Linking Cybersecurity Policy and Performance by Microsoft
サイバー空間の安全には本レポートのP5にある”How We Measure Cybersecurity”が極めて重要である。ケルビン卿は言った。
"To measure is to know." "If you can not measure it, you can not improve it."
効果的な政策、効果的な技術対策のためにはまず効果を測定できる信頼に足る数値が必要となる。
筆者はまず、Measurementの手法の一つとしてCCMというを提示する。これは”computers cleaned per mille (thousand) ”のことで、悪意あるソフトウェアの削除ツールを配布しているMSのみがもちうるグローバルにとれる数値*1である。これをもとにMSのインテリジェンスレポートには世界地図を安全度で色付けしたものが掲載されている。
このレポートで筆者らはさらに、CCMと各国の34の指標の比較を試みる。指標とはすなわち、識字率であるとかGDPであるとか国内経済格差である。筆者らは実際のCCMと34の指標から推定される本来期待できるであろうCCMを比較する。結果実測値と期待値に大きな乖離がある国においては政策決定に不十分な点がある可能性があるとしている
Measurementの手法を提示するだけでなく、その先にある政策との比較の実例をわかりやすい示したものとして価値が高い。やはりMSは人材の層が厚いと思ったレポート。
*1:Malicious Software Removal Tool(MSRT)は毎月6億のデバイスで実行されている。CCMは数字が高いほどセキュリティレベルが低いことを意味する点がまぎらわしい。
