NIST CSF 2.0：サイバーセキュリティフレームワークの新機能

はじめに：NIST CSF 2.0 が重要な理由

2014 年の初版以来、NIST Cybersecurity Framework（CSF）は、サイバーセキュリティリスクを管理するためのゴールドスタンダードとして定着しています。組織はこれを活用してセキュリティプログラムを策定し、リスクをコミュニケーションし、技術的な管理策をビジネス目標に合わせます。2024 年 2 月 26 日、NIST は CSF 2.0 をリリースしました。これは、2018 年 4 月のバージョン 1.1 以来の初めての大きなアップデートです。本更新は、今日の複雑なデジタル環境において、組織がサイバーセキュリティにどのように取り組むことが期待されているのかが根本的に変化したことを反映しています。

これが大きなアップデートである理由

CSF 2.0 は、実世界での長年にわたる運用経験、出現する脅威、そして変化するビジネスの現実を踏まえて形作られています。主な変更点には、次のようなものがあります：

• ガバナンスは現在、中核的な機能として位置づけられており、技術的な問題にとどまらず、ビジネスリスクとしてのサイバーセキュリティと、リーダーシップの説明責任に重点が置かれています。
• このフレームワークの適用範囲は、あらゆる種類・業種の組織にまで拡大されました。
• サードパーティおよびベンダーに関連する脅威の増大を背景に、サプライチェーンのリスク管理は戦略的優先事項として位置づけられています。
• 組織がこのフレームワークをより効果的に導入できるよう、新しい実装リソースが追加されました。

CSF 2.0 は誰が使用すべきか

従来のフレームワークが重要インフラに焦点を当てていたのに対し、CSF 2.0 は、グローバル企業から中小規模の企業まで、あらゆる組織を対象に設計されています。これは、サイバーセキュリティの成熟度がさまざまな組織に向けた指針を提供し、リスク、リソース、ビジネス目標に基づいて実施の優先順位を決めるのに役立ちます。セキュリティプログラムをゼロから構築したい場合でも、既存のものを改善したい場合でも、CSF 2.0 は堅牢で拡張可能な基盤を提供します。例として、次のようなシナリオがあります：

• 医療ヘルスケアのスタートアップが、初めてのセキュリティプログラムを構築しているケース。
• 製造業者が、顧客から新たなサプライチェーンのセキュリティ要件に対応する必要があるケース。
• 大企業のCISOが、セキュリティ戦略を取締役会レベルのリスク議論に合わせて調整するケース。

NIST サイバーセキュリティフレームワークとは？

NIST サイバーセキュリティフレームワーク（CSF）は、組織がサイバーセキュリティリスクを理解し、管理し、低減できるようにすることを目的として、米国立標準技術研究所（National Institute of Standards and Technology）が開発した、自主的なガイドラインとベストプラクティスの集合です。より具体的には、CSF はサイバーセキュリティ活動を 6 つのコア機能で整理します。Govern（ガバナンス）、Identify（特定）、Protect（保護）、Detect（検知）、Respond（対応）、Recover（復旧）。

CSF は柔軟で、リスクベースの考え方に基づいており、既存のセキュリティプログラムと併用できます。組織は、規模、成熟度レベル、業種、規制環境、リスク許容度に合わせて CSF を適応させることができます。このフレームワークは特定のツールや統制を義務としては提示しませんが、セキュリティ、IT、ビジネスのリーダーが優先事項を整合させ、情報に基づく意思決定を行うために使える共通の言語と構造を提供します。

CSF とコンプライアンス基準の違い

CSF はコンプライアンスのチェックリストや合否（パス/フェイル）の評価ではなく、リスク管理のためのフレームワークです。コンプライアンス基準があなたに 何を 行うべきかを示す一方で、CSF は なぜ それが重要なのか、そして どのように リスクに基づいて優先順位を設定するのかを理解するのに役立ちます。組織は CSF を使って：

