NIST サイバーセキュリティフレームワーク（CSF）2.0とは？

サイバーセキュリティ対策は、ウイルス対策ソフトやファイアウォールを導入するだけでは完結しません。何を守り、どのリスクを優先し、攻撃を検知した後にどう対応・復旧するかまで、組織全体で考える必要があります。

NIST Cybersecurity Framework（NIST CSF）は、サイバーセキュリティリスクを体系的に把握・管理するための「対策全体の地図」です。 世界各地の組織で参照され、多くのセキュリティ施策を整理する共通言語として活用できます。

NIST CSFとは

NIST CSFは、米国国立標準技術研究所（NIST：National Institute of Standards and Technology）が策定したフレームワークです。2014年に、米国の重要インフラのサイバーセキュリティ改善を主な目的として公開されました。当時の名称は Framework for Improving Critical Infrastructure Cybersecurity でした。

2024年2月公開のCSF 2.0では、名称から重要インフラへの限定が外れ、あらゆる規模・業種の組織を対象とする位置付けが明確になりました。 米国外でも活用でき、企業、公共機関、非営利団体などに適用できます。

CSFは、達成したいセキュリティ上の成果（outcomes）を整理しています。ただし、特定の製品の購入や技術の採用を義務付ける指示書・製品選定基準・認証制度ではありません。組織は自らの業務、リスク、法令・契約要件に応じて具体策を選びます。

CSF 2.0の6つの機能

機能	英語	目的	主な問い
統治（GV）	Govern	経営方針、責任、リスク許容度を定め、監督する	誰が何を決定し、どこまでリスクを許容するか？
識別（ID）	Identify	資産・脅威・脆弱性・リスクを理解する	何を守る必要があり、どこが弱いか？
防御（PR）	Protect	リスクを低減する保護策を実施する	どうすれば侵害や被害を防止・軽減できるか？
検知（DE）	Detect	不審な兆候や侵害を発見・分析する	異常をどう見つけ、判断するか？
対応（RS）	Respond	インシデントを管理・封じ込める	発生したとき、どう被害を抑えるか？
復旧（RC）	Recover	影響を受けたシステム・業務を回復する	どう安全に事業を再開するか？

旧版のCSF 1.1は5機能でしたが、CSF 2.0では「統治（Govern）」が独立した機能として追加されました。 統治は残る5機能の方向性・優先順位を決める中心です。6機能は厳密な直列の工程ではありません。統治・識別・防御・検知は継続して実施し、対応・復旧は日頃から準備してインシデント時に実行します。

CSFコアは、機能（Function）→カテゴリー（Category）→サブカテゴリー（Subcategory） の階層で構成されます。例えば、識別の「資産管理（ID.AM）」の下に、ハードウェアの棚卸し（ID.AM-01）やソフトウェア・サービス・システムの棚卸し（ID.AM-02）があります。

6つの機能で具体的に何をするか

以下の「ルール整備」「ツール・サービスの導入」「実施・運用」は、CSF 2.0の成果を達成するための実務例です。NISTがすべての組織に一律要求している製品・手順ではありません。

1. 統治（Govern：GV）

目的： サイバーセキュリティを経営上のリスクとして扱い、責任・判断基準・監督体制を明確にする。

観点	具体的に行うこと
ルール整備	情報セキュリティ基本方針、リスク管理規程、リスク受容基準、役割と責任（経営層・責任者・現場）、委託先管理・調達基準、定期報告と承認手続きを定める
ツール・サービスの導入	リスク台帳・GRCツール、規程管理システム、委託先評価台帳、教育管理システムを必要に応じて導入する
実施・運用	経営層が重要リスクと予算を審議し、責任者を割り当て、リスク対応を承認・追跡する。重要委託先のリスクを評価し、定期的に方針を見直す
成果物・確認事項	セキュリティ方針、責任分担表、リスク許容度、優先順位付き対応計画、経営報告、委託先評価記録

関連カテゴリー：組織の状況（GV.OC）、リスクマネジメント戦略（GV.RM）、役割・責任・権限（GV.RR）、ポリシー（GV.PO）、監督（GV.OV）、サプライチェーンリスクマネジメント（GV.SC）。

