インテリジェンスから実際の成果へ:メトリクスで脅威インテリジェンスの価値を証明する方法

脅威インテリジェンスはもはや贅沢品ではなく、必需品です。しかし、組織がインテルプラットフォーム、フィード、アナリストに多額の投資を行っても、1つの大きな疑問が残ります:

その価値をどう証明すればよいのか?

ここでメトリクスの出番です。見栄えのための統計や大きな数字ではなく、組織がセキュリティ態勢、運用、ビジネス上の意思決定に対する脅威インテリジェンスの影響を理解するための、意味のある成果主導型のメトリクスです。
CTIを成功させるための重要な要素の1つは何でしょうか?それは、適切なステークホルダーに対して適切なメトリクスを持ち、その使い方を知っていることです。

脅威インテリジェンスにおけるメトリクスの重要性

メトリクスがなければ、脅威インテリジェンスはブラックボックスのように感じられます:一部の人にとっては技術的すぎ、他の人にとっては複雑すぎて有用でなく、時には曖昧で、ビジネス目標から完全に切り離されています。しかし、適切なメトリクスを明確に示すことで、脅威インテリジェンスは戦略的資産となります。

メトリクスは以下を支援します:

• インテリジェンスの価値を可視化する:どのようなインテリジェンスが作成され、どれだけタイムリーで、どのように使用されているか?
• 脅威インテリジェンスを実際の成果に結びつける:リスクを削減しているか?対応を改善しているか?意思決定を支援しているか?
• 継続的改善を推進する:情報源は有用か?プロセスは効率的でスケーラブルか?

脅威インテリジェンスの価値を示す実際のメトリクス

CISO、SOCリーダー、ビジネスステークホルダーにとって重要な具体的なメトリクスの例を示すケーススタディで分解してみましょう。

1. CTI業務の遂行:運用効率メトリクス

これらのメトリクスは、ワークフローの高速化からノイズの削減まで、脅威インテリジェンスタスクがどれだけ効率的に実行されているかを示します。

CTIがワークフローを改善し、ノイズを削減し、配信を加速する方法を示すメトリクス

📌 例:エンリッチメントまでの時間(TTE)

インディケーターを手動でエンリッチすると、IOCあたり平均1〜2時間かかります。プラットフォーム経由でエンリッチメントを自動化すると、時間が1〜3分に短縮されます。

➡️ 結果: アナリストの作業負荷が軽減され、インシデント処理が迅速化 → 月あたりX時間の削減。

📌 例:インディケーターにおける偽陽性率

顧客は高コストのフィードから500,000個のIOCを取り込みました。SIEMの分析により、実際に対処可能なアラートをトリガーしたのは1%未満であり、しかもそれらはコンテキストや関連性に欠けることが多いことが判明しました。

➡️ 結果: 顧客は、より適切にキュレーションされたコンテキストに富む情報源に予算を再配分し、ノイズを削減してコストを節約しました。

📌 例:IOCライフサイクル管理

監査により、古くなったIOCの約30%が検知システムでまだ有効になっていることが明らかになりました。自動有効期限ワークフローにより、これが5%未満に削減されました。

➡️ 結果: より整理された正確な脅威データと、無関係なアラートの減少。

📌 例:CTI成果物の作成時間

最終的なCTIレポートは、断片的なインプットと手動フォーマットのため、起草、レビュー、公開に最大3日かかっていました。すぐに使える標準化されたテンプレートとワークフローにより、これが半日に短縮されました。

➡️ 結果: 調整や(分析的に興味のない)フォーマットに費やす時間が削減され、実用的なインテリジェンスの迅速な提供が実現。

2. 現場でのCTIの実践:戦術的影響メトリクス

これらのメトリクスは、脅威インテリジェンスが脅威の検知、ブロック、対応にどのように貢献しているかを示します。

CTIが検知、予防、タイムリーな脅威対応を促進する方法を示す主要な実践例

📌 例:プロアクティブな脅威の軽減

ある製造会社は週次のCTI更新を受けていました。その1つに、産業制御システムを標的とするランサムウェアグループの詳細がハイライトされていました – この脅威はまだその地域には到達していませんでした。チームは、キャンペーンが到達する前に脆弱なエンドポイントを強化しました。

