めて効果を確かめられる施策は、着手のハードルが低くなります。

軸4：実現可能性

システム更改の時期、人材の有無、他プロジェクトとの競合。どれだけ重要でも、今年度にできない施策は翌年度に置きます。

3. 3年ロードマップの組み立て方

3年という期間には理由があります。1年では土台づくりで終わり、5年では前提が変わりすぎます。中期経営計画のサイクルとも揃えやすい長さです。

1年目：土台と必達事項

  • ガイドラインの「求められる事項」で未充足のものを解消
  • 資産台帳、ID基盤、ログ収集など、後続施策の前提となる基盤を整備
  • インシデント対応計画と体制の明文化

2年目：検知・対応力の強化

  • 監視範囲の拡大と検知ルールの整備
  • 演習（机上→実機）による対応力の検証
  • 委託先リスク管理の本格運用

3年目：継続的改善と高度化

  • KPI/KRIに基づく運用の定着
  • 「望ましい事項」への段階的な取り組み
  • 再評価と次期ロードマップの策定

各年度の終わりに成熟度を再評価し、ロードマップを修正します。3年計画は固定文書ではなく、毎年ローリングで更新するものです。

4. KPIとKRIを分けて設計する

ロードマップの進捗と、リスクの状態は別のものです。混同すると「計画どおり進んでいるのにリスクは下がっていない」という状況に気付けません。

区分

何を測るか

例

KPI（重要業績評価指標）

施策の実行度

重要脆弱性の30日以内修正率、特権IDの棚卸し完了率、演習の実施回数

KRI（重要リスク指標）

リスクの状態

未修正の重要脆弱性の件数、多要素認証未適用の特権アカウント数、重要委託先のうち未評価の割合

KRIには閾値を設定します。閾値を超えたら経営に報告する、というルールを事前に決めておくことで、報告が「定例の読み上げ」から「判断を求める場」に変わります。

5. 経営報告のかたち

経営陣が知りたいのは施策の一覧ではなく、次の3点です。

  1. いまどれくらい危ないのか（KRIの状態と傾向）
  2. 計画は進んでいるのか（KPIと主要マイルストーン）
  3. 判断してほしいことは何か（追加投資、リスク受容、優先順位変更）

報告は四半期ごとを基本とし、重大インシデントや閾値超過の際は臨時で行います。金融庁ガイドラインが求める「経営陣の関与」は、この報告と判断の記録によって証跡化されます。

6. 実務でつまずきやすい点

  • 施策が多すぎる：初年度は10〜15施策に絞る。全部やろうとすると全部が中途半端になる
  • 予算の根拠が弱い：「ガイドラインで求められている」だけでなく「この施策でどのリスクがどう下がるか」を添える
  • 担当が決まらない：施策ごとに責任者（1線）とレビュー者（2線）を明記する
  • 見直しをしない：年次の再評価を最初からロードマップに組み込む

ロードマップ策定チェックリスト（10項目）

  1. すべてのGapを施策に翻訳したか
  2. 各施策に重要度・依存関係・コスト・実現可能性を付けたか
  3. ガイドラインの「求められる事項」を1年目に配置したか
  4. 土台となる施策を先行させたか
  5. 各年度の目標を1文で言えるか
  6. KPIとKRIを分けて定義したか
  7. KRIに閾値と報告ルールを設定したか
  8. 施策ごとに責任者とレビュー者を決めたか
  9. 経営報告を1枚で表現できるか
  10. 年次の再評価とローリング更新を計画に含めたか

シリーズのまとめ

3回にわたり、金融庁ガイドラインを「読む」→「測る」→「動かす」という流れで解説しました。

ガイドラインは金融機関に共通の要求水準を示しますが、それをどう自社の経営課題に落とし込むかは各社の設計次第です。評価とロードマップを一本の線でつなぎ、毎年回し続けることが、当局対応と実効性の両方を満たす最も確実な道だと考えています。

主要出典

  1. 金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」（2024年10月、2025年7月一部改正）
  2. NIST「Cybersecurity Framework (CSF) 2.0」（2024年2月）
  3. 公益財団法人金融情報システムセンター（FISC）「金融機関等コンピュータシステムの安全対策基準・解説書」（最新版）
  4. NIST SP 800-55 Rev.2「Measurement Guide for Information Security」（2024年）

本記事は公開情報に基づく一般的な解説です。制度・標準の改訂に応じて定期的に見直します。