NISTサイバーセキュリティフレームワーク

NISTサイバーセキュリティフレームワーク（ NIST CSFとも呼ばれる）は、組織がサイバーセキュリティの脅威に対する備えを評価し、改善するのに役立つように設計された一連のガイドラインです。^{[ 1 ] [ 2 ]} 2014年に米国国立標準技術研究所によって開発されたこのフレームワークは、世界中のサイバーセキュリティ専門家や組織に採用されています。NISTフレームワークは、民間部門と政府などの公共部門の両方の組織間で、サイバーセキュリティの原則についてのコミュニケーションと理解の基盤を提供してきました。このフレームワークはオンラインで無料で公開されており、既存のサイバーセキュリティ標準と、組織がサイバーセキュリティリスクを軽減するために実行できるアクションに関する推奨事項を提供しています。^{[ 3 ]}

NIST CSF は、CSF コア、CSF 組織プロファイル、CSF ティアの 3 つの包括的なコンポーネントで構成されています。^{[ 4 ]} CSF コアは 6 つの機能に分かれており、それぞれがサイバーセキュリティの準備の最大化、コミュニケーションの改善、リスクの軽減に重点を置いています。6 つの CSF コア機能には、ガバナンス、識別、保護、検出、対応、復旧が含まれます。これらの 6 つのコア機能は、さらにサブカテゴリに細分化されます。CSF 組織プロファイルは、組織が CSF コアに関してどのように自己評価できるか、またサイバーセキュリティの実践をどこで改善して実装できるかについてのガイダンスを提供します。CSF ティアは、組織のサイバーセキュリティの準備状況とリスクを軽減する能力を特徴付け、評価します。^{[ 5 ]} CSF ティアは、組織がどのようなレベルのサイバーセキュリティ保護を実施しているか、またその保護の背後にあるプロセスを知るのに役立ちます。

2014 年に公開された NIST CSF は、最新のサイバーセキュリティの実践を反映するように更新されてきました。これらの更新の中には、2018 年にリリースされたバージョン 1.1 があります。バージョン 1.1 では、サプライチェーンのリスク管理と新しい自己評​​価プロセスを含めるようにフレームワークに変更が加えられました。^{[ 6 ]} NIST CSF の現在のバージョンは、2024 年にリリースされたバージョン 2.0 です。この現在のバージョンでは、CSF コアに新しい機能である Govern が導入されました。バージョン 2.0 では、NIST CSF フレームワークの範囲と小規模組織への適用性も拡大されました。^{[ 7 ]}フレームワークの言語も改善され、非技術者向けの読みやすさが向上しました。

NISTサイバーセキュリティフレームワークは、さまざまな規模と分野の組織によって国際的に使用されています。^{[ 8 ] [ 9 ] [ 10 ]}無料で実装できるNIST CSFは、組織がサイバー脅威に対する防御を強化し、将来のリスクに備えるためのサイバーセキュリティガイドラインとベストプラクティスを定めています。^{[ 11 ] [ 12 ] [ 13 ] [ 14 ]}

NISTサイバーセキュリティフレームワーク（CSF）は、米国国立標準技術研究所（NIST）が組織によるサイバーセキュリティリスクの管理と軽減を支援するために開発した一連のガイドラインです。既存の標準、ガイドライン、ベストプラクティスに基づいて、サイバーセキュリティに対する柔軟で拡張性の高いアプローチを提供します。^{[ 15 ]}このフレームワークは、サイバーセキュリティの成果に関する高レベルの分類体系を提供し、それらの成果を評価および管理するための方法論を提供します。^{[ 16 ]}さらに、サイバーセキュリティの文脈におけるプライバシーと市民的自由の保護にも対応しています。 ^{[ 17 ]}

CSFは複数の言語に翻訳されており、さまざまな分野の政府、企業、組織で広く使用されています。^{[ 18 ] [ 19 ]} 2016年の調査によると、組織の70%がNISTサイバーセキュリティフレームワークをコンピュータセキュリティのベストプラクティスと見なしていますが、実装には多額の投資が必要になる場合があると指摘している組織もあります。^{[ 20 ]}

このフレームワークは、柔軟性と適応性を備えるように設計されており、各組織が独自のニーズとリスクプロファイルに基づいて実装の詳細を決定できるように、高レベルのガイダンスを提供します。^{[ 21 ]}

フレームワークのバージョン 1.0 は 2014 年に公開され、主に重要インフラの運用者を対象としていました。バージョン 1.1 の公開草案は 2017 年にコメントのために公開され、最終版は 2018 年 4 月 16 日に公開されました。バージョン 1.1 は、サプライチェーンリスク管理などの分野に関する追加のガイダンスを導入しながら、元のフレームワークとの互換性を維持しました。バージョン 2.0 は 2024 年にリリースされ、NIST フレームワークの最新バージョンです。^{[ 4 ]}この新しいバージョンでは、CSF コアに「ガバナンス」機能を追加し、フレームワークの範囲と適用範囲を拡大し、非技術系の利害関係者の読みやすさを向上させることにより、バージョン 1.1 を大幅に更新しました。

