CVEの件数が経営層に響かない理由
経営層向けのサイバー報告の多くは、翻訳の失敗です。「重大な脆弱性4,200件、前四半期比6%減」というスライドは、経営層に何ら行動につながる情報を与えません。その数値は、それを減らすための統制の費用と比較できず、そのうちどれが実際に重大な損失を招き得るのかを示さず、経営層がすでに用いている判断の枠組みのどこにも収まりません。
その結果、サイバーへの投資は期待値ではなく、恐れと逸話に基づいて決まります。FAIRはそれを正すために存在します。事業上の他のリスクがすでに話している唯一の単位、すなわち金額でサイバーリスクを表すためです。
FAIRはリスクをどう分解するか
FAIRはリスクを、損失事象の頻度と損失の規模の積としてモデル化します。損失事象の頻度は、脅威事象の頻度（攻撃者がその資産に対してどれくらいの頻度で行動するか）と脆弱性（その行動が成功する確率）に分解されます。損失の規模は、一次損失（対応、復旧、停止といった直接費用）と二次損失（制裁金、法務費用、評判への影響、およびそれらの二次的影響が実際に生じる確率）に分けられます。
重要なのは、アナリストが単一の数値を当て推量しない点です。最小値、最頻値、最大値という較正された範囲を示し、実際の不確実性を反映させます。これにより、多くのリスクモデルの信頼を損なう見かけだけの精密さを避け、何が分かっていて何が分かっていないのかについて誠実な議論を促します。
範囲から損失分布へ
入力が範囲であるため、出力は単一の数値ではなく分布になります。モンテカルロ・シミュレーションが入力の範囲から数千回サンプリングし、起こり得る年間損失の曲線を描きます。その曲線からは年間予想損失（平均値）を読み取れますが、同時に裾、すなわち90または95パーセンタイルの「悪い年」も読み取れます。資本や保険の判断では、後者のほうが重要になることも少なくありません。
これは、市場リスクや信用リスクのチームが何十年も用いてきたのと同じ統計的な規律です。サイバーリスクをこの形で表せば、比較不能な別のサイロにとどまるのではなく、全社的なリスク選好の枠組みにそのまま組み込めます。
技術データがFAIRに説得力を与える
FAIRの精度は入力の質で決まります。ここで技術的なセキュリティデータが真価を発揮します。悪用可能性のシグナル、すなわちその脆弱性がCISAの既知の悪用された脆弱性カタログに掲載されているか、EPSSの悪用確率はどれくらいかといった情報が、「脆弱性」の要素を精緻にします。資産の重要度と攻撃経路の分析は、そのエクスポージャーが最重要システムに実際に到達し得るかを示し、損失の規模と脅威事象の頻度を精緻にします。
つまり、エクスポージャー管理とFAIRは競合ではなく補完関係にあります。エクスポージャーのグラフはどの弱点が到達可能で悪用可能かを示し、FAIRはその到達可能性を説明できる金額へ変換します。最新のテレメトリで更新されるため、見積もりは年に一度のワークショップの成果物ではなく、環境の変化に応じて更新され続けます。
運用に乗せる
FAIRから価値を引き出している組織は、これを表計算上の作業ではなく、動き続ける能力として扱っています。範囲を適切に絞ったリスクシナリオの小さなライブラリを維持し、資産、エクスポージャー、脅威の最新データを流し込み、状況の変化に応じて定量化をやり直します。実際に悪用されている新しい脆弱性が重要資産に及んだとき、該当シナリオの年間損失が動き、是正すべき根拠はおのずと立ち上がります。
うまく運用すれば、FAIRはセキュリティの会話を「悪いものがたくさん見つかりました」から、「これが予想損失であり、投じた費用あたり最も損失を減らすのはこれで、当社のリスク選好に照らすとここに位置します」へと変えます。それが、経営層が行動できる言葉です。