• 現在のサイバーセキュリティ体制を評価し、ギャップを特定します。
• 目標状態を定義します。つまり、リスク許容度とビジネス上の優先順位に基づいて、各セキュリティ機能に関して組織がどの水準に到達する必要があるかを、測定可能な目標として設定します。
• 技術的なセキュリティ課題を、誰もが理解できるビジネス用語に翻訳することで、経営層、取締役会、その他の関係者にサイバーセキュリティ上のリスクを伝えます。
• CSF の管理策をコンプライアンスのフレームワークに対応付けることで、重複した取り組みを避け、規制・コンプライアンス活動を支援します。

フレームワークの主要な構成要素

NIST Cybersecurity Framework は、組織がサイバーセキュリティプログラムを構造化し、評価し、改善するために役立つ一連のコンポーネントを中心に構成されています。これらのコンポーネントは連携して、高レベルのリスク管理目標を成果（アウトカム）へと結び付けます。組織は Core を使用して成果を定義し、Profiles を使用して評価と計画を行い、Tiers を使用して自社のリスク管理レベルを理解できます。

CSF Core

CSF Core は、組織が達成を目指すべきサイバーセキュリティの成果（アウトカム）を定義します。これらの成果は次のように整理されます：

Profiles

Profiles は、組織のサイバーセキュリティ活動と目的を、現在の状況および将来の目標を反映した形で CSF Core にマッピングするのに役立ちます。これらのプロファイルは、組織のビジネス要件、リスク許容度、法的および規制上の義務、利用可能なリソースに整合している必要があります。

現在のプロファイルと目標のプロファイルを比較することで、組織はギャップを特定し、優先順位を設定し、セキュリティ態勢を強化するためのロードマップを作成できます。

ティア

ティアは、組織がサイバーセキュリティのリスク管理の実践における厳密さや洗練度を説明するのに役立ちます。ティアは成熟度レベルではなく、組織がそれらを順を追って進んでいくことは想定されていません。代わりに、組織は自社のプロファイルに適したティアを選択する必要があります。

NIST CSF 2.0における主な変更点

NIST CSF 2.0で展開された更新は、今日のサイバーセキュリティがどのように実践されているかを反映しています。これらの変更により、フレームワークはすべての規模・業種の組織にとって、よりわかりやすく、より関連性の高いものになりました。

より幅広い適用を可能にするために名称を変更

CSF 2.0で最もわかりやすい変更の一つは、名前そのものです。NISTは名称から「for Improving Critical Infrastructure」を削除しました。現在は「Cybersecurity Framework」だけになっており、これは意図的な変更です。CSFは当初、重要インフラを運用する組織を対象としていましたが、あらゆる規模や業種の組織が何年も前からそれを利用してきたという実態もあります。新しい名称はその現実を反映し、フレームワークがすべての組織に適しているというNISTの意図を強めています。

中小企業（SMBs）向けのガイダンスを拡充

CSF 2.0は、専任のセキュリティチームや十分な予算を持たないSMBs（中小企業）をより手厚く支援します。セキュリティ面での成熟度やリソースが限られたSMBs向けに、クイックスタートガイドと、導入のための実装例を新たに提示しています。これらの追加により、SMBsはフレームワーク全体を一度に実装しようとするのではなく、実用的でリスクに基づく改善に集中できるため、導入が容易で現実的なものになります。

より明確な表現と更新された用語

NIST はフィードバックを受けて、フレームワークの言語と構造を簡素化し、より分かりやすく一貫性のあるものにしました。定義はより明確になり、専門用語（ジャーゴン）は減らされ、用語は現代のサイバーセキュリティの実践、技術、および組織構造を反映するように更新されています。これにより、特に経営層、リスク管理担当者、取締役会メンバーなどの非技術系の利害関係者にとって、フレームワークの理解と適用が容易になります。

新しい実装リソース

CSF 2.0 には、組織が高レベルの要件を現実の行動へ落とし込むのを支援する強化されたリソースが用意されており、実装のハードルを下げます。これには次が含まれます：

• 各サブカテゴリごとの実装例と、成果をどのように達成できるかについてのガイダンス。
• さまざまな役割や組織タイプに合わせたクイックスタートガイド。
• CSF の成果を、すでに使用している可能性のある他のフレームワークに対応づけるための参照ツール。
• コミュニティ・プロファイル（Community Profiles）は、業界別のガイダンスを提供し、リスク環境が類似している組織の出発点として機能します。

