行動を変えるエグゼクティブKPI：コンプライアンスの先へ

By Mirko Peters · 2026-08-11

本エピソードへようこそ、セキュリティリーダーとデータアーキテクトの皆さん。CISO、SOCリード、エンタープライズアーキテクトと毎週何時間も話をしている立場から言うと、同じ不満を何度も耳にします。経営層は標準のセキュリティダッシュボードを見て、緑色のチェックマークが並んでいるのを確認し、組織は安全だと判断してしまいます。一方で、巧妙なフィッシングキャンペーンは毎日のように境界の防御をすり抜けており、報告されている指標は企業の行動を変えることも、実際の防御態勢を改善することもできていません。今こそ内部を見直し、本当に重要なセキュリティ判断を促すエグゼクティブ向けテレメトリをどう構築するかを議論すべきときです。

Automatically translated with AI from the original post. Read the English original

本エピソードへようこそ、セキュリティリーダーとデータアーキテクトの皆さん。CISO、SOCリード、エンタープライズアーキテクトと毎週何時間も話をしている立場から言うと、同じ不満を何度も耳にします。経営層は標準のセキュリティダッシュボードを見て、緑色のチェックマークが並んでいるのを確認し、組織は安全だと判断してしまいます。一方で、巧妙なフィッシングキャンペーンは毎日のように境界の防御をすり抜けており、報告されている指標は企業の行動を変えることも、実際の防御態勢を改善することもできていません。今こそ内部を見直し、本当に重要なセキュリティ判断を促すエグゼクティブ向けテレメトリをどう構築するかを議論すべきときです。

はじめに：コンプライアンスと見せかけの指標を超えて

長年、エグゼクティブへのレポートはコンプライアンスの悪循環に陥ってきました。重要なことではなく、数えやすいことを報告してきたのです。ブロックしたメールの総数、スキャンした脆弱性の総数、クローズしたチケットの総数は、典型的な見せかけの指標です。経営層は安心できますが、組織のリスクについての洞察はほとんど得られません。取締役会や経営委員会が、ゲートウェイで何百万通のスパムメールを止めたかでセキュリティプログラムを評価しているなら、測っているのはノイズであり、シグナルではありません。本当のエグゼクティブKPIは、行動を変え、運用上のボトルネックを明らかにし、実際のリスクが存在する場所へリソースを再配分させるものでなければなりません。低レベルのSecOpsテレメトリと、高レベルのビジネスリスクとのギャップを埋める必要があります。

隠れたレイヤー：Microsoft Defenderが実際に捉えているもの

コンプライアンスの段階を超えるには、最新のセキュリティプラットフォームがすでに収集している深いデータレイヤーを活用する必要があります。Microsoft Defenderのようなツールは、テレメトリの宝庫ですが、標準のダッシュボードは実際に起きていることの約8割を無視しています。全体像を把握するには、この隠れたレイヤーを掘り下げる必要があります。

まず、Threat Explorerを見てください。ここで、本当のキャンペーンの関連性が明らかになります。送信者のインフラストラクチャ、悪意のあるファイルを可視化し、同じ攻撃の波で標的にされた他のすべてのユーザーを正確に追跡できます。次に、Automated Investigation and Response（AIR）の結果を検証します。AIRは、関連付けられたアクション、デバイスとメールボックスの範囲、そしてバックグラウンドのプレイブックが人手を介さずに脅威をどのように解決しているかについての洞察を提供します。最後に、User Submissionsを活用します。人からのシグナルは、最も価値あるデータソースの一つです。ユーザーからの報告は、自動フィルターがまったく検知できなかった巧妙な攻撃を発見することがよくあります。ユーザーの報告を無視することは、最前線にいる人間のセンサーを無視することに等しいのです。

従来のエグゼクティブダッシュボードが機能しなくなる理由

完璧なエグゼクティブレポートを何週間もかけて作成したのに、次のプラットフォーム更新で壊れてしまった経験はありませんか。従来のレポートモデルは、脆弱な土台の上に構築されているため壊れてしまうのです。手作業のCSVエクスポートや単発のスプレッドシートに頼ることは大惨事の元であり、次回のDefenderのスキーマ更新で必ず使えなくなります。

