NISTサイバーセキュリティフレームワーク2.0とは:求められる要件と実装方法
NISTサイバーセキュリティフレームワーク(CSF)は、世界で最も広く参照されている任意のサイバーセキュリティ標準であり、あらゆる業種の組織がサイバーセキュリティリスクを管理する枠組みとして活用しています。2024年2月、NISTはCSF 2.0を発表しました。これは2014年の初版公開以来、初となる大幅な改訂であり、新たに6つ目のコア機能を追加するとともに、本来は重要インフラを対象としていた適用範囲を大きく拡大するものです。
本ガイドでは、NIST CSF 2.0の6つの機能それぞれが実際に何を求めているのか、旧フレームワークから何が変わったのか、そして組織がどのようにこれを実践に落とし込んでいるのかを解説します。サイバーセキュリティプログラムをゼロから構築する場合でも、既存のCSF 1.1の実装を更新する場合でも参考にしていただけます。
エグゼクティブサマリー
要点: NIST CSF 2.0は、ガバナンス(Govern)、識別(Identify)、防御(Protect)、検知(Detect)、対応(Respond)、復旧(Recover)という6つの機能を軸にサイバーセキュリティリスク管理を体系化しており、組織の規模や業種を問わず適用できる、リスクベースの構造的アプローチを提供します。CSFはそれ自体が規制ではなく任意の枠組みですが、CMMC、FedRAMP、HIPAAセキュリティルールの要件、そして業種別コンプライアンスフレームワークの多くの基盤となっている、あるいは直接的に対応しています。
押さえておくべき理由: CSF 2.0における最も重要な追加要素であるガバナンス(Govern)機能は、規制当局や監査人がサイバーセキュリティプログラムを評価する視点の変化を反映しています。つまり、技術的な統制が存在するかどうかだけでなく、サイバーセキュリティリスク管理が組織の意思決定に真に組み込まれ、経営層レベルで監督されているかどうかが問われるようになったのです。いまだにCSF 1.1の5機能構造で運用している組織は、CSF 2.0が明確化したガバナンスへの期待に対応できていないことになります。この期待は、ベンダーのセキュリティ質問票、サイバー保険の審査、取締役会向けのリスク報告においても、ますます重視されるようになっています。
重要なポイント
- CSF 2.0では6つ目の機能「ガバナンス(Govern)」が追加されました。 2014年の初版フレームワークは、識別(Identify)、防御(Protect)、検知(Detect)、対応(Respond)、復旧(Recover)という5つの機能でサイバーセキュリティリスク管理を体系化していました。2024年2月に発表されたCSF 2.0では、基盤となる6つ目の機能としてガバナンス(Govern)が追加され、サイバーセキュリティリスク管理の戦略、役割、方針、監督体制を明確に定義し、他の5機能と並存するものとして暗黙的に扱うのではなく、全社的なリスク管理に統合する必要があることが示されました。
- CSF 2.0は、重要インフラだけでなくすべての組織を対象とすることを明示しています。 元々のCSFは主に重要インフラ分野を念頭に策定されたものでした。CSF 2.0では、業種や規模、既存のサイバーセキュリティ成熟度にかかわらず、あらゆる組織が活用できるよう意図的に適用範囲が拡大されています。これは、2014年以降、本来の対象を大きく超えてこのフレームワークが広く採用されてきた実態を反映したものです。
- NIST CSFは任意の枠組みですが、コンプライアンスフレームワーク全体の事実上の基準として機能しています。 CSF自体は規制ではなく、遵守しなくても直接的な罰則はありません。しかし、その構造と統制への期待は、CMMC、FedRAMPのリスクマネジメントフレームワーク、HIPAAセキュリティルールの技術的セーフガード、そして数多くの州別・業種別要件の基盤となっている、あるいは密接に対応しています。CSFを軸にサイバーセキュリティプログラムを構築する組織は、複数の規制フレームワークへの対応を同時に支える基盤を築くことができます。
- 各機能はカテゴリとサブカテゴリに分かれ、具体的な成果を定義しています。 CSF 2.0は特定の技術的統制を列挙したチェックリストではなく、成果ベースのフレームワークです。6つの各機能は、カテゴリ(具体的な成果領域)とサブカテゴリ(より詳細な望ましい成果)に分解され、組織はこれらを自社のリスクプロファイルやNIST SP 800-53などの既存フレームワークに適した具体的な技術的・組織的統制へとマッピングしていきます。
