NIST CSFは、主に「フレームワークコア」「フレームワーク導入ティア」「フレームワークプロファイル」という3つの要素から成り立っています。

1. フレームワークコア

フレームワークコアは、サイバーセキュリティに関する活動項目を網羅した集合体であり、インシデントの発生前から発生後までの対策を体系的に理解するのに役立ちます。CSF 2.0へのアップデートにより、従来の5つの機能に「統治」が加わり、6つの「機能（Function）」で構成されています。

1. 統治（Govern）
   組織としてのサイバーセキュリティリスクに関する戦略・期待値・方針を定め、それらを適切に共有する。

2. 特定（Identify）
   組織の資産、システム、データ等を洗い出し、関連するサイバーセキュリティリスクを理解・管理する。

3. 防御（Protect）
   重要なサービスを提供し続けるために、適切な安全防護策を実施し、サイバー攻撃の影響を封じ込める。

4. 検知（Detect）
   サイバー攻撃や不正行為の発生をできるだけ早く把握するためのプロセス。

5. 対応（Respond）
   検知したインシデントに対して、影響を抑制するための適切な措置を講じる。

6. 復旧（Recover）
   インシデントによって損なわれた機能やサービスを回復するための計画を立て、実行する。 

これらの機能は、さらに「カテゴリ」「サブカテゴリ」へと細分化され、具体的な管理策（コントロール）へと繋がっていきます。

2. フレームワーク導入ティア

フレームワーク導入ティアは、組織のサイバーセキュリティリスク管理能力の成熟度を4段階で評価するための指標です。

ティアを用いることで、組織は自社の現状がどのレベルにあるのかを客観的に把握し、目指すべき目標レベルを現実的に設定できます。ティアは、単なる対策の有無だけでなく、リスク管理プロセスがどれだけ形式化され、組織全体で共有・改善されているかを評価します。

1. 部分的（Partial）
   リスク管理が場当たり的・事後対応型。セキュリティ活動は文書化されておらず、組織内で一貫性がない状態。

2. リスク情報を考慮（Risk Informed）
   リスク管理プロセスは存在するが、組織全体で体系的に実践されていない。外部との情報共有も限定的。

3. 反復可能（Repeatable）
   リスク管理プロセスが正式に文書化・承認され、組織全体の方針として実践されている。従業員も自らの役割を理解している。

4. 適応的（Adaptive）
   過去のインシデントや脅威情報、予測に基づき、継続的にセキュリティ対策を改善・進化させている。サイバーセキュリティが組織文化として根付いている状態。

3. フレームワークプロファイル

フレームワークプロファイルは、組織の現状（As-Is）と目標（To-Be）のセキュリティ状態を可視化し、そのギャップを明確にするためのツールです。

具体的には、フレームワークコアで定められた活動項目（サブカテゴリ）の中から、自社の事業目標やリスク許容度に応じて、どの項目をどのレベルで達成すべきかを定義したものがプロファイルです。

1. 現状プロファイル（Current Profile）
   現在のサイバーセキュリティ対策の実施状況を示します。「今どこにいるのか」を明確にします。

2. 目標プロファイル（Target Profile）
   事業目標やリスク評価に基づき、組織が目指すべき理想のセキュリティ状態を示します。「どこへ向かうべきか」を定義します。

この2つのプロファイルを作成し比較することで、対策が不足している領域（ギャップ）が明確になり、優先的に取り組むべき課題を特定した上で、具体的な行動計画を策定できます。