さらに、フィールドの名前変更や非推奨化によって生じるスキーマドリフトは、ハードコードされたレポートを即座に壊します。GUIDとユーザープリンシパル名の混在、APIのページネーションの欠落、DirectQueryのスロットリングも、終わりのない頭痛の種です。週末に更新スケジュールが失敗すると、月曜朝のエグゼクティブ会議は古く誤解を招くデータから始まることになります。アーキテクチャが場当たり的な対策に依存していれば、実際のエンタープライズデータ量の重圧に耐えられず崩れてしまいます。

復元力のあるフレームワークの設計：コネクタからデータモデルまで

スキーマの変更や進化する攻撃手法に耐えられるダッシュボードを構築するには、規律あるfour部構成のフレームワークが必要です。まず、信頼性の高いコネクタが必要です。適切なアプリ登録、OAuth、スコープ付きのアクセス許可を備えたDefender APIを利用し、完全なページネーションを実装して、堅牢なバックフィル期間を確保してください。

第二に、堅牢なデータモデルを構築します。インシデント、ユーザー、デバイス、メールボックス、キャンペーンを一貫性のあるスタースキーマに統合します。異なる識別子を実在の人物やデバイスに対応付け、厳格なデータ型とサロゲートキーを適用します。第三に、優先順位の高いKPIに焦点を当てます。ノイズを取り除き、戦略的な意思決定や設備投資に実際に役立つ指標だけを追跡します。最後に、異常を最初に示すレイアウト、明確なエスカレーションの合図、トレンドのスパークラインを備えたビジュアルテンプレートを用意します。

Power BI 連携の落とし穴を回避する

Power BI は Microsoft 365 のセキュリティデータを可視化するための優れたツールですが、注意すべき点を知らないと連携には多くの落とし穴があります。認証の不安定さはスケジュール更新を機能しなくさせるおそれがあるため、シークレットは必ず適切にローテーションし、可能な限りマネージド ID を優先してください。スキーマのドリフトに効果的に対処するには、データ変換のバージョンを管理し、不明な値や null 値を適切に扱う仕組みを組み込んでください。

手動のエクスポートと API による取得を混在させるのはやめましょう。取り込みパイプラインは Power BI データフローに集約してください。攻撃量が急増したときにレコードを取りこぼさないよう、大量データの日にページネーションのロジックをテストしてください。更新の穴を防ぐために、日中にも取得をスケジュールし、週末や祝日のアクティビティを捉えるために差分ロードを追加してください。厳密なスタースキーマを維持し、増分更新を活用し、日付でパーティション分割し、行レベルでリソースを消費する計算列を避けることで、パフォーマンスを最適化します。

実際にセキュリティの行動を変える経営層向けKPI

では、核心に入りましょう。経営陣の前に実際に示すべき指標は何でしょうか。これらのKPIは、問いを生み、予算を確保し、組織の行動を変えることを狙いとしています。

• 攻撃成功率: 技術的な統制を実際に突破し、かつユーザーの操作を引き出したフィッシング試行の割合です。
• ユーザーのクリック率と報告率の比較: 悪意のあるリンクをクリックしたユーザーと、それを報告したユーザーを比較した指標で、セキュリティ意識の成熟度を測るために時系列で追跡します。
• 検出から是正までの時間: 最初の検出から完全な封じ込めまでの正確な所要時間で、攻撃経路とキャンペーンの種類別に内訳を示します。
• 高リスクエンティティへの露出: 経営幹部、経理チーム、昇格された特権を持つアカウントに対する繰り返しの標的化の頻度です。
• ニアミスからのエスカレーション率: クリック後のブロック、Safe Links による介入、そして大惨事を防いだ最後の技術的な防御を追跡します。
• キャンペーンのトレンド線: 攻撃者がリンクから添付ファイル、またはビジネスメール詐欺(BEC)へと手口を移行しているかを、週単位で比較して追跡します。
• 自動化の有効性: AIR によるクローズドループの解決率と、手動の SecOps オーバーライドの頻度を比較します。