- 実装ティア(Implementation Tiers)は、コンプライアンスのレベルではなく組織の成熟度を表します。 CSF 2.0は、初版フレームワークにあった4つの実装ティア(部分的、リスク情報に基づく、反復可能、適応的)を引き継いでいます。これらは、サイバーセキュリティリスク管理の実践が組織の意思決定にどの程度深く統合されているかを示すものです。ティアは外部検証のための認証や成熟度スコアではなく、組織が自社の現状と改善優先事項を理解し、伝えるための自己評価ツールです。
CSF 1.1からCSF 2.0への変更点
NISTは2013年の大統領令を受け、重要インフラに対するサイバーリスクを低減するための任意のフレームワークを策定するよう指示され、2014年に初版のサイバーセキュリティフレームワークを公開しました。このフレームワークは、当初の対象範囲をはるかに超えて、米国内外を問わずあらゆる規模・業種の組織に採用され、瞬く間に事実上の標準となりました。
2024年2月に公開されたCSF 2.0は、10年にわたる実践経験と、いくつかの意図的な変更を反映したものです。
ガバナンス(Govern)機能の追加。 これが最も実質的な変更点です。CSF 1.1ではガバナンスの概念を識別(Identify)機能の中で扱っていましたが、CSF 2.0ではガバナンスを独立したコア機能へと格上げしました。これにより、組織のサイバーセキュリティリスク管理の戦略、期待事項、方針を理解し、確立し、伝達し、監視する必要があること、そして経営幹部や取締役会レベルでの明確な監督が必要であることが示されています。
すべての組織への適用を明示。 CSF 2.0の序文では、初版フレームワークにあった重要インフラ特化の枠組みが取り除かれ、業種や規模、サイバーセキュリティの成熟度にかかわらず、あらゆる組織に適用できるフレームワークとして正式に位置づけられています。
実装ガイダンスの拡充。 CSF 2.0では、多くのサブカテゴリに「実装例(Implementation Examples)」が追加されました。これは、特定の成果を達成するために組織が取り得る具体的で分かりやすい行動例であり、社内に高度なサイバーセキュリティの専門知識を持たない組織でも、フレームワークをより実践しやすくするものです。
サプライチェーンリスク管理の重視強化。 CSF 2.0は、サイバーセキュリティのサプライチェーンリスク管理に関するガイダンスを大幅に拡充しました。これは、サードパーティやベンダーのリスクが、大半の情報漏えいにおいて主要な攻撃経路となっているという認識の高まりを反映したものです。
NIST CSF 2.0の6つの機能
ガバナンス(Govern、GV)。 組織のサイバーセキュリティリスク管理の戦略、期待事項、方針を確立し、監視します。この機能は、組織的な背景、リスク管理戦略、役割と責任、方針、監督、サイバーセキュリティのサプライチェーンリスク管理をカバーします。実務上、ガバナンスは、誰がサイバーセキュリティリスクの意思決定に責任を持つのか、リスク許容度をどのように設定するのか、そしてプログラムが経営層レベルでどのように監督されるのかを定義する機能です。
識別(Identify、ID)。 システム、資産、データ、能力に対するサイバーセキュリティリスクについて、組織的な理解を深めます。これには資産管理(どのようなハードウェア、ソフトウェア、データが存在し、どこにあるかを把握すること)、リスクアセスメント、改善計画の策定が含まれます。システムとデータフローの正確かつ最新のインベントリは、他のすべての機能が依存する基盤です。組織は、自らが保有していることを把握していない資産を防御することも、その資産に対する脅威を検知することも、復旧させることもできません。
防御(Protect、PR)。 重要なサービスの提供を確実にし、サイバーセキュリティ事象が発生した場合の影響を抑制または限定するためのセーフガードを実装します。これにはID管理とアクセス制御、意識向上とトレーニング、データセキュリティ、プラットフォームセキュリティ、テクノロジーインフラのレジリエンスが含まれます。暗号化、アクセス制御、データ損失防止(DLP)の機能は主にこの機能に属します。
検知(Detect、DE)。 サイバーセキュリティ事象の発生をタイムリーに特定するための活動を実装します。これには継続的モニタリングと有害事象分析が含まれ、組織がインシデントに発展する前に何か問題が起きたことを認識できるようにする、ログ記録、モニタリング、異常検知の能力を指します。
