リスクフレームワーク：NIST CSFとISO 27001

セキュリティチームは、無限にある可能性のある管理策と限られたリソースに直面しています。リスクフレームワークは、体系化された用語、管理策カタログ、評価方法を提供し、組織がセキュリティ投資の優先順位を付け、経営層にリスクを伝え、コンプライアンスを実証するのに役立ちます。

NIST CSF（バージョン2.0）は、サイバーセキュリティ活動を6つの機能、Govern、Identify、Protect、Detect、Respond、Recoverに整理します。各機能には、具体的なセキュリティ成果に対応付けられたカテゴリとサブカテゴリが含まれます。米国の重要インフラをはじめ、広く採用されています。

Identifyは、資産管理、リスク評価、リスク管理戦略、サプライチェーンリスク管理を対象とします。存在を把握していないものは守れません。完全な資産インベントリとリスク評価は、その後のすべてのセキュリティ管理策の基盤です。

Protectには、アクセス制御、トレーニング、データセキュリティ、プロセスの堅牢化、保守が含まれます。Detectは、異常、セキュリティイベント、継続的な監視を対象とします。成熟したDetect機能は、侵入を迅速に検知することで、攻撃者の長期滞在を防ぎます。

Respondは、インシデント対応の計画、コミュニケーション、分析、軽減、改善を定義します。Recoverは、復旧計画、改善、コミュニケーションを対象とします。IR計画と復旧手順をテストすることで、必要なときに機能することを確認できます。

ISO 27001は、情報セキュリティマネジメントシステム（ISMS）に関する国際規格です。ISMSの確立、実装、維持、継続的改善に関する要求事項を規定しています。ISO 27001認証は、第三者によって検証されたセキュリティを顧客や規制当局に示すものです。

ISO 27001:2022のAnnex Aには、4つのテーマに分類された93の管理策が含まれています。テーマは、組織（37の管理策）、人（8）、物理的（14）、技術的（34）です。Annex Aはメニューであり、Statement of Applicability（SoA）を通じて、自組織のリスクプロファイルに適した管理策を選択します。

ISMSのリスク対応プロセスは、資産の特定、脅威と脆弱性の特定、可能性と影響の評価、対応の選択（受容、回避、移転、軽減）、Annex Aの管理策の選択、そしてSoAへの文書化という流れです。年次のリスク評価レビューにより、ISMSを最新の状態に保ちます。

NIST CSFは、サイバーセキュリティの実践を整理・改善するためのフレームワークであり、認証規格ではありません。ISO 27001は、ISMSの適用範囲と第三者監査を備えた、認証可能な規格です。多くの組織は両方を利用しています。NIST CSFは運用上の指針に、ISO 27001は認証と顧客からの信頼の獲得に活用します。

NIST CSFは、4段階の成熟度ティア（Partial → Risk-Informed → Repeatable → Adaptive）を定義しています。CMMIのセキュリティ成熟度レベルも同様に対応付けられます。成熟度評価を使用してギャップを特定し、測定可能で段階的な進展を伴う、より高いセキュリティ成熟度に向けた改善ロードマップを設定してください。

NIST CSFとISO 27001は、PCI-DSS、HIPAA、GDPR、SOC 2、NIST 800-53などの主要な規制に対応付けられます。フレームワークを使用すると、複数の規制へのコンプライアンスが簡素化されます。通常、NIST CSFのProtect管理策を実証することで、複数の規制フレームワークにまたがる同様の要求事項を同時に満たせます。

NIST CSFとISO 27001は、セキュリティガバナンスに対する相補的なアプローチを提供します。NIST CSFは、Govern、Identify、Protect、Detect、Respond、Recoverにわたってセキュリティ活動を整理し、運用上の指針を示します。一方、ISO 27001は、正式なリスク対応プロセスとAnnex Aの管理策カタログを備えた、認証可能なISMSフレームワークを提供します。