NIST 800-53 標準は、組織が自社の情報システムに対してカスタマイズしたセキュリティおよびプライバシーの制御を選択し、維持する方法について、しっかりした指針を提供します。 NIST SP 800-53 Revision 5 は、情報技術に携わっている場合に把握しておく必要がある多くのコンプライアンス文書のうちの 1 つです。
この記事では、標準の実践的な意味と適用を強調しながら、理解しやすい形に分解して解説します。
厳選した関連コンテンツ：
NIST 800-53 とは？
NIST 800-53 は、国家に対する敵対者の技術能力が急速に発展していることに対応して、米国商務省と米国立標準技術研究所（NIST）が作成したセキュリティのコンプライアンス標準です。情報技術研究所（ITL）が推奨する管理策を取りまとめています。
NIST 800-53 は、国家安全保障に関係するものを除くすべての米国の連邦情報システムに対して必須であり、技術に中立的です。ただし、そのガイドラインは、機密性の高い、または規制対象のデータを取り扱う情報システムを運用するあらゆる組織が採用できます。自然災害から敵対的な攻撃まで、さまざまな脅威に対して防御するためのプライバシーおよびセキュリティの管理策カタログを提供します。
厳選した関連コンテンツ：
この標準は、プライバシーとセキュリティの統制を統合し、他のサイバーセキュリティおよびリスク管理アプローチとの連携を促進するように進化してきました。特に、それは連邦情報処理標準（Federal Information Processing Standards（FIPS））の範囲に適合します。FIPS では、組織が NIST 800-53 で定義された最低限のセキュリティ統制の基線を実装することが求められます。さらに、NIST の標準は、連邦情報セキュリティ近代化法（FISMA）の遵守にも役立ちます。この法律は、連邦のプログラムを運営する一環として、セキュリティとプライバシーのガイドラインを詳述しています。
情報インフラが拡大し、統合が進むにつれて、連邦のシステムであるか民間のシステムであるかにかかわらず、あらゆるアプリケーションにプライバシーとセキュリティを組み込む必要性も高まっています。NIST 800-53 に含まれる包括的な一連の統制とガイドラインを活用すれば、民間組織はサイバーセキュリティを維持するために、わざわざ最初から作り直す必要はありません。
NIST 800-53 の目的は何ですか？
セキュリティとプライバシーの標準の目的は、次の3つです。
- 変化する技術と脅威に基づき、現在および将来の防御のための包括的で柔軟な統制（コントロール）のカタログを提供すること
- 管理策の有効性を判断するための技術およびプロセスを評価するための基盤を構築する
- リスク管理の概念を議論するための共通の語彙により、組織間のコミュニケーションを改善するため
NIST Special Publication（SP）800-53で定められた管理策は、情報を処理、保存、または送信するあらゆる組織やシステムのリスク管理を改善することを目的として設計されています。
NIST 800-53 に準拠しなければならないのは誰ですか？
この標準は、連邦の情報システム、組織、および機関に対して義務となっています。連邦政府と連携して業務を行う組織はすべて、関係を維持するために NIST 800-53 を遵守する必要があります。
しかし、この標準は、中小企業からエンタープライズまで、州・地方・部族政府や民間企業を含むあらゆる組織が、情報セキュリティの取り組みを開発・維持・改善するための確かな枠組みを提供します。
NIST 800-53 の利点は何ですか？
この標準の最大のメリットは、より安全な情報システムを実現できることです。民間組織が NIST 800-53 を自主的に遵守するのは、18 のコントロールファミリが、情報セキュリティとプライバシーを保護するために適切な基本的なセキュリティ管理策、ポリシー、手順を選択するという課題に対処するのに役立つからです。
さらに、選択した各セキュリティおよびプライバシーの管理策について、それが自社のインフラや環境に適用可能かどうかを確認するために分析することを促します。このカスタマイズのプロセスは、セキュリティとコンプライアンスだけでなく、ビジネスの成功も確実にするのに役立ちます。 また、情報技術インフラ全体にわたって管理策を一貫して、かつコスト効率よく適用することを後押しします。
最後に、NIST 800-53 のガイドラインに従うことで、HIPAA、DFARS、PCI DSS などの他の規制やプログラムに準拠するためのしっかりした基盤を構築できます。GDPR。
NIST SP 800-53 はどのようなデータを保護しますか？
この標準は特定の情報タイプの一覧を提供していませんが、組織が作成・保管・送信するデータの種類を分類するための推奨事項は示しています。たとえば、ある分類として「保護対象」が挙げられます。このデータには、顧客名、生年月日、社会保障番号（Social Security numbers）などが含まれる可能性があります。
厳選した関連コンテンツ：
NIST 800-53 セキュリティ制御