新しい「Govern」機能

サイバーセキュリティがどこへ向かっているのかを示す変化があるとすれば、それはこれです。Govern は、今や単独の Function（機能）になりました。フレームワークの以前のバージョンでは、ガバナンスに関する活動が他の機能に分散していました。これらを新しい Function にまとめることで、NIST ははっきりと次のように示しています。サイバーセキュリティは単なる IT の問題ではなく、企業全体のリスクであると。効果的なサイバーセキュリティには、リーダーシップの関与、説明責任、そして組織の目的との整合が必要です。経営層および取締役会には、方向性の設定、リスク許容度の定義、そしてサイバーセキュリティ戦略の監督を担うという明確な役割があります。

Govern 内のカテゴリ

NIST CSF の Govern 機能は、組織レベルでのリーダーシップ、説明責任、およびリスク管理に焦点を当てた6つのカテゴリで構成されています。

なぜ今こそガバナンスなのですか？

時間の経過とともに、サイバーセキュリティは IT の課題から取締役会レベルの責任へと移行してきました。いくつかの注目度の高い侵害事故は、統治（ガバナンス）の不備が、金銭的、業務的、そして評判面での結果につながり得ることを明らかにしてきました。米国 SEC のサイバーセキュリティ開示規則や、EU の NIS2 指令のような規制の動向により、現在では、サイバーセキュリティ・リスクの監督において、シニアリーダーシップと取締役会が積極的な役割を担うことが明確に求められています。ガバナンスをコア機能（Core Function）として位置づけることで、CSF 2.0 は、有効なサイバーセキュリティはリーダーシップの関与、説明責任、およびエンタープライズ・リスク管理との統合に依存することを正式に認めています。

元の5つの機能の更新

新たに追加された Govern が注目を集める一方で、NIST は CSF 2.0 において、元の5つの機能も明確性、使いやすさ、そして現代的なサイバーセキュリティ実践を支えるために洗練させています。

識別（Identify） (ID)

ここでの重点は、組織の状況とサイバーセキュリティリスクを理解することに移ります。資産を単に棚卸しするだけではなく、なぜそれらが重要なのか、そしてそれらがどのようなリスクをもたらすのかを把握することが大切です。資産管理、ビジネス環境、リスク評価に関するガイダンスは、より実用的で、リスクに基づく意思決定をより適切に支援できるように洗練されました。

保護（Protect） (PR)

Protect Function の更新により、アイデンティティおよびアクセス管理、データセキュリティ、セキュリティ意識向上トレーニングに関連する管理策（コントロール）が明確化されました。このガイダンスは、クラウド基盤、ハイブリッド環境、リモート勤務の人員、ならびにサードパーティーサービスへの依存度が高まっている状況といった現代的な環境を対象としています。

検知（Detect） (DE)

Detect Function には、継続的な監視、異常検知、不利な（悪影響のある）事象の分析に関する改善されたガイダンスが含まれています。サイバーセキュリティのイベントを適時に検知すること、またインシデントがもたらす影響を減らすために、システム、ネットワーク、データソース全体で可視性を確保することの重要性を強調しています。

Respond (RS)

Respond Function では、CSF 2.0 が、対応計画、インシデント管理、分析、軽減（ミティゲーション）、および内部・外部双方のコミュニケーションなど、インシデント対応活動に対してより実行しやすいアウトカムを提示しています。これにより、サイバーセキュリティのインシデントが発生した際に、組織がより効果的に対応できるようになります。

Recover (RC)

復旧（Recovery）は、システムを再びオンラインに戻すこと以上のものです。CSF 2.0 は、復旧計画、改善活動、復旧プロセスをスムーズに実行すること、そして関係者が状況の進み具合を把握できるように、復旧期間を通じて明確なコミュニケーションを維持することに関するガイダンスを拡充しています。

Profiles と Tiers に関する拡張ガイダンス

CSF 2.0 は、組織が Profiles と Implementation Tiers を、単なる理論的な概念ではなく実践的なツールとしてどのように活用すべきかをより詳しく示しています。

Organizational Profiles の作成

CSF 2.0 は、現在の能力と将来の目的の両方を反映する Organizational Profiles を開発するための、より明確で実行しやすいガイダンスを提供しています。組織には次のことが推奨されています：