➡️ 結果: 早期のCTI警告により、現実世界のリスクが削減されました。

📌 例:インシデントの予防

別のケースでは、CTIチームがアクティブなフィッシングキャンペーンに関連するコマンド&コントロールドメインにフラグを立てました。セキュリティチームは境界でドメインをブロックし、シニアリーダーシップを狙った標的型フィッシング攻撃を阻止しました。

➡️ 結果: タイムリーなインテリジェンスが、影響の大きいインシデントを防止しました。

📌 例:検知カバレッジ

過去四半期に、ある保険会社の検知エンジニアリングチームは、CTIが提供するIOC、TTP、キャンペーンインサイトに基づいて、SIEMおよびEDRプラットフォームに67の新しい検知ルールを実装しました。

➡️ 結果: CTIと検知改善の間の明確で定量化可能なリンクが確立され、インテリジェンスが脅威ハンティングとアラートパイプラインを直接強化する方法が実証されました。

3. セキュリティを超えたCTIの重要性:戦略的およびビジネスアライメントメトリクス

これらのメトリクスは、CTIがセキュリティ運用を超えてどのように意思決定に情報を提供するかを強調します:役員室から法務チーム、ビジネスリスク計画まで。

CTIが経営陣、法務チーム、ビジネスリーダーに意思決定に即したインサイトを提供する方法

📌 例:経営陣レベルの理解

あるバイオテック企業のセキュリティチームは、取締役会の報告に1ページのインテリジェンスブリーフを含め始めました。ブリーフを1ページに短縮し、技術的専門用語から明確な「それが私たちにとって何を意味するか」というメッセージングに切り替えることで、経営陣のエンゲージメントが3倍に増加しました。

➡️ 結果: 経営陣は、M&A、ベンダー評価などの戦略的分野でCTIの意見を求め始めました。

📌 例:インテリジェンスに基づくビジネス計画

新しい地域への拡大を準備している物流会社は、地域市場を標的とする国家支援APT活動に関するインテリジェンスを受け取りました。このインテリジェンスは、同社のリスク評価を形成し、事前にセキュリティ強化を強化することにつながりました。

➡️ 結果: ビジネスリスクが事前に対処され、運用開始前に軽減されました。

📌 例:法務およびコンプライアンスサポート

あるメディア企業のCTIチームは、内部の法務およびコンプライアンスチームと月次ブリーフィングを開始し、サイバー犯罪事件に関連する脅威アクター活動をハイライトしました。彼らの報告は法執行機関との調整を支援し、複数の脅威アクターに対する法的措置の成功に貢献しました。

➡️ 結果: CTIは戦略的資産となり、組織のリスクを削減すると同時に、企業の境界内外で脅威アクターを混乱させるための法務および法執行機関の取り組みを積極的に支援しました。

脅威インテリジェンスメトリクスを効果的に提示する方法

メトリクスはコミュニケーションツールです

メトリクスを生データとして扱わないでください:メッセージとして扱ってください。各メトリクスは、ステークホルダーが気にかけていること(回避されたリスク、新たなトレンド、対処された能力ギャップ)を理解するのに役立つべきです。つまり、オーディエンスに合わせてメトリクスを調整する必要があります。

数字ではなく、インサイトから始める

目標はデータを示すことではなく、意味を強調することです。何が変わったのか?なぜ重要なのか?次に何をすべきか?脚注に埋もれさせず、要点を最初に示しましょう。

意思決定の文脈でメトリクスを枠組み化する

優れたCTIメトリクスは、何が起こったかを報告するだけではなく、アクションを支援します – 優先順位の調整、リソースのシフト、ギャップの解消、問題のエスカレーション…単一のメトリクスは孤立していてはほとんど意味がありませんが、予防、節約、意思決定サポートに結びつけると強力になります。

ビジュアルはメッセージの一部です

グラフ、タイムライン、ヒートマップは、スライドを飾るだけでなく、ポイントを強化する必要があります。オーディエンスを圧倒するものではなく、パターンや比較を明らかにするフォーマットを選択してください。

一貫性が信頼を築く

時間の経過とともに同じ定義、間隔、フォーマットを使用してください。一貫性のないメトリクスはステークホルダーを混乱させ、データが技術的に正確であっても信頼性を損ないます。

サイズも重要です!