NIST 800-53 は、セキュリティおよびプライバシーのコントロール（control）のカタログと、選定のためのガイダンスを提供します。各組織は、さまざまなコンテンツタイプに対する保護要件に基づいてコントロールを選択する必要があります。これは、異なるデータおよび情報システムに対するインシデントの影響を慎重にリスク評価し、分析することを要します。FIPS 199 では 3 つの影響レベルを定義しています。
- 低 — 損失による不利な影響は限定的です。
- 中程度 — 損失による不利な影響は重大です。
- 高 — 損失による不利な影響は壊滅的です。
セキュリティおよびコントロールのファミリー
NIST 800-53 のコントロールは、次の 20 のファミリーに割り当てられます。
ID | Family Name | Examples of Controls |
|---|---|---|
|
AC |
Access Control |
Account management and monitoring; least privilege; separation of duties |
|
AT |
Awareness and Training |
User training on security threats; technical training for privileged users |
|
AU |
Audit and Accountability |
Content of audit records; analysis and reporting; record retention |
|
CA |
Assessment, Authorization, and Monitoring |
Connections to public networks and external systems; penetration testing |
|
CM |
Configuration Management |
Authorized software policies, configuration change control |
|
CP |
Contingency Planning |
Alternate processing and storage sites; business continuity strategies; testing |
|
IA |
Identification and Authentication |
Authentication policies for users, devices and services; credential management |
|
IP |
Individual Participation |
Consent and privacy authorization |
|
IR |
Incident Response |
Incident response training, monitoring and reporting |
|
MA |
Maintenance |
System, personnel and tool maintenance |
|
MP |
Media Protection |
Access, storage, transport, sanitization, and use of media |
|
PA |
Privacy Authorization |
Collection, use and sharing of personally identifiable information (PII) |
|
PE |
Physical and Environment Protection |
Physical access; emergency power; fire protection; temperature control |
|
PL |
Planning |
Social media and networking restrictions; defense-in-depth security architecture |
|
PM |
Program Management |
Risk management strategy; insider threat program; enterprise architecture |
|
PS |
Personnel Security |
Personnel screening, termination and transfer; external personnel; sanctions |
|
RA |
Risk Assessment |
Risk assessment; vulnerability scanning; privacy impact assessment |
|
SA |
System and Services Acquisition |
System development lifecycle; acquisition process; supply chain risk management |
|
SC |
System and Communications Protection |
Application partitioning; boundary protection; cryptographic key management |
|