NISTフレームワークは、CSFコア、CSF組織プロファイル、CSFティアの3つの主要コンポーネントで構成されています。^{[ 22 ]}コアは6つの異なる機能で構成され、それぞれがサイバーセキュリティとリスク管理の特定の領域に貢献しています。^{[ 23 ] [ 24 ] [ 25 ]}これらの6つの機能は、カテゴリとサブカテゴリに分類されます。組織プロファイルは、組織がCSFコアの観点から現在のサイバーセキュリティ準備状況を評価し、改善や調整を行うことができる場所を特定するのに役立ちます。CSFティアは、CSF組織プロファイルにおける現在のプロファイルと目標プロファイルについて組織に情報を提供します。CSFティアは、組織の現在のサイバーセキュリティリスクガバナンスの実践がどれほど厳格であるかを判断し、組織が実施しているサイバーセキュリティ戦略とプロセスにコンテキストを提供するのに役立ちます。^{[ 13 ]}

組織は通常、まず既存のサイバーセキュリティ対策とその成果を記述する「現状プロファイル」を作成することから始めます。そこから、「目標プロファイル」を作成し、望ましい将来の状態を概説し、それを達成するために必要な手順を定義します。あるいは、組織は自社の業界や特定のニーズに基づいてベースラインプロファイルを採用することもできます。

研究によると、NIST サイバーセキュリティ フレームワークは、米国内および国際的に、特に正式なサイバーセキュリティ スタンダードがまだ出現している分野において、サイバーセキュリティ スタンダードに影響を与える可能性がある。この影響は、より良い国際的なサイバーセキュリティの実践を促進し、国境を越えて事業を行う企業に利益をもたらし、グローバルなサイバーセキュリティの取り組みに貢献する可能性がある。^{[ 26 ]}医療分野では、NIST は特別刊行物 800-66 改訂 2 を発行しており、 HIPAAセキュリティ ルールの要件を NIST CSF にマッピングする詳細なクロスウォークを提供し、対象事業体およびビジネス アソシエイトがHIPAA準拠のためにフレームワークを使用できるようにしている。^{[ 27 ]}

コアは、NIST CSFを構成する3つの主要コンポーネントの1つです。コアは6つの機能に分類され、さらに22のカテゴリに細分化されています。各カテゴリはさらに細分化され、合計106のサイバーセキュリティ成果のサブカテゴリが存在します。

各サブカテゴリには、ISO 27001、COBIT、NIST SP 800–53、ANSI/ISA-62443、Council on Cyber​​Security Critical Security Controls (CCS CSC、現在はCenter for Internet Securityが管理) など、さまざまな他の情報セキュリティ標準の特定のセクションを参照する「参考資料」も提供されています。特別出版物 (SP) を除き、ほとんどの参考資料は、それぞれのガイドにアクセスするために有料会員登録または購入が必要です。フレームワークのコストと複雑さから、NIST に対して中小企業がよりアクセスしやすいサイバーセキュリティ フレームワーク ガイドを作成するよう指示する法案が議会の両院から提出されました。^{[ 28 ] [ 29 ]}

フレームワーク文書に記載されている機能とカテゴリ、およびそれらの固有の識別子と定義を以下に示します。^{[ 30 ]}

組織プロファイルも、NIST CSFを構成する3つの主要要素の一つです。組織プロファイルは、組織がCSFコアの観点からどのように自己評価を行い、ミッション目標、ステークホルダーの期待、脅威の状況、その他のニーズに応じてサイバーセキュリティ対策をどのように改善・実施できるかについてのガイダンスを提供します。これにより、組織はサイバーセキュリティの特定の分野に注力して目標を達成し、これらの変更点をステークホルダーに伝えることができます。

組織プロファイルは、以下のいずれか、または両方である可能性があります。

1. 現状プロファイル：組織が達成している、または目指している主要な成果を説明し、組織がそれぞれの成果をどのように達成しているかを組織に知らせるものです。
2. ターゲットプロファイルとは、組織が追求することを選択したサイバーセキュリティリスク管理の目標を記述したものです。ターゲットプロファイルは、新たな要件、技術統合、脅威インテリジェンスの動向など、組織のサイバーセキュリティ対策に対する今後の変更点を考慮に入れています。