対応(Respond、RS)。 検知されたサイバーセキュリティインシデントに対して行動を起こすための活動を実装します。これにはインシデント管理、分析、緩和策、そして報告とコミュニケーションが含まれます。多くのコンプライアンスフレームワークが情報漏えい発生後に別途義務付けている、規制当局、顧客、パートナーへの社内外のコミュニケーションもここに含まれます。
復旧(Recover、RC)。 サイバーセキュリティインシデントの影響を受けた資産や業務を復旧させるための活動を実装します。これにはインシデント復旧計画とコミュニケーションが含まれ、システムとデータを通常の運用状態に戻すプロセスや、復旧プロセス全体を通じて関係者に情報を提供し続けるためのプロセスを指します。
NIST CSF 2.0と他のコンプライアンスフレームワークとの関係
CSF自体は任意の枠組みであるため、遵守しなくても直接的な罰則はありません。しかし、その機能構造は、コンプライアンス上の義務を伴うフレームワークの基盤となっている、あるいは密接に対応しています。
CMMCと、その基盤であるNIST SP 800-171の統制は、特にアクセス制御、暗号化、監査ログに関して、CSFの防御(Protect)機能および検知(Detect)機能と密接に整合しています。FedRAMPの基盤となるリスクマネジメントフレームワーク(NIST SP 800-37)は、CSFと同じリスクベースの考え方を共有しており、FedRAMPの認可を取得している組織は通常、CSFの識別(Identify)機能および防御(Protect)機能に直接対応する統制をすでに実装しています。HIPAAセキュリティルールの管理的、物理的、技術的セーフガードのカテゴリは、CSFのガバナンス(Govern)、防御(Protect)、検知(Detect)の各機能に密接に対応しています。CSF 2.0を軸にサイバーセキュリティプログラムを構築する組織は、規制要件ごとに個別のサイロ化されたプログラムを構築するのではなく、これらすべてのフレームワークへの対応を同時に支える基盤を築くことができます。
組織はNIST CSF 2.0をどのように実践に落とし込んでいるか
CSF 2.0は特定の技術的統制を規定しているわけではありません。組織が自社の環境に適した統制(多くの場合、NIST SP 800-53のようなより詳細な標準から導き出されます)を通じて達成すべき、望ましい成果を定義しています。
実装は通常、組織プロファイルの作成から始まります。これは、組織のリスクプロファイル、ミッション、既存の規制上の義務に照らして、どのCSF成果が関連するかを選定し、それらの成果に照らして現在の実践を評価する作業です。この結果、現状プロファイル(組織の現在地)と目標プロファイル(到達すべき地点)が作成され、両者のギャップが改善のロードマップを定義します。
実装ティア(部分的、リスク情報に基づく、反復可能、適応的)は、組織のリスク管理の実践がどの程度統合され、成熟しているかを示すものです。場当たり的で受動的な状態(部分的)から、継続的に改善され、戦略的意思決定に統合された状態(適応的)まで幅があります。ティアは自己評価によるもので、社内の計画立案や社外とのコミュニケーションに用いられるものであり、認証や合否判定の指標ではありません。
KiteworksによるNIST CSF 2.0実装のサポート
Kiteworksは、組織が利用する機密データ交換のあらゆるチャネル—セキュアメール、セキュアファイル共有、マネージドファイル転送、SFTP、セキュアデータフォーム—にわたって、CSF 2.0の各機能に対応する機能を提供します。
ガバナンスについて: きめ細かなユーザープロファイル設定、役割ベースのコラボレーション権限、外部リポジトリ統合が、CSF 2.0のガバナンス機能が求める方針と監督体制を支えます。
識別について: Kiteworksは、プラットフォームを通過するハードウェア、ソフトウェア、サービス、データフローの正確なインベントリを維持し、CSFの識別機能が求める資産管理の基盤を支えます。
防御について: ID管理は、きめ細かな役割ベースのアクセス制御、多要素認証、IDプロバイダー統合を通じて強制されます。ファイルレベルおよびディスクレベルのAES-256暗号化に、FIPS 140-3検証済みの暗号モジュールと顧客保有の暗号鍵を組み合わせることで、静止データおよび転送中データを保護します。SafeEDITにより、ファイルを管理された環境の外に出すことなく、安全な共同編集が可能になります。