• 既存の実践を CSF のアウトカム（成果）に照らし合わせて対応付けることで、Current Profile を評価してください。すでにうまくできている点は何でしょうか？ギャップはどこにありますか？
• ビジネス目標、リスク許容度、および規制要件に基づいて、ターゲットプロファイル（Target Profile）を定義します。
• 現在のプロファイル（Current Profile）とターゲットプロファイル（Target Profile）間の違いを特定するために、ギャップ分析（gap analysis）を実施します。
• リスク、影響、リソースに基づいて、是正（改善）対応の優先順位を決定します。

コミュニティプロファイル

コミュニティプロファイルは CSF 2.0 で新たに登場したもので、ゼロから始めたくない組織にとって大きな転機となります。これらは、業界団体、政府機関、その他の分野の組織（ヘルスケア、金融サービス、製造など）が、特定の業界、技術、ユースケースに合わせたガイダンスを提供するために作成したプロファイルです。コミュニティプロファイルは、実務的な出発点、またはベンチマークとして機能し、組織が共有された専門知識を活用して、自社の業界における共通リスクに対処できるようにします。

Tiersを効果的に活用する

CSF 2.0 は、Implementation Tiers が組織を順位付けしたりスコアリングしたりするためのものではなく、文脈を提供することを意図していると再確認しています。Tiers は、組織がサイバーセキュリティのリスクをどれほど効果的に管理しているかを説明し、取締役会、規制当局、顧客、パートナーなどの社内外の利害関係者にそのレベルを伝えるのに役立ちます。

また、この枠組みは、すべての組織が Tier 4 に到達する必要はないことも明確にしています。小規模な非営利団体と多国籍銀行が同じ Tier を目指すべきではありませんが、それでまったく問題ありません。適切な Tier は、リスク許容度、ビジネスモデル、規制上の義務、リソースなどの要因によって決まります。

NIST CSF 2.0 における新しい重点分野

NIST サイバーセキュリティフレームワークの更新では、進化する脅威、複雑な環境、そして規制上の期待によって重要性が増している領域に、より大きな重点が置かれています。

サプライチェーンのリスク管理

サプライチェーンおよび第三者リスクは、CSF 2.0 で大きく取り上げられており、フレームワーク全体を通じて対応されています。新しい Govern 機能には、第三者およびサプライヤーのリスクを管理するための専用カテゴリが含まれており、関係者や C-suite の経営層がサイバーインシデントに対してより高いレベルの監督を行えるようになります。セキュリティチームは、誰がシステムにアクセスできるのか、そのアクセスがどのように使われているのか、そして万一侵害された場合にどのように対応するかを把握する必要があります。

SolarWinds などの同様のインシデントは、ベンダー、ソフトウェア提供事業者、サービスパートナーにおける脆弱性が広範な影響を及ぼし得ることを浮き彫りにしました。そのため、CSF 2.0 は、組織がサプライチェーンのリスクを戦略的な懸念として扱い、全体的なガバナンスおよびリスク管理に統合することを促しています。

新興技術

CSF 2.0 は、そのガイダンスを更新し、現代の技術環境をより適切に反映するとともに、現在のセキュリティ課題に対処できるようにしました。これには、クラウドベースのシステム、リモートおよびハイブリッドな働き方のモデル、モノのインターネット（IoT）導入、そして人工知能（AI）や機械学習の利用が増えていることへの配慮が含まれます。フレームワークは、これらの技術が「新しい名前を付けただけの古い問題のバリエーション」にすぎないかのように見せかけることなく、実際に安全にするための実践的な指針を提供します。

プライバシーの統合

サイバーセキュリティとプライバシーは切っても切り離せません。データ侵害は、セキュリティ上の失敗であると同時に、プライバシーの侵害でもあります。CSF 2.0 はこの重なりを認識し、NIST Privacy Framework との整合性をより強固にしています。これにより、組織はプライバシーに関する考慮事項をサイバーセキュリティの取り組みに統合でき、双方のリスクを協調した形で管理できるようになります。

