全社OKR

Objective: セキュリティを「全員の仕事」にし、報告文化を確立する

KR1: セキュリティ文化サーベイの「セキュリティは自分の仕事」スコアを2.3→3.5にする
  測定: 四半期サーベイ（Q6の平均スコア）

KR2: インシデント報告件数を12件/年→48件/年に増加させる
  測定: セキュリティチームへの報告件数カウント

KR3: フィッシングシミュレーションのクリック率を測定開始し、年度末に15%以下にする
  測定: フィッシングシミュレーションツールのレポート

開発部門OKR

Objective: セキュアな開発プロセスを標準にする

KR1: セキュリティレビュー実施率を0%→80%にする
  測定: PRにセキュリティレビューラベルが付与された割合

KR2: 高リスク脆弱性のリリース前検出率を90%にする
  測定: SAST/DASTの検出件数 / リリース後発見数

KR3: 開発者のセキュアコーディング研修修了率を100%にする
  測定: LMS修了記録

営業部門OKR

Objective: 顧客データを守り、セキュリティ事故ゼロを達成する

KR1: MFA有効化率を45%→100%にする
  測定: IdPのMFA有効化レポート

KR2: フィッシングシミュレーションのクリック率を20%以下にする
  測定: フィッシングシミュレーションツールのレポート

KR3: 顧客データ取り扱いインシデントをゼロにする
  測定: インシデント管理システムのカウント

報告行動の強化プログラム

習慣ループ:

• きっかけ: 不審なメール受信、異常なシステム動作
• 行動: セキュリティ報告フォームで報告
• 報酬: 即座の感謝メッセージ + 50ポイント + 「セキュリティガーディアン」進捗表示

強化スケジュール:

• 導入期（1-3ヶ月）: 連続強化。毎回の報告にポイント+感謝
• 定着期（4-6ヶ月）: 固定比率。3件報告でバッジ、10件でランクアップ
• 維持期（7ヶ月以降）: 変動間隔。ランダムなボーナスポイント

部門レベルプログラム

年間認知・表彰計画