>
>
公開日
最終更新日
ランサムウェアや委託先を起点とする攻撃に備えるには、防御製品を追加するだけでは足りません。情報システム部門では、管理対象の資産、監視、インシデント対応、復旧手順、経営層への報告を一貫した基準で整理する必要があります。
NIST CSF 2.0は、その共通言語として活用できる枠組みです。最新版では、経営上のリスク管理と結び付けるGovern（統治）を含む6つの機能で構成されます。本記事では、NIST CSFとは何か、CSFの読み方、CSF 2.0日本語版、構成要素、ISMSとの使い分け、情シスが社内で進める導入手順を解説します。
NIST CSFとは
NIST CSF（読み方：ニスト・シーエスエフ）は、米国国立標準技術研究所（NIST）が策定したサイバーセキュリティリスク管理のフレームワークです。正式名称は「NIST Cybersecurity Framework」、日本語では「NISTサイバーセキュリティフレームワーク」と表記されます。
CSFは特定の製品、業種、企業規模に限定されず、組織が自社のサイバーセキュリティ上の現状と目標を整理し、優先順位を付けて改善するための共通言語として使えます。規程や個別の対策を単に列挙するのではなく、事業目標、リスク、セキュリティ対策の関係を結び付けられる点が特徴です。
CSF 2.0は2024年2月26日に公開されました。従来の5機能にガバナンスを扱う「GOVERN」が加わり、合計6機能になったことで、経営層の意思決定やリスク管理と、情シスが担う技術的な対策を同じ枠組みで扱いやすくなりました。
CSF 2.0の6機能と主な対応内容
CSF 2.0の中核であるCSF Coreは、サイバーセキュリティに関する成果を6つの機能に分類します。各機能は対策製品の導入有無を判定するチェックリストではなく、組織として達成したいセキュリティ上の状態を整理するためのものです。
機能 | 役割 | 情シスで整理する例 |
|---|---|---|
GOVERN（統治） | リスク管理方針、役割、監督、優先順位を定める | セキュリティ責任者、承認権限、リスク受容基準、委託先管理の方針を明確にする |
IDENTIFY（特定） | 資産、業務、依存関係、リスクを把握する | 端末・サーバー・SaaS・アカウントの棚卸しと、重要業務への影響分析を行う |
PROTECT（防御） | リスクを低減するための保護措置を実装する | 多要素認証、権限管理、パッチ適用、バックアップ、従業員教育を運用する |
DETECT（検知） | 異常やセキュリティイベントを見つける | ログ収集、監視対象の定義、アラートの判定基準、検知ルールを整備する |
RESPOND（対応） | 検知したインシデントに対処する | 連絡体制、初動手順、封じ込め、証跡保全、社内外への報告フローを定める |
RECOVER（復旧） | 業務やサービスを復旧し、再発防止につなげる | 復旧優先順位、復元テスト、利用者への連絡、原因分析と改善計画を管理する |
6機能は順番に一度だけ実施する工程ではありません。たとえば、DETECTで検知した事象をRESPONDで処理し、RECOVER後の振り返りをGOVERNの方針やIDENTIFYのリスク評価へ反映する、継続的なサイクルとして扱います。
▲ CSF 2.0における6つの機能と相互関係の構成図
2024年以降のCSF 2.0で押さえたい変更点
CSF 2.0では、2024年2月の公開時にGOVERNが追加されました。これにより、セキュリティを情シスだけの運用課題ではなく、経営リスクや事業継続に関わる管理課題として整理しやすくなっています。
また、NISTは2024年に「Organizational Profiles」と「CSF Tiers」に関するクイックスタートガイドを公開しました。CSF本体はNISTのSpecial Publication 1301（SP 1301）として整理されており、 から直接入手できます。各クイックスタートガイド（文書名「Quick-Start Guide: Using the CSF Organizational Profiles」「Quick-Start Guide: Using the CSF Tiers」など）はNISTのCSFアップデートアーカイブページ（https://www.nist.gov/cyberframework/updates-archive）から入手できます。プロファイル、ティア、サプライチェーンリスク管理、エンタープライズリスク管理など、用途別の補助資料が提供されており、CSF本体を読むだけでは運用イメージを作りにくい場合に、プロファイルの作成方法やティアの考え方を確認できます。
日本語で進めたい場合には、NISTが提供するCSF 2.0の日本語翻訳版を利用できます。2025年2月13日にNISTが公式に公開したもの（出典：NIST CSF Updates Archive）で、同アーカイブページから「Japanese」の表記がある翻訳文書として入手できます。ただし、社内規程や監査資料へ反映する際は、翻訳の表現だけで判断せず、原文のCSF Coreと対象となるサブカテゴリーIDを照合すると、用語の解釈のずれを抑えられます。
プロファイルとティアの違い
CSF 2.0を実務で使う際には、「プロファイル」と「ティア」を区別することがポイントです。プロファイルは、自社が現在どの成果を達成しているか、将来どの成果を目標にするかを記録するものです。一方のティアは、サイバーセキュリティリスクのガバナンスや管理プロセスの厳格さを表す文脈情報です。
ティアはTier 1からTier 4までの4段階で示されます。Tier 1は部分的、Tier 2はリスク情報を踏まえた運用、Tier 3は反復可能な運用、Tier 4は適応的な運用を表します。ただし、Tier 4がすべての組織にとって正解という意味ではありません。事業規模、扱う情報、許容できる停止時間、委託先への依存度などを踏まえ、必要な管理水準を定めます。