SI |
System and Information Integrity |
Flaw remediation; system monitoring and alerting |
NIST 800-53 準拠のためのヒント
以下のベストプラクティスは、NIST SP 800-53 の準拠に向けて適切なセキュリティおよびプライバシーのコントロールを選定し、実装するのに役立ちます。
- 機密（センシティブ）データを特定します。 組織がどのようなデータを扱っているのか、そのデータがどこに保存されているのか、またどのように受信・維持・送信されているのかを確認してください。機密データは複数のシステムやアプリケーションにまたがって存在する可能性があり、必ずしも「自分たちが思っている場所」だけにあるとは限りません。
- 機密（センシティブ）データを分類します。 データを分類し、ラベル付けします データの価値と機密性（センシティビティ）に応じて行います。各情報タイプに対して、各セキュリティ目標（機密性、完全性、可用性）ごとに影響度（低・中・高）を割り当て、影響度が最も高いレベルで分類してください。FIPS 199 を参照して、組織の目標、ミッション、そしてビジネスの成功に関連する適切なセキュリティ区分と影響度レベルを決定してください。プロセスを効率化し、一貫性のある信頼できる結果を確実にするために、発見と分類を自動化します。
- リスク評価を通じて、現在のサイバーセキュリティのレベルを評価しましょう。 高いレベルでは、 risk assessment とは、リスクを特定し、それらが発生する可能性と潜在的な影響を評価し、最も深刻なリスクを是正するための手順を講じたうえで、その手順の有効性を評価することを含みます。
- ポリシーと手順を改善するための計画を文書化しましょう。 具体的な業務ニーズに基づいてコントロールを選択します。選定プロセスの範囲と厳密さは、緩和対象となるリスクの影響度に比例するべきです。計画と、選択した各コントロールおよびポリシーについての根拠を文書化してください。
- 継続的な従業員向けトレーニングを提供する。アクセスガバナンスとサイバーセキュリティのベストプラクティスについて、すべての従業員に教育しましょう。たとえば、マルウェアの識別と報告方法です。
- コンプライアンスを継続的なプロセスにしましょう。 システムを NIST 800-53 に準拠させたら、定期的なシステム監査によって、特にセキュリティインシデントの後は、準拠状態を維持し改善してください。
厳選した関連コンテンツ：
結論
すべての連邦政府機関および組織は NIST 800-53 に準拠する必要があり、それらと取引を行う場合は、あなたの組織も同様に準拠している必要があります。準拠は、連邦政府と取引を行わない組織にとっては必須要件ではありませんが、基準を満たすことで、HIPAA や GDPR など幅広い他の規制に対するコンプライアンスの強固な土台を築くのに役立つため、毎回最初から手直しする必要がなくなります。
よくある質問（FAQ）
- NIST 800シリーズとは何ですか？
NIST 800 series は、情報システムのセキュリティに関する米国連邦政府の方針、手順、およびガイドラインを説明する文書群です。
- NIST 800-53とは何ですか？
NIST 800-53は、国家安全保障に関するものを除く、すべての米国の連邦情報システムに対するセキュリティ管理策の最低ベースラインを定義する規制上の標準です。これは、Federal Information Processing Standard (FIPS) が要求するセキュリティ管理策の最低ベースラインを定めています。
- NIST 800-53の目的は何ですか？
NIST 800-53は、あらゆる種類の組織が情報セキュリティシステムを適切に設計・運用し、Federal Information Security Modernization Act (FISMA) に準拠することを支援します。セキュリティとプライバシーを強化するための、幅広いコントロール（管理策）のカタログを提供しています。
- NIST 800-53にはいくつのコントロールが示されていますか？
NIST 800-53 には、1,000 を超える個別のコントロールで構成される 20 のコントロールファミリーがあります。各ファミリーは、アクセス制御のような特定のトピックに関連しています。
- NIST 800-53 の現在のバージョンは何ですか？
NIST 800-53 リビジョン 5 は 2020 年 9 月に公開されました。
- NIST 800-53 を遵守しなければならないのは誰ですか？
NIST 800-53 は、すべての省庁・機関における連邦の情報システムに対してのみ必須です。ただし、ガイドラインは州、地方、部族政府や民間企業にとっても非常に役立ちます。
共有する
もっと詳しく
著者について
Mike Tierney
元カスタマーサクセス担当 VP
Netwrix の元カスタマーサクセス担当 VP。ソフトウェア業界で 20 年以上にわたり培ってきた、多彩な経験を持っています。セキュリティ、コンプライアンス、そして IT チームの生産性向上に注力する複数企業にて、CEO、COO、VP Product Management の各職を歴任。