2. 識別（Identify：ID）

目的： 情報資産・IT資産・サービスとその依存関係を可視化し、何を優先して守るかを決める。

観点	具体的に行うこと
ルール整備	資産管理規程、データ分類基準、資産オーナーの割当て、リスクアセスメント手順、脆弱性評価・例外管理手順を定める
ツール・サービスの導入	IT資産管理・CMDB、クラウド資産の棚卸し、脆弱性スキャナー、外部攻撃面管理、データ発見・分類支援ツールを検討する
実施・運用	サーバー、端末、SaaS、データ、外部委託サービス、ネットワーク構成とデータフローを棚卸しする。重要度・脅威・脆弱性・影響度からリスクを評価し改善計画へ反映する
成果物・確認事項	情報資産台帳、IT資産台帳、ネットワーク・データフロー図、リスク台帳、脆弱性一覧、対応優先順位

関連カテゴリー：資産管理（ID.AM）、リスクアセスメント（ID.RA）、改善（ID.IM）。

3. 防御（Protect：PR）

目的： 不正アクセス、データ漏えい、改ざん、サービス停止などの発生可能性や影響を下げる。

観点	具体的に行うこと
ルール整備	ID・アクセス管理、最小権限、職務分離、認証方式、暗号化、パッチ適用、構成変更、バックアップ、セキュア開発、教育の基準を定める
ツール・サービスの導入	IAM・MFA・パスキー、EDR、ファイアウォール・WAF、暗号化・鍵管理、端末管理、脆弱性対策、バックアップ、CI/CDのセキュリティ検査を適材適所で採用する
実施・運用	不要アカウント・権限を削除する。多要素認証を展開する。更新と設定点検を行う。保存中・通信中・利用中のデータを保護し、バックアップを保護・復元テストする。役割別の教育を実施する
成果物・確認事項	権限一覧と棚卸し記録、更新適用状況、構成基準の遵守状況、バックアップ・復元試験結果、教育記録

関連カテゴリー：ID管理・認証・アクセス制御（PR.AA）、意識向上とトレーニング（PR.AT）、データセキュリティ（PR.DS）、プラットフォームセキュリティ（PR.PS）、技術インフラのレジリエンス（PR.IR）。

4. 検知（Detect：DE）

目的： 攻撃や侵害の可能性を早期に発見し、対応が必要な事象を正しく判定する。

観点	具体的に行うこと
ルール整備	ログ取得・保管、監視対象、検知ルール、アラート重要度、一次調査・エスカレーション、監視委託の責任分担を定める
ツール・サービスの導入	SIEM、ログ集約・分析、EDR、IDS/IPS、クラウド監査ログ、監視・アラート基盤、必要に応じてSOC/MDRを利用する
実施・運用	認証、権限変更、通信、操作、システム変更などを監視する。複数ログを突合し、脅威情報も用いて異常を分析する。検知ルールの誤検知・見逃しを継続改善する
成果物・確認事項	ログ取得一覧、監視ルール、アラート対応記録、検知から判断までの時間、検知テスト結果

関連カテゴリー：継続的監視（DE.CM）、有害事象の分析（DE.AE）。

5. 対応（Respond：RS）

目的： 検知されたインシデントを管理し、被害の拡大を抑え、必要な関係者へ連絡する。

観点	具体的に行うこと
ルール整備	インシデント対応計画、重大度判定、初動手順、報告・連絡経路、証拠保全、外部通報判断、委託先との連携手順を定める
ツール・サービスの導入	チケット・ケース管理、端末隔離機能、通信遮断手段、フォレンジック支援ツール、緊急時の代替連絡手段を用意する
実施・運用	事象の真偽と重要度を判定する。感染端末や侵害アカウントを隔離し、侵害範囲・原因を調査する。作業と証拠を記録し、法令・契約等に応じて報告・共有する。訓練で初動を検証する
成果物・確認事項	対応計画、連絡網、時系列記録、証拠管理記録、関係者への報告、演習結果

