NIST サイバーセキュリティ フレームワーク シンプル解説

10 人のセキュリティ専門家に NIST Cybersecurity Framework (CSF) とは何かと聞くと、10 通りの少しずつ異なる答えが返ってくるでしょう。チェックリスト、成熟度モデル、コンプライアンス要件、共通言語。実際には全てのものであり、その理由を理解することで、単なるチェックボックスを埋めるのではなく、はるかに有用な形で活用できるようになります。

それが実際に何の問題を解決するのか

CSF が登場する前、組織はセキュリティ態勢を説明するための用語が大きく異なっていました。CISO の「まあまあうまくいっています」という発言は、文脈なしには何の意味もありませんでした。NIST はこのフレームワークを開発して、規模、セクター、既存の成熟度に関わらず、すべての組織に対して、現在のサイバーセキュリティ態勢を説明し、目標状態を定義し、ギャップを特定し、取締役会や経営陣などの非技術的な利害関係者にリスクを伝えるための共通の構造を提供しました。

これはボランティアベースであり、特定のツールやテクノロジーについて規範的ではありません。特定の EDR 製品を購入するように指示することもなければ、ファイアウォールを特定の方法で設定するように指示することもありません。代わりに、達成すべき成果を説明し、どのようにそこに到達するかは自分たちで選択できるようにしています。

コア機能

CSF は、サイバーリスク管理のライフサイクル全体を表す機能を中心に構成されています。新しい 2.0 改訂では、元の 5 つの機能と並んで、Govern を基本的な機能として追加しました。

• Govern — 組織のサイバーセキュリティ リスク管理戦略、役割、ポリシー、および監視体制を確立・監視します。これは最新の追加であり、サイバーセキュリティが単なる技術的な問題ではなく、どの程度ガバナンスとビジネス リスクの問題になったかを反映しています。
• Identify — 資産、データ、システム、およびそれらが直面するリスクを理解します。存在することさえ知らないものは保護できません。
• Protect — セーフガードを実装します。アクセス制御、認識向上トレーニング、データセキュリティ、メンテナンス手順などです。
• Detect — タイムリーに異常とセキュリティイベントに気づく能力を構築します。
• Respond — 検出後にインシデントを封じ込め、リスク軽減します。コミュニケーション計画を含みます。
• Recover — インシデント中に損なわれた機能とサービスを復元し、学んだ教訓をプログラムにフィードバックします。

それぞれの機能はさらに、カテゴリとサブカテゴリに分解されます。特定の結果などです。