検知について: 継続的モニタリング、継続的なペネトレーションテスト、独自の異常検知パターンにより、不審な活動をリアルタイムで特定します。SIEM連携と自動通知が、組織全体のより広範な検知能力を支えます。
対応と復旧について: Kiteworksのすべてのチャネルにわたる、単一で統合された改ざん不可能な監査証跡が、インシデント分析と報告に必要なエビデンスを提供します。また、クラスタリングと仮想アプライアンスアーキテクチャが、復旧計画に不可欠な可用性とレジリエンスを支えます。
Kiteworksが貴社のNIST CSF 2.0実装をどのように支援できるか、ぜひご確認ください。カスタムデモを予約する
よくある質問
2024年2月に発表されたNIST CSF 2.0は、2014年の初版公開以来、NISTサイバーセキュリティフレームワークにとって初となる大幅な改訂です。最も重要な変更点は、6つ目のコア機能であるガバナンス(Govern)の追加であり、これによりサイバーセキュリティのガバナンス、戦略、監督が、初版で識別(Identify)機能の一部として扱われていたものから、独立した機能へと格上げされました。CSF 2.0はまた、初版が主に重要インフラを想定していたのに対し、業種や規模を問わずあらゆる組織に適用できるよう明確に適用範囲を拡大しており、より具体的な実装例やサプライチェーンリスク管理に関する拡充ガイダンスも追加されています。
6つの機能とは、ガバナンス(Govern、サイバーセキュリティリスク管理の戦略と監督体制の確立・監視)、識別(Identify、システム、資産、データに対する組織のサイバーセキュリティリスクの理解)、防御(Protect、アクセス制御や暗号化などのセーフガードの実装)、検知(Detect、モニタリングと分析によるサイバーセキュリティ事象の特定)、対応(Respond、報告やコミュニケーションを含む、検知されたインシデントへの対応)、復旧(Recover、影響を受けた資産と業務の復旧)です。各機能はカテゴリとサブカテゴリに分解され、具体的な望ましい成果が定義されており、組織はそれぞれの環境に適した統制を通じてこれらを達成します。
NIST CSFは任意の枠組みです。法律や規制ではなく、遵守しなくても直接的な罰則はありません。採用を選択したあらゆる業種・規模の組織に適用され、CSF 2.0では、実際に広く活用されてきた実態を反映して、初版が重視していた重要インフラという枠組みを超えて、明示的に適用範囲が拡大されました。CSF自体は任意ですが、その構造はCMMC、FedRAMPのリスクマネジメントフレームワーク、HIPAAセキュリティルールの要件など、コンプライアンス上の義務を伴うフレームワークの基盤となっている、あるいは密接に対応しています。そのため、こうした規制要件の対象となる組織にとって、CSFの採用は実用的な基盤となります。
実装ティアは、組織のサイバーセキュリティリスク管理の実践がどの程度統合され、成熟しているかを、4段階のスケールで示すものです。部分的(場当たり的で受動的な実践)、リスク情報に基づく(リスク管理の実践は存在するが組織全体で正式化されていない)、反復可能(正式な方針が確立され、一貫して実施されている)、適応的(リスク管理の実践が継続的に改善され、組織戦略に完全に統合されている)の4つです。ティアは、組織が現在の成熟度を理解し、改善の優先事項を設定するための自己評価・コミュニケーションツールであり、外部認証や合否判定の指標ではありません。
NIST CSFは任意の成果ベースのフレームワークであるのに対し、CMMCとFedRAMPは特定の対象組織に義務的な要件を課すコンプライアンスプログラムです。しかし、この3つはいずれも、根底にあるリスク管理の考え方と統制への期待を共有しています。CMMCの要件はNIST SP 800-171を基盤としており、これはCSFの防御(Protect)機能および検知(Detect)機能と密接に対応しています。FedRAMPのリスクマネジメントフレームワーク(NIST SP 800-37)は、CSFと同じ、リスクベースの基本的なアプローチを共有しています。NIST CSF 2.0を6つの機能すべてにわたって実装している組織は、多くの場合、CMMCやFedRAMPのコンプライアンスが求める統制基盤の大部分をすでに構築していることが分かり、いずれかのプログラムの正式なコンプライアンスを達成するために必要な追加作業を削減できます。
関連リソース