NIST CSF 2.0とは：サイバーリスクを共通の言葉で整理する枠組み
NIST CSFは、組織がサイバーセキュリティのリスクを理解し、管理し、関係者へ伝えるための枠組みです。特定製品の購入リストでも、導入だけで法令遵守を保証する認証制度でもありません。
NISTの公式資料に沿って、何を守り、誰が判断し、何を改善するかを整理します。初心者は6機能を、情シスと経営層は現状・目標の差と優先順位を理解することが目標です。
6機能の違い：順番に一度だけ実行する工程ではない
| 機能 | 主に整理すること | 実務上の確認例 |
|---|---|---|
| GOVERN（統治） | 戦略、責任、方針、リスク管理 | 承認者、例外、委託先との責任分担 |
| IDENTIFY（識別） | 資産とリスクの理解 | 所有者、データ、業務依存、影響 |
| PROTECT（防御） | リスクを低減する保護 | 権限、更新、教育、バックアップ |
| DETECT（検知） | 異常や事象の発見・分析 | ログの取得、監視、アラート評価 |
| RESPOND（対応） | 検知した事象への行動 | 報告、調査、封じ込め、関係者調整 |
| RECOVER（復旧） | 影響を受けた業務の回復 | 復元検証、再開判断、状況共有 |
機能は並行して継続します。例えば、対応中にも新しい影響を識別し、経営上の判断を行い、監視を続けます。すべての組織に24時間監視や特定製品が一律に必要という意味ではありません。
現状・目標プロファイルで改善を決める
プロファイルは、組織の状況と目指す成果をCSFの内容に沿って整理するものです。「ツールがある」だけでなく、実際に必要な成果が得られるかを確認します。
- 現状
証跡と担当者を確認。取得していないログや未確認事項を明記。
- 目標
業務影響とリスク許容度から、必要な成果を決める。
- 改善計画
差分、責任者、期限、予算、完了の確認方法を記録。
たとえば「管理者ロール変更を確認できない」が現状なら、「責任者が変更を把握し、未承認の追加を調査できる」が目標です。製品の購入と、ログ設定・通知先・対応手順の整備を分けて計画します。
ティアは成熟度の成績表ではない
ティアは、組織のサイバーリスク管理・ガバナンスの厳密さを特徴付けるものです。NIST SP 1302を参照し、リスクと組織の状況を踏まえて使います。
業種名だけで「必ずティア4」「中小企業はティア2」と割り当てません。また、特定のティアを選ぶことと、個別の法令・契約・認証要件を満たすことは別です。必要な規制対応はその制度の公式資料と自社の適用範囲で確認してください。
実務で使うチェックリストと記録例
用語や評価の根拠が曖昧なら、リスク・脅威・脆弱性の違いと判断・記録方法で、事象、弱点、業務影響を分けて整理できます。下記の現状・目標へつなぎ、対策の確認結果と残るリスクを区別します。
- 対象の業務・組織・委託先と、含めない範囲を明確にする。
- 資産とデータの所有者、止まった時の業務影響を確認する。
- 現状を示すログ、設定、手順、訓練結果を集める。
- 目標とする成果、差分、リスク受容の承認者を決める。
- 改善の責任者、期限、完了証跡、再評価の機会を記録する。
記録例は「対象：SaaS管理権限／現状：未承認の追加を定期確認できない／目標：変更の報告・調査ができる／担当・期限：組織で決定／完了証跡：設定と試験結果」です。事実と未確認事項を分け、数字だけで安全性を判定しません。
関連ページ
リスク管理、インシデント対応、SaaS権限棚卸し、フレームワーク一覧へ進めます。
CSFの目標プロファイルを作る時、適切な考え方は？