NIST Cybersecurity Frameworkとは？

サイバー脅威は急速に進化し、データ量は指数関数的に増大しているため、多くの組織が適切なセキュリティを確保するのに苦労しています。堅牢なサイバーセキュリティフレームワーク（CSF）を導入することで、ビジネスを守ることができます。

最も優れたフレームワークの1つは、米国のNational Institute of Standards and Technology（NIST）によって提示されています。このガイドでは、原則、メリット、主要コンポーネントなど、NIST CSFの概要を紹介します。

NIST Cybersecurity Framework の目的とメリット

NIST Framework は、サイバーセキュリティのリスクをより適切に管理し、低減したい組織に向けたガイダンスを提供します。これは、ルール、管理策、またはツールのセットではないことを理解しておくことが重要です。むしろ、組織が現在のサイバーセキュリティおよびリスク管理システムの成熟度を測定し、それらを強化するための手順を特定するのに役立つ一連のプロセスを提供します。

NIST サイバーセキュリティ フレームワークの導入は任意ですが、民間部門・公共部門を問わず、あらゆる規模の組織にとって大きな価値をもたらし得ます。その理由は次のとおりです：

• 理解しやすく、使いやすいです。
• カスタマイズできることを前提としています。組織は、セキュリティシステムの改善に役立つ活動を優先順位付けできます。
• リスクベースであるため、組織が最も危険にさらされている資産を特定し、まずそれらを守るための対策を講じるのに役立ちます。

NIST CSF のメリット

NIST CSF の利用には複数のメリットがあります。特に、次のことに役立ちます。

• 現在のセキュリティリスクをより深く理解する
• 最も重要な活動に優先順位を付ける
• 軽減（ミティゲーション）戦略を特定する
• 有効なツールやプロセスを評価する
• サイバーセキュリティ投資のROIを測定する
• IT、ビジネス、経営チームを含むすべての関係者と効果的にコミュニケーションを取る

NIST サイバーセキュリティフレームワークの構成要素

NIST CSF には 3 つの構成要素があります：

• コア
• 実装ティア
• プロファイル

コア

コアは、非技術的な言葉を用いて異なるチーム間のコミュニケーションを促進しながら、高度なサイバーセキュリティ目標を体系的に示します。最上位のレベルでは、5つの機能があります：

• 識別 — 人員、システム、情報を含む、すべての会社資産に対するサイバーセキュリティ上のリスクを特定すること
• 保護 — 最も重要な資産を守るためのシステムを導入します
• 検知 — 環境に脅威をもたらし得る進行中のサイバーセキュリティイベントを見つけ出します
• 対応 — 被害を防止または軽減するために脅威に対して行動します
• 復旧 — 脅威によって損傷した能力やサービスを復元します

各機能は、以下のとおりカテゴリに分けられています。全部で 23 の NIST CSF カテゴリがあります。

各カテゴリにはサブカテゴリがあり、「外部の情報システムがカタログ化される」や「検知システムからの通知が調査される」といった、サイバーセキュリティ・プログラムを作成または改善するための成果（アウトカム）に基づく記述が含まれます。なお、各成果を達成する手段は指定されていません。適切な措置を特定する、または開発するのは、貴組織の責任です。

NIST CSF の中核となる機能とカテゴリ

実装ティア

NIST CSF には4つの実装ティアがあり、組織のリスク管理実践の成熟度レベルを説明します。つまり、サイバーセキュリティ上のリスクを低減するための進捗を測り、現在の取り組みが、予算、規制要件、そして望ましいリスク水準に照らして適切かどうかを評価するのに役立ちます。ティアは次のとおりです:

• ティア1：Partial（部分的） — 非公式、存在しない、または体系化されていないリスク管理手法
• レベル 2：リスクに基づく — 部分的かつ個別に行われた実装、または未完了のリスク管理プロセス
• レベル 3：再現可能 — 形式化され構造化された方針・手順、および堅牢なリスク管理プログラム
• レベル 4：適応型 — 継続的に調整・改善される、対応力のあるリスク管理プログラム