国際標準との整合

CSF 2.0 は国際標準および業界標準との整合性がより高くなっており、組織が CSF の成果を既存の統制（コントロール）フレームワークにマッピングしやすくなっています。さらに、ISO/IEC 27001、CIS Controls、NIST SP 800-171 などの標準に関して、追加のマッピングと、より分かりやすい情報提供（参照）を提供します。これにより、取り組みを重複させることなく、複数のフレームワークへの適合を示すことが可能になります。

NIST CSF 2.0 の導入

CSF 1.1 から移行する場合でも、ゼロから始める場合でも、実用的で無理のない形で実装に取り組む方法を紹介します。

CSF 1.1 からのギャップ分析

すでに CSF 1.1 を使用している場合は、朗報です。CSF 2.0 は、これまでに把握してきた内容を土台に構築されています。まずは CSF 2.0 に照らしたギャップ分析から始めてください。次のアプローチにより、移行をスムーズに保ちながら、組織がギャップと優先すべき領域を特定できるようになります。

1. リスク管理戦略、監督体制、サプライチェーンのリスク管理などの GV Categories に照らして、既存のガバナンス慣行を評価し、新しい Govern Function を見直してください。おそらくすでに一部の作業は実施できているはずです。あとは、それを形式知として整えることがポイントです。
2. 既存のコントロールを更新された Categories および Subcategories に対応付け、現在の実践がどこで既に一致しているかを把握します。
3. ギャップを特定し、特に CSF 2.0 でより強調されている領域（たとえば、サードパーティおよびサプライチェーンのリスク管理）に注目してください。
4. 組織プロファイル（Organizational Profiles）を更新し、CSF 2.0 の構造を反映させます。現在のプロファイルでは新しい Govern 機能を考慮し、目標のプロファイルでは更新されたフレームワークの下で到達したい状態を反映させてください。

段階的な導入戦略

段階的に進めることで、実装を無理なく進められ、進行とともに勢いも生まれます。

Netwrix が NIST CSF 2.0 の実装をどのように支援するか

Netwrix は、identity、データ、ガバナンス、モニタリング、レスポンスにまたがる主要な CSF Functions を直接サポートする製品を提供しています。組織が可視性を高め、アクセスを制御し、脅威を検出し、証拠を統合してコンプライアンスを示せるよう支援します。

Identify：IT 資産とデータの可視性

強固なサイバーセキュリティプログラムは、「どのような資産とデータを持っているのか」「それらはどこに存在するのか」「どのようなリスクを抱えているのか」を把握することから始まります。Netwrix は、ハイブリッド IT 環境に対する深い可視性を提供することで Identify Function を支援します。これにより、組織は資産を発見し、機密データを分類し、ファイルサーバー、データベース、SharePoint、Office 365、クラウドストレージ全体において重要かつ規制対象の情報がどこに存在するのかを理解できます。

• Netwrix Auditor は、Active Directory、ファイルサーバー、Microsoft 365 などの IT システム全体における変更、構成、アクセスの可視性を提供し、組織がセキュリティ上のギャップを特定し、ユーザーの活動を追跡できるようにします。
• Netwrix Data Classificationにより、組織は機密情報を発見して分類できるようになり、オンプレミスおよびクラウドのリポジトリ全体で、十分に保護されていない、または規制対象となるデータを特定するのに役立ちます。

これらのソリューションを組み合わせることで、資産管理とリスク評価に関する Identify Function の要件を直接支える、包括的な資産の可視化を実現します。

Govern：アクセス制御とポリシーの強制

• Netwrix Privilege Secure は、特権アクセス管理（PAM）を提供し、just-in-time アクセスを可能にして、常時の管理者権限を削減します。さらに、特権アクティビティの監督と説明責任のために、セッションのモニタリングおよび記録機能も備えています。
• AI を活用したリスク修復機能により、Netwrix 1Secure プラットフォームはデータ セキュリティのリスクを特定するだけでなく、データを露出させる可能性のある高リスク権限に重点を置いた、最適化された修復手順も提供します。

これらの機能は、役割、責任、監督、およびサプライヤーまたは第三者によるアクセス制御に関連する Govern の成果に直接対応しています。

検出：変更の追跡と異常検知

継続的な監視と早期検知により、サイバーインシデントの影響を抑えることができます。Netwrix は、不審な活動や予期しない変更をより見える化することで、Detect 機能を強化します。