たとえば、プロファイルで「重要SaaSの管理者アカウントに多要素認証を適用する」を目標に置き、ティアでは、その運用が属人的か、手順化・測定・改善まで行われているかを評価します。プロファイルは何を達成するかを捉えるためのものです。ティアは段階を順に上がることを競うための成熟度モデルではなく、自組織のリスク管理実務がどの程度厳格に統合・実施されているかを評価する文脈情報として位置付けられています。
NIST CSFとISMSの違い
NIST CSFとISMSは、いずれも情報セキュリティの管理に役立つ枠組みですが、目的と使い方が異なります。ISMSは情報セキュリティマネジメントシステム（Information Security Management System）であり、ISO/IEC 27001はそのISMSに対する要求事項を定める規格です。ISO/IEC 27001への適合は、JABやJIPDECが認定した登録認証機関による審査を経て認証される仕組みがあるため、「ISMS認証」として組織の管理体制を対外的に示す用途でも使われます。
一方、NIST CSFは、組織がサイバーセキュリティの成果を整理し、リスクに応じて優先順位を付けるためのフレームワークです。認証取得そのものを目的とするものではなく、既存のISMS、社内規程、セキュリティ基準、技術的対策との対応関係を見える化する用途に向いています。
すでにISMSを運用している組織では、CSFの6機能を使って統制を再整理すると、経営層への説明、部門横断の課題管理、インシデント対応や復旧の抜け漏れ確認に活用できます。反対に、これから管理体制を整える組織では、CSFで目標状態を定めたうえで、必要に応じてISMSの要求事項へ展開する進め方もあります。
▲ NIST CSFとISMS（ISO/IEC 27001）の目的と使い方の比較図
情シスがCSF 2.0を導入する手順
CSF 2.0の導入は、すべてのサブカテゴリーを一度に満たすことから始める必要はありません。重要な業務、扱う情報、想定する脅威を基準に範囲を絞り、現状と目標の差分を改善計画に変換します。NISTのプロファイル作成に関するガイドでは、導入の流れを5つの段階で整理しています。
対象範囲を定める
対象となる業務、システム、拠点、委託先を決めます。たとえば、顧客情報を扱うSaaS環境や基幹システムから着手すると、優先順位を付けやすくなります。必要な情報を集める
資産台帳、ネットワーク構成図、権限一覧、障害記録、監査結果、契約上のセキュリティ要件を集約します。情報が不足している領域は、IDENTIFYにおける改善候補として記録します。現状プロファイルと目標プロファイルを作る
CSF Coreの成果ごとに、現状で達成している状態と、事業上必要な目標状態を記載します。導入済みのEDR、ID管理、ログ監視、バックアップなどは、機能名ではなく、どの成果に寄与するかで対応付けます。記入例として、PROTECT機能のサブカテゴリー「PR.AA-05（アカウントへのアクセス権限は最小権限の原則に基づき管理されている）」に対し、現状欄に「管理者権限を付与したアカウントが棚卸しされておらず、退職者アカウントが残存している」、目標欄に「四半期ごとに権限一覧を棚卸しし、退職後30日以内に無効化する手順が整備されている」と記載します。このように具体的な状態で書くと、IT部門と業務部門の間で「誰が手順を整備するか」「誰が承認するか」といった役割分担を話し合う起点になります。差分を分析し、行動計画を作る
現状と目標の差分を、リスクの大きさ、対応期限、費用、担当部門、他施策との依存関係で並べ替えます。多要素認証の未適用や復元テストの未実施など、影響が大きく実行可能な項目から計画へ入れます。施策を実行し、プロファイルを更新する
対策の実施後は、設定の有無だけでなく、ログ、テスト結果、訓練記録、レビュー結果などで成果を確認します。既存のISMS管理策（ISO/IEC 27001 附属書A）と対応付ける場合は、管理策番号とCSFのサブカテゴリーIDを横並びにした対応表（例：A.8.2「特権的アクセス権の管理」→ PR.AA-05）を作成すると、監査対応とCSF評価を兼用できます。評価証跡は「対策を実施した」という文書だけでなく、「いつ・誰が・何を確認したか」がわかるログのスクリーンショット、レビュー議事録、テスト実施報告書を同一フォルダで管理しておくと、次回のプロファイル更新時に現状欄を書き直す根拠として使えます。事業やシステム構成が変わった場合は、プロファイルと優先順位も更新します。
導入初期は、6機能すべてに同じ粒度で取り組むよりも、重要業務を1つ選び、現状プロファイルと目標プロファイルを作成する方法が現実的です。この小さな単位での評価を繰り返すことで、全社展開時にも判断基準をそろえやすくなります。
実務で陥りやすい点として、「プロファイルに成果ではなくツール名を書いてしまう」ケースがあります。たとえば「EDRを導入済み」と記載しても、それがDETECTのどのサブカテゴリー（例：DE.CM-01「ネットワークとエンドポイントの監視」）に対応し、どの程度の成果を達成しているかが不明なままでは、差分分析ができません。プロファイルには「何のツールを使っているか」ではなく、「どのセキュリティ上の状態を達成しているか」を、CSF CoreのサブカテゴリーIDと対応させて記載します。また、現状プロファイルを埋める際に「記録が存在しない＝実施していない」と判断するケースも多く、ログや証跡が残っていない運用は「Tier 1相当」として扱い、改善候補に挙げるのが現実的な出発点です。
▲ 情シスがCSF 2.0を実務に導入する4つの手順
まとめ
NIST CSFは、サイバーセキュリティリスクを事業上のリスクとして整理し、優先順位を付けて改善するためのフレームワークです。2024年2月公開のCSF 2.0では、GOVERNを含む6機能で対策と管理体制を整理できます。
情シスでは、まず重要業務を対象に現状プロファイルと目標プロファイルを作り、差分を改善計画へ落とし込むと導入を進めやすくなります。ティアは4段階の成熟度を競うための指標ではなく、自社のリスクに見合うガバナンスと管理プロセスを考えるための補助情報として扱います。
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