ビジュアルの手がかり:異常を最初に示すダッシュボードレイアウトの構築

データの表示方法は、データそのものと同じくらい重要です。経営層の認知負荷は高いため、ダッシュボードのレイアウトは対応が必要な箇所に即座に目が行くようにしなければなりません。異常と重大なアラートは左上の領域に配置し、安心材料となる合計値は右下へ寄せてください。

色は控えめに使い、緊急性を示す場合にだけ厳密に使ってください。たとえば、滞留時間の急増や SLA 違反の強調がこれにあたります。トレンドを素早く把握するためにスパークラインを取り入れ、SLA 準拠の状態バッジや、繰り返し狙われるエンタープライズ標的の警告フラグを組み込みます。最後に、経営層にとって重要な2つの問いに答える専用のストーリーパネルを設けてください。「今週何が変わったか」と「次に何をすべきか」です。

耐久性と長期的な成功のためのガードレール

レポート基盤を長期にわたって信頼され、持続可能なものに保つため、厳格なエンジニアリングのガードレールを導入する必要があります。データフローと DAX メジャーは必ずバージョン管理してください。リフレッシュのパイプラインに自動化されたスキーマ変更テストを組み込み、レポートが壊れる前にアラートを受け取れるようにします。すべての KPI 定義を明確に文書化してください。会計四半期をまたいで、黙ってのテーマ変更や目標の動かし方があってはなりません。最後に、想定されるイベント量が予期せず減少した場合にすぐ通知するブラックアウト検知機能を稼働させてください。世界的なサイバー犯罪が急減したのではなく、コネクタが壊れていることを示すことが多いためです。

すぐに廃止すべきアンチパターン

セキュリティプログラムを成熟させたいなら、ひどいレポートの習慣は過去のものにしましょう。まず、「Blocked emails」を成果の指標として扱うのはやめてください。それが経営層に伝えるのは、すり抜けた脅威について何も示さない数字だけです。次に、壊れやすい手作業のエクスポートと自動化されたAPIプルを混在させるのはやめてください。三つ目に、脅威の状況が毎時変化しているのに月次更新に頼るのはやめてください。四つ目に、時系列のものには円グラフを使わないでください。時間の経過に伴う傾向を示すなら、折れ線グラフやスパークラインを使いましょう。

30日間のロールアウト計画

経営層向けレポートスイートを刷新するのに、1年がかりのプロジェクトは必要ありません。構造化された計画に従えば、30日間で全面的な刷新を完了できます。

• 1週目: APIアクセスを確立し、データフローを構成して、ページング処理のロジックを構築し、ベースラインとなるスタースキーマを設定します。
• 2週目: 正規化を処理し、エンティティ識別子をGUIDからUPNにマッピングして、最初の本格的な行動ベースのKPIを算出します。
• 3週目: エグゼクティブページとSOCの運用ビューを構築し、異常検出ルールを実装して、増分更新を構成します。
• 4週目: 新しいモデルを前四半期のデータでバックテストし、ドリルスルーページを構築して、運用手順書を作成します。

まとめ

コンプライアンス主導のチェックボックス型の管理から、行動ベースのセキュリティメトリクスへの移行は、サイバー防御プログラムの成熟度を高める最も効果的な方法です。Microsoft Defenderに隠れている詳細なテレメトリを活用し、Power BI統合でよくある落とし穴を避け、滞留時間、高リスクエンティティへの露出、実際の攻撃成功率といった実行可能なKPIに焦点を当てることで、ダッシュボードを受動的な表示画面から、能動的な意思決定エンジンへと変えられます。フィッシングレポートの構築とこのテレメトリの習得についてさらに深く知りたい場合は、関連エピソードBuild Better Phishing Reports with Defender and Power BIもぜひご覧ください。引き続きスマートな構築を続け、安全を保ってください。次のエピソードでお会いしましょう！