すべての領域をレベル 4 まで引き上げる必要はなく、むしろ推奨されません。代わりに、ビジネスにとって最も重要な領域を見極め、その領域の改善に取り組みましょう。NIST CSF では、より高いレベルへの移行は、それによってサイバーセキュリティ上のリスクが低減され、かつ費用対効果が見込める場合に限るべきだと提案しています。

プロファイル

プロファイルとは、ある時点における組織のサイバーセキュリティ状況を示すものです。組織には複数のプロファイルがあるのが一般的で、たとえば NIST CSF の活用にあたってセキュリティ対策をまだ導入していない段階の初期状態を表すプロファイルや、望ましい目標状態を表すプロファイルなどがあります。これらのプロファイルにより、サイバーセキュリティ上のリスクを低減するためのロードマップを作成し、進捗状況を測定できます。

各プロファイルは、重要だと考える中核要素（機能、カテゴリ、サブカテゴリ）と、組織のビジネス要件、リスク許容度、リソースの両方を考慮します。ただし、プロファイルは硬直したものを意図していません。新しいバージョンのプロファイルでは、カテゴリやサブカテゴリを追加または削除する必要がある、あるいはリスク許容度やリソースを見直す必要があると気づくかもしれません。

NIST CSF を始める

NIST は Excel スプレッドシート を提供しており、NIST CFS の利用を始める際の助けになります。最初はそのスプレッドシートが少し難しそうに見えるかもしれません。進め方の一つとして、Tier と Priority という2つの列を追加する方法があります。Tier の列では、先ほど説明した 1〜4 の尺度に基づいて、各サブカテゴリについて組織の現在の成熟度レベルを評価します。Priority の列では、最も重要なサイバーセキュリティ目標を特定してください。たとえば、各サブカテゴリを Low、Medium、High のいずれかで評価することができます。この ウェビナー が、そのプロセスを案内します。

前に進むにつれて、物事を過度に複雑に考えたくなる衝動を抑えましょう。すべてを一度にやろうとすると、結果としてほとんど何も達成できないことがよくあります。フレームワークは取り組みを集中させるための単なるガイダンスにすぎないので、CSFを自分たちのものとして取り入れても構わないことを覚えておいてください。

また、サイバーセキュリティは目的地ではなく旅のようなものであるため、取り組みは継続していく必要があります。これらの学びを得たことで、組織はより強固なサイバーセキュリティ体制へ進むための準備が整うはずです。

よくある質問

1. NIST サイバーセキュリティフレームワークとは何ですか？

NIST Cybersecurity Framework (CSF) は、企業がサイバーセキュリティ体制を評価し、改善するのに役立つ任意のガイドラインの集合です。

1. NIST フレームワークは何のために使われますか？

このフレームワークは、リスクの特定と軽減のためのプロセス、またサイバー攻撃を検知し、対応し、復旧するためのプロセスを組織が実装するのに役立ちます。

1. NIST サイバーセキュリティフレームワークは誰が使用すべきですか？

あらゆる業種・規模・成熟度の組織が、このフレームワークを活用してサイバーセキュリティプログラムを改善できます。

1. 私たちの組織は NIST サイバーセキュリティフレームワークを導入すべきですか？

サイバーセキュリティプログラムを強化し、リスク管理とコンプライアンスのプロセスを改善する必要がある場合は、NIST CSF の導入を検討してください。

1. NIST サイバーセキュリティフレームワークの5つの要素は何ですか？

NIST CSF には5つの中核となる機能があります。Identify、Protect、Detect、Respond、Recover。

1. NIST サイバーセキュリティフレームワークの3つの部分は何ですか？

NIST CSF は、次の3つの主要コンポーネントで構成されています。core、implementation tiers、profiles。