探検する
情報セキュリティプログラムの主要業績評価指標（KPI）を策定する際に最も重要な考慮事項は、B. ビジネスイニシアチブとの整合性です。これは、KPIが情報セキュリティプログラムが目標をどれだけ効果的に達成し、組織にどれだけの価値を提供しているかを示す測定可能な値であるためです。KPIは、組織の戦略目標、ミッション、ビジョン、価値観などのビジネスイニシアチブと整合し、望ましい成果と利益の達成を支援する必要があります。また、KPIはビジネスステークホルダーのニーズ、期待、課題を反映し、意思決定と改善のための関連性があり、有意義で、実行可能な情報を提供する必要があります。KPIは、技術的すぎたり、複雑すぎたり、曖昧すぎたりするのではなく、リスク、コンプライアンス、成熟度、価値、有効性など、情報セキュリティパフォーマンスの主要な側面に焦点を当てる必要があります。
KPIとは、情報セキュリティプログラムが目標をどれだけ効果的に達成し、組織にどれだけの価値を提供しているかを示す測定可能な値です。KPIは、組織の戦略目標、ミッション、ビジョン、価値観といったビジネスイニシアチブと整合し、望ましい成果と利益の達成を支援するものでなければなりません。（CISMマニュアルまたは関連資料より）参考文献＝CISMレビューマニュアル第15版、第1章、セクション1.3.2、281ページ；CISMドメイン - 情報セキュリティプログラム開発｜Infosec2；情報セキュリティにおけるKPI：最も重要なセキュリティ指標10選3

セクション：情報セキュリティプログラム管理

説明
対策の費用対効果分析では、安全対策の年間コストと予想される損失コストを比較します。これにより、特定の制御措置を正当化することができます。侵入テストは脆弱性の程度を示す可能性がありますが、それだけでは制御の費用対効果を確立することはできません。頻繁なリスク評価プログラムは、どのようなリスクが存在するかを確実に明らかにしますが、制御の最大コストを決定することはできません。年間損失期待値（ALE）はリスクの価値に貢献する指標ですが、それだけでは制御を正当化することはできません。