LESSON 30分

ストーリー

田
田中VPoE
インセンティブ設計とナッジを学んだ。次は「セキュリティを組織の目標に組み込む」ことだ。OKR（Objectives and Key Results）を知っているか？
あなた
GoogleやIntelが使っている目標管理フレームワークですよね。Objectiveで「何を達成するか」、Key Resultsで「どう測定するか」を定義する
あ
田
田中VPoE
その通り。セキュリティが「誰かの仕事」から「全員の仕事」に変わるためには、全員の目標にセキュリティが含まれている必要がある。セキュリティOKRはそのための仕組みだ
あなた
でもエンジニアの目標に「セキュリティ」を入れるのは抵抗がありそうです
あ
田
田中VPoE
だからこそ設計が大事だ。「セキュリティのための目標」ではなく「ビジネス目標の中にセキュリティを組み込む」。セキュリティは独立した目標ではなく、全ての目標に横断的に含まれるべきだ

セキュリティOKRの基本概念

OKRとは

要素説明セキュリティでの例
Objective達成したい定性的な目標「顧客が安心して利用できるセキュアなプラットフォームを構築する」
Key Result目標達成を測定する定量的な指標「重大な脆弱性の平均修正時間を7日以内にする」

セキュリティOKRの設計原則

原則説明NG例OK例
ビジネス目標との紐付けセキュリティ単体ではなくビジネスに貢献「脆弱性を減らす」「顧客信頼を高めるためにセキュリティを強化する」
測定可能性定量的に進捗を追跡できる「セキュリティを改善する」「フィッシングクリック率を10%以下にする」
チャレンジング簡単すぎず、不可能でもない「セキュリティ研修を実施する」「全社員のセキュリティテストスコアを80%以上にする」
期限の明確化四半期ごとに設定・レビュー「いつか達成する」「Q3末までに達成する」

組織階層別セキュリティOKR

全社OKR（CEO/CTO レベル）

Objective: セキュリティを競争優位性として確立する

  KR1: セキュリティ文化成熟度をLevel 2.5に向上（現在1.5）
  KR2: セキュリティインシデントによる顧客影響をゼロにする
  KR3: エンタープライズ顧客のセキュリティ監査合格率100%

部門OKR

部門ObjectiveKey Results
開発本部セキュアな開発プロセスを確立するKR1: 重大脆弱性の修正SLAを72時間以内 / KR2: セキュリティコードレビュー実施率100% / KR3: SAST/DASTの全パイプライン導入
営業部顧客に安心を届けるセキュリティ対応を実現するKR1: フィッシングクリック率10%以下 / KR2: セキュリティ研修完了率100% / KR3: 顧客セキュリティ質問への回答SLA 3営業日以内
管理本部セキュリティガバナンスの基盤を整備するKR1: セキュリティポリシーの年次更新完了 / KR2: 全社員のセキュリティ教育受講率95%以上 / KR3: 内部監査での重大指摘事項ゼロ

個人OKR（例: 開発者）

Objective: セキュリティを意識した開発を日常にする

  KR1: セキュアコーディング研修を修了し、テストスコア80%以上
  KR2: 担当プロジェクトで脅威モデリングを1回以上実施
  KR3: コードレビューでセキュリティ観点のコメントを月3件以上

セキュリティOKRの運用

四半期サイクル

フェーズ時期内容担当
設定四半期初全社OKR→部門OKR→個人OKRの cascading各レベルのマネージャー
追跡四半期中（月次）進捗確認、障害の共有、必要に応じて調整セキュリティチーム + 各部門
レビュー四半期末達成度の評価、学びの共有全社
改善四半期末次四半期のOKRへの反映セキュリティチーム

OKRスコアリング

スコア評価解釈
0.0-0.3未達目標設定が不適切、またはリソース不足
0.4-0.6部分達成努力は見えるが、追加の施策が必要
0.7-0.8ほぼ達成良好。チャレンジングな目標で妥当な結果
0.9-1.0完全達成素晴らしい。ただし目標が易しすぎた可能性も

セキュリティOKRと人事評価の連携

連携のパターン

パターン説明メリットデメリット
OKR独立型OKRと人事評価を分離OKRの挑戦的設定を維持セキュリティへのコミットメントが弱い
参考情報型OKR結果を評価の参考材料にバランスの取れたアプローチ評価基準の曖昧さ
直接反映型OKR結果を評価に直接反映強いインセンティブ保守的な目標設定の誘因
ハイブリッド型プロセス（挑戦度）と結果の両方を評価挑戦と成果の両立設計の複雑さ

「OKRは『人を評価するツール』ではなく『組織の方向性を揃えるツール』だ。セキュリティOKRもセキュリティの方向性を全社に浸透させる手段として使え」 — 田中VPoE

セキュリティKPIダッシュボード

主要KPI

カテゴリKPI測定頻度可視化
予防脆弱性検出数 / 修正率週次トレンドグラフ
検知インシデント検知時間（MTTD）月次数値+前月比
対応インシデント対応時間（MTTR）月次数値+前月比
教育研修完了率 / テストスコア月次部門別棒グラフ
文化フィッシングクリック率四半期トレンド+業界比較
文化インシデント報告件数月次トレンドグラフ
文化セキュリティサーベイスコア半期レーダーチャート

まとめ

ポイント内容
セキュリティOKRの目的セキュリティを全員の目標に組み込み「全員の仕事」にする
組織階層別設計全社→部門→個人へのcascading
運用サイクル四半期ごとの設定→追跡→レビュー→改善
人事評価連携ハイブリッド型（プロセス+結果）が推奨
KPIダッシュボード予防・検知・対応・教育・文化の多面的な可視化

チェックリスト

  • セキュリティOKRの設計原則を理解した
  • 組織階層別のOKR例を把握した
  • 四半期サイクルでの運用方法を理解した
  • 人事評価との連携パターンを理解した
  • セキュリティKPIダッシュボードの構成を把握した

次のステップへ

次は「ポジティブ強化でセキュリティ行動を定着させる」を学びます。心理学のポジティブ強化理論を応用して、セキュリティ行動を組織の習慣として定着させる手法を身につけましょう。

推定読了時間: 30分