NIST CSFで自組織のリスクを棚卸しする。6つの機能で現在地を測る進め方

「うちのセキュリティ対策は十分なのか」という問いに、自信を持って答えられる組織は多くありません。ファイアウォールもアンチウイルスも入っている、バックアップも取っている。それでも「足りているのか、過剰なのか、抜けはないのか」を体系的に説明しようとすると、途端に言葉に詰まります。個々の対策はあっても、それらを並べて全体を俯瞰し、優先順位を語るための共通の物差しを持っていないからです。

この物差しとして世界的に使われているのが、米国NIST（米国国立標準技術研究所）が公開するサイバーセキュリティフレームワーク、通称NISTCSFです。CSFは、何か特定の製品を売り込むものでも、満たすべきチェックリストでもありません。組織が「どのような状態を目指すか」という成果（アウトカム）の集まりを、共通の言葉で整理した枠組みです。だからこそ、技術者が現場の対策を語るときにも、経営層が投資判断を語るときにも、同じ地図の上で会話ができます。

この記事は、CSFを使って自組織のリスクを棚卸しし、現在地を測るための実務ガイドです。2024年に公開されたCSF2.0で新たに中心に据えられた「統治（Govern）」を含む6つの機能を一つずつ噛み砕き、それぞれをどう自組織に当てはめて点検するかを示します。対象は、セキュリティ責任者や経営層、そして実際に棚卸しの手を動かす情報システム部門の方です。完璧な評価を目指すのではなく、「まず自分たちの現在地を言葉にする」ための最初の一歩を提供します。

NIST CSFとは何か。なぜ「物差し」として使えるのか#

NISTCSFは、もともと米国の重要インフラのサイバーセキュリティを改善する目的で2014年に初版（1.0）が公開され、2018年に1.1、そして2024年2月にCSF2.0として約10年ぶりの大幅改訂が行われました。改訂版は重要インフラに限らず、規模や業種を問わずあらゆる組織が使えることを明確に打ち出しています。

CSFの本質は、「やるべき技術的対策の一覧」ではなく「達成したいセキュリティ上の成果（アウトカム）の体系」だという点にあります。たとえば「資産を識別する」「アクセスを管理する」「異常を検知する」といった成果が階層的に整理されており、それをどの製品や手順で実現するかは各組織に委ねられています。この「何を（What）」と「どうやって（How）」を分けている設計が、CSFを物差しとして優れたものにしています。製品やベンダーが変わっても、目指す成果の地図は変わらないからです。

NIST Cybersecurity Frameworkの公式ページ。CSF 2.0の本体文書（NIST.CSWP.29）やクイックスタートガイド、組織プロファイルなどの一次資料が集約されています。

国内で参照する際は、IPA（情報処理推進機構）がNIST文書の解説や関連情報を公開しているページが入り口として便利です。CSF本体は英語ですが、IPAが日本の文脈に沿った補足を提供しており、国内のガイドラインとの位置づけを理解するうえで役立ちます。

IPA「セキュリティ関連NIST文書について」。CSFを含むNISTの主要文書について、日本での参照価値が高いものの解説や関連情報を整理したページです。

CSF 2.0の構造。Core・Tier・Profileの三層#

CSFを棚卸しに使うには、まずその構造を押さえる必要があります。CSFは大きく三つの要素で構成されます。

一つ目がCore（コア）です。これがCSFの中身そのもので、6つの機能（Function）、その下のカテゴリ、さらに細かいサブカテゴリという階層で「目指すべき成果」が整理されています。棚卸しのときに点検する項目は、このCoreから取ります。

二つ目がTier（ティア）です。これは組織のサイバーセキュリティリスク管理の取り組みが、どれくらい体系化・厳格化されているか（リスクの意思決定がどれだけ組織全体に統合されているか）を4段階（部分的、リスク情報を活用、繰り返し可能、適応的）で表す目安です。注意したいのは、NISTはTierを「成熟度レベルそのもの」とは位置づけておらず、また「高ければ偉い」という成績表でもない点です。自組織の事業リスクに見合った段階を選ぶための参照点として使います。

