NISTサイバーセキュリティフレームワークとは？6機能を解説

NISTサイバーセキュリティフレームワーク（NIST CSF）とは、組織のサイバーセキュリティ対策を「統治・特定・防御・検知・対応・復旧」という6つの機能に整理し、リスク管理の共通言語として使うための枠組みです。米国国立標準技術研究所（NIST）が公開しており、特定の製品や規格に縛られず、業種・規模を問わず使える点が特徴です。この記事では、CSFの中身と最新版2.0での変更点、情シスでの現実的な使い方を整理します。

この記事でわかること

  • NIST CSFが「何をするための道具」なのか（監査規格との違い）
  • コアを構成する6つの機能（Function）の役割
  • 2.0で追加された「統治（GOVERN）」が意味すること
  • ティアとプロファイルで「現状と目標の差」を可視化する使い方

なぜ重要なのか──「共通言語」としての価値

セキュリティ対策は、ファイアウォール、EDR、多要素認証、教育…と個別の施策が山積みになりがちです。CSFの価値は、これらを「機能」という上位の視点で棚卸しし、抜け漏れと重複を俯瞰できることにあります。

とりわけ効くのが経営層・他部署への説明です。「ウイルス対策を入れています」ではなく「検知（Detect）と対応（Respond）は整備済みだが、復旧（Recover）の演習が手薄です」と言えると、投資の優先順位を共有しやすくなります。CSFは強制力のある規格ではなく、対話とロードマップ作成のためのフレームワークだと捉えると位置づけを誤りません。

CSFを構成する3つの要素

CSFは大きく「コア」「ティア」「プロファイル」の3要素でできています。

1. コア（6つの機能）

コアは、対策を機能→カテゴリ→サブカテゴリの階層で整理したものです。最上位の6機能は次のとおりです。

機能 問い（何をする段階か）
統治（Govern） 誰が責任を持ち、どんな方針・優先度でリスクを扱うか。2.0で新設
特定（Identify） 守るべき資産・データ・業務は何か。リスクを把握する
防御（Protect） 被害を防ぐ・小さくする。アクセス制御、教育、データ保護など
検知（Detect） 不審な事象・侵害の兆候に気づく仕組み
対応（Respond） インシデント発生時に封じ込め・連絡・分析を行う
復旧（Recover） 業務とデータを元に戻し、教訓を次に活かす

「防御」だけに偏らず、気づく（検知）→動く（対応）→戻す（復旧）までを一連で捉えるのがCSFの思想です。

2. ティア（成熟度の目安）

ティアは、リスク管理の取り組み度合いを4段階（第1層：部分的〜第4層：適応的）で示す物差しです。全社を一律に最高ティアへ引き上げるのが目的ではなく、自社のリスクに見合った水準を選ぶための目安です。

3. プロファイル（現状と目標）

プロファイルは、自組織の「現状（Current）」と「目標（Target）」をコアに沿って書き出したものです。両者の差分がそのままやるべきことリストになります。NISTはランサムウェア対策など目的別の「コミュニティプロファイル」も提供しており、ゼロから作らず雛形として使えます。

2.0で何が変わったのか──「統治（Govern）」の新設

2024年2月に公開されたCSF 2.0での最大の変更は、6番目の機能として「統治（Govern）」が加わったことです。従来は技術・運用の5機能が中心でしたが、2.0はその土台として「経営が方針・役割・優先度を定め、サプライチェーンのリスクまで含めて統治する」層を明確に位置づけました。

これは実務の肌感覚とも合います。ツールを入れても、責任者が曖昧・予算がつかない・委託先の管理が抜ける、といった問題は結局ガバナンスの欠落に行き着くからです。2.0はまた、適用対象を重要インフラ中心から「あらゆる規模・業種の組織」へ広げ、中小組織でも使いやすい導入ガイドを拡充しました。

情シスはどう使うべきか

いきなり全項目を精緻に埋める必要はありません。現場目線で言えば、限られた人員で全サブカテゴリを網羅的に評価するのは非現実的で、力尽きて形骸化するのが最悪のパターンです。まずは6機能ごとに「できている／怪しい／未着手」の三段階でざっくり自己評価し、穴の空いている機能から手をつけるだけでも十分に価値があります。

具体的な対策の中身は自前で作り込まず、公的機関の指針を土台にするのが近道です。中小企業なら情報処理推進機構（IPA）の中小企業の情報セキュリティ対策ガイドライン、ランサムウェアに絞るならランサムウェア対策特設ページが実務的です。CSFで「どの機能が弱いか」を見つけ、その穴を公的ガイドで埋める、という組み合わせが回しやすいでしょう。

関連用語・関連記事

CSFの各機能は、当サイトで個別に解説している概念と地続きです。あわせてご覧ください。

まとめ

  • NIST CSFは、対策を6つの機能で棚卸しする「共通言語」。規格の合否ではなく、抜け漏れの可視化と説明に使う。
  • コア（6機能）・ティア（成熟度の目安）・プロファイル（現状と目標の差分）の3要素で構成される。
  • 2.0で「統治（Govern）」が新設され、経営の関与とサプライチェーン管理が土台として明確化された。全社網羅より、弱い機能から着手するのが現実的。

出典

タイトルとURLをコピーしました