ざっくり分けると、次の3種類になります。

• 設定・構成の問題

  Network Security、DNS Health、Application Security、Cubit Score

• 運用の問題

  Patching Cadence、Endpoint Security

• すでに起きていること・狙われている兆し

  IP Reputation、Hacker Chatter、Information Leak、Social Engineering

用語：Finding と Issue Type

• Finding（検出結果）

  「どの資産で」「いつ」「どんな問題が」見つかったか、という1件ずつの記録

• Issue Type（問題の種類）

  「オープンリゾルバ」「古いTLS」など、問題を種類ごとにまとめたもの。現在は200種類以上あります。

それぞれのIssue Typeには、侵害リスクの大きさに応じて次の区分が付いています。

この区分は、過去4年間の約15,000件の侵害事例を分析し、「どの問題を抱えていた企業が実際に侵害されたか」という相関から決められています（Scoring 3.0、2024年4月から）。

点数の計算

1. 会社の規模の違いをならす

   Issue Typeごとに、1,200万以上の組織のうち、規模の近い組織の平均と比べます。資産が多い大企業は、その分Findingも多くなりがちだからです。

   • 例：オープンリゾルバの問題は、規模の近い組織の12%で見つかり、平均は2件です。自社で3件見つかれば「平均より悪い」と判定されます。
2. 偏差のような値に変換する

   Findingが0件なら0、規模の近い組織の平均と同じ件数なら1になる値（修正Zスコア。平均からのずれの大きさを表す統計の指標）に変換します。

3. 重みを掛けて合計する

   Issue Typeごとの重み（High / Medium / Low）を掛けて合計します。

4. 点数と評価に変換する

   対数のスケールで0〜100点に変換し、A〜Fの評価を付けます。

（B〜Dの境目は、公式ヘルプには明記されていません。）

Scoring 2.0までは「10個のFactorの点数の加重平均」が総合点でした。現在のScoring 3.0では、総合点は200種類以上のIssue Typeから直接計算されます。Score Factorsは、それを10のカテゴリに分けて見やすくしたものと考えると分かりやすいです。

更新の頻度

• 点数は毎日更新されます。
• 計算方法の基準は毎月見直されます。さらに、数か月に一度の大きな「再計算（recalibration）」があり、自社が何もしていなくても点数が変わることがあります（次回は2026年11月24日の予定）。
• 平均の計算には2か月分のデータを使い、一時的な変動をならしています。

問題が消えるまで

なお、スコアカード全体の再スキャンを手動で依頼することはできません。

もう1社、建設業大手の取引先のスコアカードを紹介します（社名とドメインは伏せています）。総合は70点・C評価で、建設業の平均81点（B）を下回っています。

このスコアカードは67の組織からフォロー（監視）されています。それでも過去1年の推移を見るかぎり、点数は業種平均を下回ったままで、目立った改善は見られません。

Breach Susceptibility Indicator（BSI）

概要画面には、A〜Fの評価とは別に「Breach Susceptibility Indicator（BSI）」が表示されます。使っているソフトウェアや設定など、外から見える技術情報（technographic data）をもとに、情報漏えいの起こりやすさを0〜100で推定した指標です。A〜Fの評価とは逆に、数字が大きいほど危険です。

取引先BのBSIは91で、最も高い「Very High」に分類されています。全企業の平均は17（Very Low）なので、大きく上回っています。

一方、ランサムウェア被害に遭う可能性を表すRansomware Scoreは28（Very Low）です。同じ企業でも、指標によって評価が大きく異なります。

BSIを押し上げている要因

「View BSI Analytics」を開くと、Issue Typeごとに、全企業の基準値からBSIをどれだけ上下させているかが表示されます。

多くは設定の見直しで直せるものです。特に、データベースの公開と古いTLSは、実際の侵害につながりやすい問題です。

なお、この内訳では「基準値47＋影響の合計18＝65（High）」と計算されており、概要画面の91（分析画面では10月26日時点で90）とは一致しません。BSIはモデルによる推定値なので、数字そのものより、何が押し上げているかを見るのが実用的です。

多くの組織から監視されていても、指摘が直されなければスコアは変わりません。取引先からスコアを見られている前提で、指摘を一つずつ解消していくことが大切です。

会社情報

資金調達・IR情報

SecurityScorecardは非上場企業です。株式公開（IPO）の申請や時期の発表はありません。そのため、決算などのIR情報は公開されていません。

保険会社との取り組み

セキュリティレーティングは、サイバー保険の引き受けや保険料の判断にも使われています。日本では東京海上日動が、国内の大手損害保険会社として早くからSecurityScorecardを取り入れています。

なお、東京海上日動は2026年6月から「サプライチェーンサイバーリスク対策強化プログラム」を提供していますが、このプログラムとSecurityScorecardとの関係は、公開されている情報からは確認できませんでした。

ユーザーの評価

Gartner Peer Insightsに掲載されています。製品名は「TITAN AI」（旧称：SecurityScorecard Platform）、カテゴリは「Third-Party Risk Management Technology Solutions（サードパーティリスク管理）」です。同業他社の製品との比較では、Bitsight、UpGuardと並べて評価を確認できます。

• 公開するポートやサービスは最小限にする（Network Security、Cubit Score）
• DNSとメールのなりすまし対策を整える（DNS Health）
• 公開しているサーバーや機器は、すぐにアップデートする（Patching Cadence、Application Security）
• 社内端末のマルウェア感染やスパム送信に気づける体制をつくる（IP Reputation）
• Digital Footprintに他社の資産が混ざっていないか、定期的に確認する

ルーターやファイアウォールなど、インターネットとの境界にある機器は、外部から見える部分そのものです。ファームウェアを最新に保ち、管理画面やVPNを不要に公開しないことが、そのままスコアの維持につながります。