NIST RMF、ISO 27001、CIS Controls

セキュリティフレームワークは、組織が効果的なセキュリティプログラムを構築・維持するための、ガイドライン、ベストプラクティス、管理策を体系化したものです。フレームワークを使えばゼロから始める必要がなく、組織の規模、業界、リスクプロファイルに合わせて調整できる、実績のある方法論を利用できます。Security+試験では、広く採用されている3つのフレームワーク、NIST RMF、ISO 27001、CIS Controlsを取り上げます。それぞれ異なる観点からセキュリティにアプローチします。

NISTリスク管理フレームワーク（NIST SP 800-37）は、連邦情報システムにおけるセキュリティおよびプライバシーリスクを管理するための6段階のライフサイクルです。ただし、民間部門でも広く採用されています。6つのステップは、Categorize（システムとデータの機密性・重要度を分類）、Select（SP 800-53から適切な管理策を選択）、Implement（管理策を導入）、Assess（有効性をテスト）、Authorize（承認権限者によるATOの判断）、Monitor（継続的な監視）です。RMFでは、一時点の認証よりも継続的な承認を重視します。

NIST SP 800-53は、RMFのSelectフェーズで使用される管理策カタログです。アクセス制御（AC）、監査と説明責任（AU）、インシデント対応（IR）、システムおよび通信の保護（SC）など、セキュリティおよびプライバシー管理策を20のファミリーに分類しています。管理策には、システムのFIPS-199影響レベルに対応するベースライン割り当て（Low、Moderate、High）が付与されているため、組織はリスク分類に適した管理策セットを選択できます。

ISO/IEC 27001は、情報セキュリティマネジメントシステム（ISMS）に関する国際規格です。米国に重点を置くNISTとは異なり、ISO 27001は世界的に認知されており、組織は第三者による正式な認証を取得できます。これは、顧客からの信頼や国際契約の獲得に役立ちます。この規格はPlan-Do-Check-Act（PDCA）サイクルに基づき、個々の技術的な管理策を規定するのではなく、情報セキュリティを中心としたマネジメントシステムの構築に重点を置いています。

ISO 27001:2022の附属書Aには、4つのテーマに分類された93の管理策が含まれています。組織（37項目—ポリシー、役割、サプライヤーとの関係）、人（8項目—採用、教育、退職）、物理（14項目—施設、設備）、技術（34項目—アクセス制御、マルウェア、暗号化、ログ記録）です。すべての管理策を実施する必要はありません。組織は適用宣言書（SoA）に基づいて適用する管理策を選択し、除外した管理策についてはその理由を示します。

CIS Critical Security Controls（旧SANS Top 20）は、Center for Internet Securityが策定した、優先順位付けされた18の管理策グループです。長期的なプログラム管理よりもすぐに実施できることを重視した、非常に実践的で行動指向の内容になっています。CIS Controlsは、3つの実装グループ（IG）に分類されます。IG1は基本的なサイバーハイジーン（56のセーフガード）、IG2はより複雑な環境向けに74のセーフガードを追加したもの、IG3は高度な脅威に直面する成熟した組織向けの全153セーフガードです。

CIS Controlsは、高いレベルで実施すべき内容を定義し、CIS Benchmarksは特定のプラットフォームでの実施方法を定義します。CIS Benchmarksは、オペレーティングシステム（Windows、Linux）、クラウドプラットフォーム（AWS、Azure、GCP）、ネットワーク機器、ブラウザー、データベース向けに、規範的で手順化された強化ガイダンスを提供します。無料でダウンロードでき、CIS Control 4（安全な構成）の技術仕様として広く利用されています。Chef、Ansible、InSpecなどの自動化ツールを使えば、CIS Benchmarksを大規模に適用できます。

各フレームワークには、それぞれ主な用途があります。NIST RMFは、正式な承認プロセスが必要な米国政府や防衛関連請負業者に適しています。ISO 27001は、顧客にセキュリティを示すため、国際的に認知された認証を取得したい組織に適しています。CIS Controlsは、防御を迅速に改善するため、優先順位付けされた実行可能な手順を求める組織に適しています。成熟した組織の多くは、日常の運用にCIS Controls、リスクガバナンスにNIST RMF、顧客向けの認証にISO 27001という形で、3つすべてを利用しています。

Security+試験では、追加のフレームワークも扱われます。COBIT（Control Objectives for Information Technologies）は、ITガバナンスとセキュリティの事業目標への整合に重点を置いています。SOC 2は、サービスプロバイダーを対象とする監査規格で、セキュリティ、可用性、機密性、処理の完全性、プライバシーを評価します。PCI-DSSは、決済カード環境向けの規範的なコンプライアンス規格です。これらのフレームワークを理解すると、さまざまな業界や規制環境で使われる用語を用いて意思疎通できるようになります。

フレームワークを選ぶ際は、規制上の義務（HIPAAでは適用可能なセーフガードへの対応が求められ、FedRAMPではNISTが必須）、顧客要件（大企業の顧客からISO 27001認証を求められる場合がある）、組織の成熟度（CIS IG1は導入を始めたばかりの小規模組織に適している）、業界分野（金融サービスではNIST CSFやSOC 2が必要になる場合がある）を検討します。すべてのフレームワークを同時に実装して小規模なチームに過大な負担をかけるより、1つから始めて拡張する方がよいでしょう。

3つのフレームワークには、いずれも継続的改善を重視する姿勢が共通しています。NIST RMFのMonitorステップは、継続的な管理策テストを促します。ISO 27001のActフェーズでは、是正措置と改善計画が求められます。CIS Controlsは、脅威の状況の変化に合わせてバージョンアップおよび更新されています（現在はバージョン8.1）。フレームワークを一度きりのコンプライアンス対応と捉えるセキュリティプログラムは、すぐに遅れを取ります。フレームワークは、組織の能力や新たな脅威とともに時間をかけて成熟していく、生きたプログラムとして設計されています。

このレッスンで扱ったCompTIA Security+（SY0-701）の概念について、理解度を確認しましょう。

このレッスンでは、NIST RMFはSP 800-53の管理策を用いた6段階のリスクライフサイクル（Categorize、Select、Implement、Assess、Authorize、Monitor）を提供すること、ISO 27001はPDCAに基づく、世界的に認証を取得できるISMS規格であり、附属書Aの管理策を備えていること、そしてCIS Controlsは実践的で実行可能なセキュリティ改善のため、3つの実装グループに分かれた18の優先順位付き管理策グループを提供することを学びました。次は、データ分類スキームとプライバシー要件について学びます。