最初に押さえる判断の軸
NIST CSF 2.0はサイバーセキュリティの成果を整理し、組織のリスク管理を話し合うための枠組みです。Govern、Identify、Protect、Detect、Respond、Recoverの6つの機能を使います。製品の一覧でも、全組織が同じ設定をすれば認証を取得できるチェックリストでもありません。
現状プロファイルは、現在どの成果に到達しているかを業務の範囲とともに示します。目標プロファイルは、事業の目的やリスクに照らして到達したい状態を示します。両者の差分から優先する改善を選びます。すべてを最高の状態にすることを先に約束せず、根拠がなく評価できない部分も区別して計画へ落とし込みます。
混同しやすい状態を比較する
CSFの実装ティアは試験の点数や一律の認定等級ではありません。枠組みを採用したという宣言と、管理策の運用が確認できることを区別して説明します。
現状
連絡先の文書はある。夜間の到達は未確認。
不足する成果目標
担当不在でも判断者へ連絡できる。
確認できる作業改善計画
担当・期限・訓練での確認を決める。
文書の有無から、運用の成果へ判断を進める。
当サイト独自の説明図。領域の面積や並びは、被害件数・発生確率・出題比率を表していません。
| 確認する対象 | 見落としやすい点 | 判断に使う根拠 |
|---|---|---|
| 現状 | 規程があるだけで達成扱い | 対象範囲と運用記録 |
| 目標 | 全項目を同じ強度で導入 | 業務・契約・リスクの要求 |
| 差分 | 不足の件数だけを集計 | 改善責任者・優先度・確認方法 |
確認問題
独自ケースで判断を練習する
ある部門はCSFを使った点検で、事故連絡先の文書があるためRespondの準備は完了としました。しかし夜間の連絡先が古く、停止を判断する人も決まっていません。
次のうち、ケースの情報から優先する対応はどれでしょうか。
選択肢を準備しています。「正解と解説を見る」は先に開けます。
正解と解説を見る
正解：3。文書は一つの根拠ですが、実際に連絡が付き意思決定できるかを示すものではありません。現状の未確認点を記載し、目標を「不在時も責任者につながる」など確認できる状態で表します。差分を具体的な作業と訓練へ変えることで、フレームワークを紹介するだけの資料から改善計画へ進めます。
POINT
当サイト独自の確認問題です。実際の事件・公式問題・過去問を再現していません。
確認と見直しを業務へつなげる
最初に対象業務を決め、関係者が同じ範囲を評価するようにします。IT部門だけでなく事業責任者と要求をすり合わせ、達成と未確認を分けて記録することが重要です。
- 1
範囲
対象業務と求める成果を決める
- 2
現状
現状の根拠と未確認点を集める
- 3
目標
目標との差分を優先度で整理する
- 4
計画
担当・期限・確認方法を計画にする
実施したことと、結果を確認できたことを区別する。
実操作が必要な項目は管理者の承認と組織の手順に従ってください。
CSFは米国NISTの枠組みであり、採用しただけで日本の法令・契約への適合を保証するものではありません。別途適用される要求を確認してください。
実務で見落としやすい条件を掘り下げる
プロファイルを作る際は、全社と一つのサービスを同じ範囲で混ぜないことが重要です。ある部署で連絡訓練を行った結果を、全拠点が対応できる根拠にはしません。対象と、実施した管理策、確認できた成果を対応させます。目標にも対象と達成の確認方法を入れると進捗を測れます。
差分から作る計画では、文書を増やす項目と実運用を試す項目を分けます。例えば連絡先の更新だけでなく、不在時に判断者へつながる訓練が必要です。完了の件数より、求める成果へ近づいた根拠を見直します。
次に読む記事と、理解の確認
サイバーセキュリティの学習ガイドで、このテーマを資産・リスクと運用管理の中に位置付けてください。関連する前提はセキュリティリスク台帳とは、セキュリティKPIの選び方で確認できます。
資格対策との接点は情報・サイバーセキュリティ管理士の概要へ。用語を理解した後は登録不要の無料お試し20問で、別の状況でも判断できるか確かめてください。記事のテーマを全て公式の出題項目とする説明ではありません。