さらに、組織はコミュニティプロフィールをフォローすることもできます。

コミュニティプロファイルとは、組織グループが共通のサイバーセキュリティ目標と利益を達成するために追求することを選択した一連のCSF成果です。コミュニティプロファイルは、さまざまなセクター、テクノロジー、脅威、その他の特定の領域向けに作成されるのが一般的です。さらに、組織はコミュニティプロファイルをターゲットプロファイルとして設定し、サイバーセキュリティリスク管理を改善するために協力して取り組むことができる改善の概要を作成できます。^{[ 4 ] [ 1 ]}

以下は、NIST CSF 2.0で説明されているように、組織がサイバーセキュリティ対策を改善するために組織プロファイルを使用できる方法の一例です。^{[ 4 ]}

1. 「組織プロファイルの範囲を決定する」：組織は、組織プロファイルの範囲、つまりどの程度の広さにするかを決定する必要があります。組織は、組織全体を対象とした単一のプロファイルから、サイバー攻撃対策などの特定の分野向けの複数のプロファイルまで、複数の組織プロファイルを持つことができます。
2. 「組織プロファイルを作成するために必要な情報を収集する」：組織はプロファイルを作成する前に情報を収集する必要があります。収集する情報には、組織の方針や規則、リスクとリソースの管理における優先順位、サイバーセキュリティ要件、および組織が採用しているその他の慣行などが含まれます。
3. 「組織プロファイルの作成」：このステップでは、選択したCSFの成果に基づいて、プロファイルにどのような情報を含めるかを決定します。これには、現在のプロファイルのリスクを理解し、目標プロファイルを作成するためにどのような改善が必要かを判断することが含まれます。組織は、コミュニティプロファイルを目標プロファイルとして使用できます。
4. 「現状プロファイルと目標プロファイルのギャップを分析し、行動計画を作成する」：組織プロファイルを作成した後、組織は現状プロファイルと目標プロファイルの違いを分析し、目標プロファイルを達成するための計画を作成する必要があります。
5. 「行動計画を実行し、組織プロファイルを更新する。」：最終ステップは、前のステップで作成した計画に従って行動し、目標プロファイルを達成することです。目標プロファイルには、組織が設定した期限を設けることも、継続的なプロセスとすることも可能です。  

これらの手順は、組織がサイバーセキュリティリスクへの備えを継続的に向上させたいと望む限り、何度でも繰り返すことができます。

CSFティアは、組織のサイバーセキュリティの準備状況とリスク軽減能力を特徴づけ、評価します。^{[ 31 ] [ 32 ] [ 33 ]} CSFティアは、組織が現在どのレベルのサイバーセキュリティ保護を受けているか、またその保護の背後にあるプロセスを把握するのに役立ちます。ティアは、組織の現在のプロファイルと目標プロファイルに情報を提供するために使用できます。組織のサイバーセキュリティリスクへの備えを説明する4つのティアがあります。4つのティアは、部分的（ティア1）、リスク情報に基づく（ティア2）、反復可能（ティア3）、適応的（ティア4）です。ティアは、サイバーセキュリティリスク管理のレベルを上げることで、組織がサイバーセキュリティの実践をどのように改善できるかについてのガイダンスを提供します。ティアは、組織内のすべての人に選択されたレベルのサイバーセキュリティの実践を知らせるためにも使用でき、従業員が組織のセキュリティ目標を認識できるようにします。ティアは、組織のサイバーセキュリティの準備状況の全体的な評価を提供しますが、ティアは組織プロファイルを補完するものとして使用し、置き換えるべきではありません。

2021年、NISTは、行政命令（EO）14028に基づく「EOクリティカルソフトウェア」の使用に関するセキュリティ対策を発表し、各機関の運用環境における展開済みEOクリティカルソフトウェアの使用をより良く保護することを目的としたセキュリティ対策の概要を示した。^{[ 34 ]}

• サイバーセキュリティ
• サイバーセキュリティ基準
• プライバシー
• 重要インフラの保護
• ISO/IEC 27001:2013 ：国際標準化機構による情報セキュリティ規格
• COBIT ：情報および関連技術の統制目標 - ISACAによる関連フレームワーク
• NIST特別刊行物800-53：「連邦情報システムおよび組織のためのセキュリティおよびプライバシー管理策」
• リスク管理フレームワーク- 米国連邦政府が義務付けたリスクフレームワーク（サイバーセキュリティよりも広範な範囲）

 この記事には、NISTサイバーセキュリティフレームワーク（PDF）からのパブリックドメイン資料が含まれています。米国国立標準技術研究所。

• 公式サイト
• NISTサイバーセキュリティフレームワークの力を活用する
• NISTIR 8374（草案）：ランサムウェアリスク管理のためのサイバーセキュリティフレームワークプロファイル（暫定草案）
• 参考資料 ホーム
• 派生関係マッピング
• 参考資料カタログ