• Netwrix Auditor は、セキュリティ分析を提供し、セキュリティ上のギャップを特定し、ユーザーの行動における異常を検出し、潜在的な脅威に対応するために脅威パターンを適時に調査します。
• このプラットフォームは、Active Directory の変更、ファイルアクセスのパターン、設定の変更、特権ユーザーのアクティビティなど、重要なシステムへの変更をリアルタイムで監視します。さらに、不審な活動や通常の挙動からの逸脱を検出すると、セキュリティチームに通知します。

これは、不審な挙動の検知、監視、および有害事象の分析に関連する CSF Detect の成果をサポートします。

復旧：監査ログとレポート

復旧はシステムを元に戻すことだけにとどまりません。説明責任（accountability）、フォレンジックの証拠、そして明確なコミュニケーションが必要です。Netwrix は、迅速な復旧、監査のサポート、レポート機能を通じて Recover Function を支援します。

• Netwrix Auditor フォレンジック分析やインシデント調査に活用できる、詳細なアクティビティ記録と変更履歴を保持することで、セキュリティチームが「何が起きたのか」「誰が関与していたのか」「被害をどう封じ込めるべきか」を理解するために必要な証拠を提供します。
• また、自動化されたレポート、アラート、および調査ツールも提供し、規制要件への準拠を支援するとともに、IT チームが監査の依頼に効率的に対応できるようにします。
• 事前に用意されたレポートは、PCI DSS、HIPAA、SOX、GDPR、および NIST の各種基準の要件に合致するため、Response と Recovery の両フェーズにおいて、取締役会、監査人、規制当局に対して CSF の整合性をより容易に示せます。
• Netwrix Identity Recovery は、Active Directory と Entra ID のオブジェクトや属性、さらにはフォレスト全体を迅速に復旧し、最小限のダウンタイムで業務を再開できるようにします。

これらの機能は、効果的なインシデント管理、事後分析、復旧コミュニケーション、そしてビジネスのレジリエンスを支援します。これらは、CSF 2.0 における Respond および Recover 機能の主要な成果です。

組織が押さえるべき要点

組織は CSF 2.0 を活用して、セキュリティプログラム、ガバナンス、レジリエンス、そしてリスクに関するコミュニケーションを強化できます。NIST CSF 2.0 の導入またはアップグレードを検討する際は、次の重要な点を押さえておいてください。

1. ガバナンスが中心です:
   NIST CSF 2.0 では、ガバナンスが中心となっています。新しい Govern Function は、多くの組織が経験を通じて学んできたことを形式知化します。つまり、サイバーセキュリティは企業のリスクであり、単なる技術的コントロールではなく、リーダーシップの説明責任と取締役会レベルの監督を求めるものです。
2. アクセシビリティが向上:
   CSF 2.0 は、あらゆる規模・業種の組織のために明確に設計されています。新たなガイダンスと実装リソースにより、このフレームワークは中小企業だけでなく、成熟したエンタープライズにとってもより使いやすくなりました。もう大規模なセキュリティチームがなくても、このフレームワークの恩恵を受けることができます。
3. サプライチェーン重視:
   第三者およびサプライヤーのリスク管理は、いまやフレームワーク全体に組み込まれています。これは、ベンダーへの依存がもたらす影響が拡大していることを反映しており、サプライヤーにはサイバーセキュリティに関する期待水準を満たす必要があることを強調しています。
4. 実践的なリソース:
   CSF 2.0 には、実装の例、クイックスタートガイド、そして Community Profiles が用意されており、すぐに取りかかれる状態を提供します。これらのリソースは、高レベルの概念を実行可能な手順へと落とし込み、導入をより簡単にします。
5. グローバルな整合:
   CSF 2.0 には、ISO/IEC 27001、CIS Controls、NIST SP 800-171 などのフレームワークへのマッピングの改善が含まれています。組織は、CSF の要件をコンプライアンス上の義務に対応付けることで、完全な形のコンプライアンス プログラムを別々に実行する代わりに対応できます。