短くしましょう – 実際には、可能な限り短くします。常に、オーディエンスが非常に短い注意力しか持っていないと想定してください。

避けるべきこと:CTIメトリクスにおける一般的な落とし穴

量が多すぎて、価値が少ない

「500万個のIOCを取り込んだ」と報告するのは印象的に聞こえますが、それらが関連性も、タイムリー性も、検知やインシデント対応に使用されなかった場合、この数字は無意味です。焦点と精度のないボリュームは、ノイズを生み出し、アナリストの時間を浪費し、プラットフォームコストを増大させるだけです。

アクションにつながらない&カスタマイズされていないメトリクス

メトリクスは、他のインテリジェンス成果物と同様に、目的を果たす必要があります。意思決定に影響を与えたり、アクションを推進したりしない場合、それは単に運用上無用です。同様に、ステークホルダーのニーズに合致していないメトリクスは、読まれず、信頼されず、実行されません。タイムリーでなく無関係なメトリクスは、洗練されたフォーマットのノイズに過ぎません。

オーナーのいないメトリクス

メトリクスの解釈や実行に責任を持つ人がいない場合、それは死んだ数字になります。メトリクスには、説明責任、フォローアップ、改善を保証するために明確なオーナーシップが必要です。そうでなければ、よく設計された測定でも結果を生み出しません。

虚栄のメトリクス

カウント(公開されたレポート、取り込まれたIOC、生成されたアラート…)で埋め尽くされたダッシュボードは見栄えが良いかもしれませんが、実際の意思決定に情報を提供することはめったにありません。これらは虚栄のメトリクス – 高い活動性、低いインサイトです。密集した技術的なビジュアライゼーションと組み合わさると、非技術的なステークホルダーを圧倒します。

ベースラインまたはベンチマークがない

ベースラインのないメトリクスは単なる数字です。「MTTDは8時間」と言っても、以前がどうだったか、目標が何か、同業他社がどう比較されるかがわからなければほとんど意味がありません。そのコンテキストがなければ、進捗を評価したり変更を正当化したりすることはできません。

最終的な要点:メトリクスはインテリジェンスを重要なものにする

脅威インテリジェンスは、その成果と同じくらい価値があります – そして、メトリクスは、その価値を証明し改善する方法です。ROIを示すにしても、予算を確保するにしても、意思決定に情報を提供するにしても、適切なメトリクスを持つことは大きな違いを生む可能性があります。

CTIを真に影響力のあるものにするには:

• アウトプットではなく、アウトカムに焦点を当てる。処理されたデータの量だけでなく、脅威インテリジェンスがリスクを削減し、時間を節約し、アクションを支援する方法を示しましょう。
• メトリクスをオーディエンスに合わせる。経営陣は戦略的明確性を求めています。SOCリーダーには運用上のインサイトが必要です。ビジネスリーダーはリスクのコンテキストを求めています。彼らの言語で話しましょう。
• コンテキストとオーナーシップを提供する。有用なメトリクスには、目的、ベンチマーク、責任あるオーナーがあります。これらがなければ、それは単なるノイズです。
• 明確に、短く、関連性があり、アクションにつながるように保つ。最良のメトリクスは変化につながります:優先順位、防御、結果において。

覚えておいてください。重要なことを追跡することで、脅威インテリジェンスを行うだけでなく、実際にビジネスのために機能させているのです。

この記事は、Women in CTI Slackチャンネル内でのコラボレーションにより実現しました。参加して会話に加わるには、こちらをクリックしてください。

Eliska Puckovaについて

Eliskaは、長年の経験を持つサイバー脅威インテリジェンス専門家であり、敵対者プロファイリング、cyberHUMINT、インシデント対応チームへのサポートを専門としています。彼女のバックグラウンドには、古典的なインテリジェンス分析のトレーニングと、国際セキュリティおよび地政学の学術研究が含まれます。また、サイバーセキュリティにおけるメンターシップとインクルージョンを支援するNGO「Cyberladies」の共同設立者でもあります。