三つ目がProfile（プロファイル）です。Coreの成果のうち、自組織にとって何が重要かを選び、「現状プロファイル（今できていること）」と「目標プロファイル（目指す姿）」を描いて、その差（ギャップ）を埋める計画を立てます。リスク棚卸しの実務は、まさにこの現状プロファイルを描く作業に相当します。

6つの機能を一つずつ。何を点検するのか#

CSF2.0の中心は、6つの機能（Function）です。CSF1.1までは識別・防御・検知・対応・復旧の5つでしたが、2.0で新たに「統治（Govern）」が加わり、6つになりました。NISTは統治を、他の5機能を取り囲み方向づける中心として位置づけています。順番に見ていきます。

NIST CSF 2.0の本体文書（NIST.CSWP.29、2024年2月公開）。6つの機能（Govern, Identify, Protect, Detect, Respond, Recover）とそのカテゴリ・サブカテゴリを定義した一次文書です。

統治（Govern, GV）#

CSF2.0で新設され、中心に据えられた機能です。組織のサイバーセキュリティに関するリスク管理の戦略・方針・役割・責任を定め、それが機能しているかを監督する、いわば「経営と現場をつなぐ土台」にあたります。具体的には、組織の事業環境やリスク許容度の明確化、役割と責任の割り当て、ポリシーの整備、そしてサプライチェーンのリスク管理などが含まれます。

統治が中心に置かれた意味は大きいです。これまでセキュリティは「現場の技術的な取り組み」と見なされがちでしたが、CSF2.0は「誰が責任を持ち、どの方針に基づいて、どのリスクをどこまで受け入れるか」という経営の意思決定こそが土台だと明示しました。識別から復旧までの5機能は、この統治の方針の上で初めて一貫したものになります。

識別（Identify, ID）#

リスク棚卸しの実質的な出発点がここです。守るべき資産（情報、システム、データ、人、サプライヤー）を把握し、それらに対するリスクを理解する機能です。「自分たちが何を持っているか分からなければ、何を守るかも決められない」という当たり前の原則を、体系として組み込んだものと言えます。

実務でつまずきやすいのが、この識別を軽視して防御の話に飛んでしまうことです。資産の一覧も、どのデータが事業にとって致命的かの整理もないまま、製品を入れる議論を始めてしまう。すると、本当に守るべきものに手が回らず、優先順位を欠いた投資になります。なお、CSF自体は6機能の並び順を実施順序として規定しているわけではありませんが、棚卸しの実務では資産とリスクの識別を早い段階で固めておくのが現実的です。

防御（Protect, PR）#

識別した資産を守るための対策を講じる機能です。アクセス制御（誰が何にアクセスできるか）、利用者の教育、データの保護、構成管理、保守などが含まれます。多くの組織が「セキュリティ対策」と聞いて真っ先に思い浮かべるのがこの領域です。MFAの導入や最小権限の徹底は、防御の代表的な成果です。

ここで誤解しやすいのは、「防御を固めれば侵害は起きない」という発想です。現実には、どれだけ防御しても侵入を完全には防げません。だからこそ、防御だけでなく検知・対応・復旧まで含めて初めて全体になる、というのがCSFの設計思想です。

検知（Detect, DE）#

侵害や異常が起きたことに、できるだけ早く気づくための機能です。ログの監視、不審な挙動の検出、検知プロセスの整備などが含まれます。攻撃は「防げなかった」だけでは終わりません。気づくのが遅れれば、被害は静かに拡大します。侵入から発覚までの期間が長いほど、情報の窃取や横方向の移動が進み、被害は深刻になります。