関連カテゴリー：インシデント管理（RS.MA）、インシデント分析（RS.AN）、対応の報告とコミュニケーション（RS.CO）、インシデント軽減（RS.MI）。

6. 復旧（Recover：RC）

目的： インシデントにより停止・毀損したシステムと業務を、安全かつ適切な優先順位で回復する。

観点	具体的に行うこと
ルール整備	復旧計画、業務復旧優先順位、復旧開始・終了基準、復旧時の検証と承認、顧客・関係者への通知手順を定める
ツール・サービスの導入	オフライン・イミュータブルバックアップ、予備環境、災害復旧基盤、復旧用構成管理・自動化、状態確認・整合性検証ツールを検討する
実施・運用	バックアップ・復元元の完全性を確認し、重要業務から復旧する。侵害原因の除去や再侵害防止策を確認する。復旧システムの完全性・動作を検証し、通常運用への復帰を判断・宣言する。復旧状況を共有する
成果物・確認事項	復旧手順書、復旧優先順位、復元テスト記録、検証・再開承認記録、復旧完了報告

関連カテゴリー：インシデント復旧計画の実行（RC.RP）、インシデント復旧のコミュニケーション（RC.CO）。

※ RTO（目標復旧時間）やRPO（目標復旧時点）を定めることは実務上有用ですが、すべての組織に同一の数値をCSFが指定しているわけではありません。また、再発防止と継続的改善は「復旧」だけの仕事ではなく、識別の改善（ID.IM）や統治など複数機能にまたがります。

CSFを組織へ導入する手順

CSFは全項目を形式的にチェックするためだけの文書ではありません。組織の重要業務・リスク・予算に合わせて成果を選び、現状との差を埋めます。

1. 対象を決める： 会社全体、特定システム、重要業務、ランサムウェア対策など評価範囲を明確にする。
2. 情報を集める： 業務目的、法令・契約要件、資産台帳、リスク評価、既存ルール・管理策を整理する。
3. 現状プロファイル（Current Profile）を作る： 各サブカテゴリーの成果について、実施状況と裏付けとなる証跡を記録する。
4. 目標プロファイル（Target Profile）を作る： 重要度とリスク許容度を基に、達成すべき成果と優先順位を決める。
5. ギャップを分析して行動計画を作る： 未対応項目に担当者、期限、必要予算、検証方法を割り当てる。
6. 実装して継続改善する： 対策の効果を評価し、脅威・業務・システム変更に応じてプロファイルを更新する。

例えば「ID.AM-02：管理対象のソフトウェア・サービス・システムの一覧を維持する」であれば、現状が「SaaSの棚卸しが不十分」、目標が「全SaaSと管理責任者を一覧化」であるとき、対応計画は「購買・経費データとSSOの利用履歴からSaaSを洗い出し、四半期ごとに更新する」と具体化できます。

CSFティアとは

ティア（Tier）は、サイバーセキュリティのリスクガバナンスとリスク管理の実施方法がどの程度体系化されているかを表すものです。単純な製品導入率や認証の合否ではありません。

ティア	英語	特徴
Tier 1	Partial	場当たり的・個別対応が中心
Tier 2	Risk Informed	リスクを認識し判断に反映するが、全社横断では十分に統一されていない
Tier 3	Repeatable	方針・プロセスを全社で定義し、反復的・一貫して運用する
Tier 4	Adaptive	変化を継続的に把握し、学習・予測を用いて対策を適応させる

ティアは自社のリスクやコストに合う目標を選ぶための補助です。必ず全組織がTier 4を目指すものではありません。

導入・運用で押さえるポイント

• まず全体像をつかむ： 製品を先に選ぶのではなく、6機能と重要な成果を理解する。
• 経営と現場をつなぐ： 経営層は優先度・リスク許容度を決め、管理者は対策を計画し、実務者は実装・測定する。
• 「ルールだけ」「導入だけ」で終わらせない： 設定・棚卸し・監視・訓練・証跡保存まで実施する。
• 他の基準と併用する： 詳細な管理策はNIST SP 800-53、ISO/IEC 27001なども参考にし、日本国内では関係法令・業界ガイドラインを別途確認する。
• 証跡を残して改善する： 台帳、点検結果、インシデント記録、復旧テスト、経営レビューを定期的に見直す。

参考資料

• NIST Cybersecurity Framework公式サイト
• NIST Cybersecurity Framework (CSF) 2.0（2024年2月、原文PDF）
• NIST CSF 2.0の補足資料・ツール（NIST公式）
• 大和総研「セキュリティフレームワークとは？」

本文の6機能、カテゴリー、プロファイル、ティアの説明はNIST CSF 2.0を基にしています。各機能のルール・製品・運用・成果物の具体例は、フレームワークの成果を現場で実現するための例示であり、NISTが一律に義務付けるチェックリストではありません。