NIST Cybersecurity Framework 2.0
NIST CSF 2.0 日本語ガイド：6つの機能と導入の進め方
2024年2月に公表されたNIST CSF 2.0を、日本の組織が使いやすい形で整理します。現状プロファイルと目標プロファイルを作り、そのギャップから実行計画を導く方法を紹介します。
6つの機能
| 機能 | 日本語 | 問い |
|---|---|---|
| Govern（GV） | ガバナンス | 方針、役割、リスク許容度は経営として決まっているか。 |
| Identify（ID） | 特定 | 守るべき資産とリスクを把握しているか。 |
| Protect（PR） | 防御 | 被害を防ぐ・小さくする対策が実装されているか。 |
| Detect（DE） | 検知 | 異常や侵害に気づけるか。 |
| Respond（RS） | 対応 | インシデント発生時に、誰が何を決めて動くか。 |
| Recover（RC） | 復旧 | 事業をいつ、どの順で元に戻せるか。 |
用語は筆者の訳です。公式の日本語訳が公開されている場合、表記が異なることがあります。正式な文書では公式訳をご確認ください。
バージョン1.1からの主な変更点
- 「ガバナンス」の追加：経営の意思決定、役割と責任、サプライチェーンのリスク管理が独立した機能になりました。
- 対象の拡大：重要インフラに限らず、あらゆる規模・業種の組織を対象としています。
- プロファイルと実装ティアの活用：現状（Current）と目標（Target）を比べる使い方が前面に出ています。
現状と目標のギャップから計画を作る
私は、CSFを「チェックリスト」ではなく「現状と目標を同じ言葉で語るための共通言語」として使います。
- 目標プロファイル：事業とリスク許容度から、6つの機能ごとの「あるべき水準」を決めます。
- 現状プロファイル：インタビューと証跡で、現在の水準を確認します。
- ギャップと優先順位：差が事業に与える影響の大きい順に並べ、予算と体制に合わせた計画にします。
- 経営層への報告：機能ごとの現状・目標・差を一枚で示し、判断を求める事項を明確にします。
各種の国内制度やガイドライン（ISMS、経産省のサイバーセキュリティ経営ガイドライン、セキュリティ対策評価制度など）との対応関係を整理する際の土台としても使えます。