検知は、防御と対応をつなぐ要です。ログを取っていても、それを定期的に見て異常に気づく運用がなければ、検知の成果は得られていないことになります。

対応（Respond, RS）#

検知した事案に対して、被害を最小化するために動く機能です。インシデント対応の計画、関係者への連絡、分析、被害の封じ込めなどが含まれます。ここで効いてくるのが「事前の備え」です。インシデントが起きてから連絡体制や判断基準を考え始めると、初動が遅れ、混乱します。誰がどう判断し、誰に連絡するかを平時に決めておくことが、対応の成果を左右します。

復旧（Recover, RC）#

事案によって損なわれた機能やサービスを、計画的に元に戻す機能です。復旧計画の整備、復旧の実行、関係者とのコミュニケーションなどが含まれます。ランサムウェアのように事業停止を狙う攻撃が増えるなか、「どれだけ早く、どこまで元に戻せるか」は事業継続そのものに直結します。バックアップを取っているだけでは不十分で、それを使って実際に復旧できるかを検証しておくことが、復旧の成果です。

早見表: 6つの機能と棚卸しで確認すること#

棚卸しの際に、各機能で「自組織はどこまでできているか」を問う観点を整理しました。これは網羅的なものではなく、現在地を言葉にするための入り口です。

この表で大切なのは、6機能をバランスよく見ることです。多くの組織は防御に偏り、統治・検知・対応・復旧が手薄になりがちです。棚卸しの価値は、この偏りを可視化し、次に投資すべき領域を経営の言葉で語れるようにする点にあります。

棚卸しの進め方。現状プロファイルを描く#

ここからは、実際にCSFを使って棚卸しを進める手順です。完璧を目指さず、まず一周することを優先します。

国内のガイドラインとどうつなぐか#

CSFは国際的な物差しですが、国内には経済産業省とIPAが策定する「サイバーセキュリティ経営ガイドライン」があり、経営者が認識すべき項目や指示すべき重要項目が日本の文脈で整理されています。このガイドライン（現行Ver3.0）はNISTCSFなどの項目との対応関係が示されており（重要10項目とCSF Ver1.1との対応づけ）、CSFと国内ガイドラインは対立するものではなく、補完し合う関係にあります。

実務上は、経営層への説明やリスクの自己評価には国内のガイドラインや可視化ツールを使い、技術的な成果の網羅性を確認するためにCSFのCoreを参照する、という併用が現実的です。IPAはガイドラインに対応した可視化ツール（成熟度をレーダーチャートで表すExcel形式の自己評価ツール）も公開しており、社内での現在地共有の入り口として使えます。

IPA「サイバーセキュリティ経営可視化ツール」。サイバーセキュリティ経営ガイドラインVer3.0に対応し、重要項目の実施状況を5段階の成熟度で可視化する自己評価ツールです。CSFの棚卸しと併用すると、経営層への説明がしやすくなります。

CSFの大きな価値の一つは、こうした異なる文書や立場の人々をつなぐ「共通言語」になることです。技術者は6機能のサブカテゴリで具体的な対策を語り、経営層は機能単位の成熟度で投資判断を語る。同じ地図の上で会話ができるからこそ、現場と経営の溝が埋まります。

よくある質問#

まとめ#

NISTCSFは、特別な製品や認証ではなく、自組織のセキュリティの現在地を共通の言葉で語るための物差しです。2024年のCSF2.0で中心に据えられた統治を含む6つの機能に自組織を当てはめてみると、これまで見えなかった偏りや抜けが浮かび上がります。多くの組織は防御に投資が偏り、検知・対応・復旧が手薄になりがちですが、その偏りこそが棚卸しで最初に見つかる価値です。

完璧な評価を目指して立ち止まるより、まず粗くても一周し、自分たちの現在地を言葉にすることが出発点になります。そして、その言葉を経営と現場が共有できることが、CSFという物差しの本当の効用です。国内のガイドラインや可視化ツールと併用しながら、自組織のリスクを定期的に測り直す習慣を、ここから始めてみてください。