NIST CSFとは？6つの機能と導入手順をわかりやすく解説

サイバー攻撃の高度化やサプライチェーンを通じた被害の広がりを背景に、企業には自社のセキュリティ対策を継続的に見直すことが求められています。取引先からセキュリティ対策について確認を求められ、NIST CSFについて調べはじめた担当者もいるでしょう。

NIST CSF（Cybersecurity Framework）は、組織がサイバーセキュリティリスクを管理するために、米国国立標準技術研究所（NIST）が策定したフレームワークです。2024年2月には『NIST CSF 2.0』が公開され、従来の5つの機能に「Govern（統治）」が加わり、6つの機能で構成されるようになりました。

本記事では、NIST CSF 2.0の基本的な仕組みや6つの機能、ほかのセキュリティ基準との違いをわかりやすく解説します。さらに、導入手順やチェック項目、継続的な運用に必要な情報システム部門の管理体制まで紹介します。

NIST CSFは、自社のセキュリティ対策の現状を把握し、改善の優先順位を決めるための共通の枠組みです。米国国立標準技術研究所（NIST）が策定し、経営層や実務担当者、取引先との認識合わせにも活用できます。

特定の業種や企業規模に限定されたものではなく、企業や政府機関をはじめ、さまざまな組織が利用できる点も特徴といえます。最新版は、2024年2月に公開された『NIST CSF 2.0』です。

NIST CSFについて、以下の4つの観点から基本的な位置づけを解説します。

(1)NISTとは

(2)NIST CSFの目的

(3)NIST CSF 1.1から2.0への主な変更点

(4)NIST CSFへの対応は原則として任意

NISTとは、米国商務省に属する米国国立標準技術研究所（National Institute of Standards and Technology）のことです。「ニスト」と読み、科学技術や産業分野における標準、測定、技術開発などを担っています。NISTは規制や取り締まりを目的とする機関ではなく、ガイドラインや標準を策定・公開する立場にあります。

サイバーセキュリティ分野でもさまざまな文書を公開しており、代表的なものがNIST CSFや『NIST SP 800シリーズ』です。NIST SP 800シリーズでは、情報セキュリティに関する管理策やリスク管理、インシデント対応など、幅広いテーマを扱っています。

NIST CSFとNIST SP 800シリーズは役割が異なり、NIST CSFはサイバーセキュリティリスク管理の全体像を整理するための枠組みと捉えると理解しやすいでしょう。

NIST CSFの目的は、組織がサイバーセキュリティリスクを把握し、自社に必要な対策の優先順位を決めながら、リスクを管理・低減できるようにすることです。

NIST CSFは、特定の製品やセキュリティ対策を一律に指定するものではありません。事業内容や抱えているリスク、人員体制、予算などを踏まえ、自社の状況に応じて取り組みを組み立てられる点が特徴です。

また、サイバーセキュリティは情報システム部門やセキュリティ担当者だけで完結する課題ではない点にも留意が必要です。

NIST CSFは、経営層から実務担当者まで、組織内でサイバーセキュリティに関する認識を共有するために活用されています。また、取引先など外部の関係者との共通認識を形成する枠組みとしても活用されています。 具体的な活用場面として、自社のセキュリティ対策状況に関する取引先・見込み顧客への説明や、委託先に求めるセキュリティ要件の提示が挙げられます。

NIST CSFは2014年に初版が公開され、2018年のバージョン1.1を経て、2024年2月に『NIST CSF 2.0』へ改訂されました。2.0では、幅広い組織で活用できることが明確に示され、新たな機能として「Govern（統治）」が追加されました。主な変更点は、次のとおりです。

Governは、サイバーセキュリティの方針や責任体制を定め、経営層も関与してリスクを管理するための機能です。ただし、その内容がすべて新設されたわけではありません。バージョン1.1の「Identify（識別）」に含まれていた「ビジネス環境」「ガバナンス」「リスク管理戦略」「サプライチェーンリスク管理」などを、主にGovernへ移して再整理しています。

この変更により、サイバーセキュリティを情報システム部門だけの課題ではなく、経営や事業に関わるリスクとして組織全体で管理する考え方が、より明確になりました。

NIST CSFは、法律や認証制度ではなく、組織がサイバーセキュリティリスクを管理する際に活用できるフレームワークです。そのため、日本企業すべてに対応が義務付けられているわけではなく、組織の目的やリスク、事業環境などに応じて活用することが基本です。

一方、業界の規制や契約、取引先からの要求などによって、NIST CSFを参照したセキュリティ対策を求められるケースもあります。

CSF 2.0でも、組織が自主的に採用するほか、政府の方針や規制を通じて採用される場合があると説明されています。たとえば、金融庁の『金融分野におけるサイバーセキュリティに関するガイドライン』では、参考とする国内外の文書の一つとしてNIST CSFが挙げられています。

直接対応を求められていない企業にとっても、自社のセキュリティ管理体制を整理する基準として有用です。現在実施している対策と不足している対策を整理し、優先順位を付けながら改善を進められるでしょう。

参考：金融分野におけるサイバーセキュリティに関するガイドライン - 金融庁

NIST CSF 2.0は、以下3つの要素で構成されています。

3つの要素を理解すると、NIST CSF 2.0を自社のセキュリティ管理へどのように活用できるのかイメージしやすくなるでしょう。

Coreとは、組織がサイバーセキュリティリスクを管理するうえで達成したい成果を体系的に整理したものです。具体的な製品や対策手順ではなく、「どのような状態を実現したいか」を示しています。実施すべき作業を並べたチェックリストではないため、成果を達成するための具体的な取り組みは組織ごとに異なります。

Coreの内部は、以下の3階層で構成される仕組みです。

• Functions（機能）
• Categories（カテゴリー）
• Subcategories（サブカテゴリー）

最上位に位置するFunctionsは、サイバーセキュリティリスク管理の成果を大きな役割ごとに整理したものです。その下に、成果を分野別にまとめたCategoriesがあり、さらに具体的な成果を示すSubcategoriesへと細分化されます。

CSF 2.0では、サブカテゴリーの成果を達成するための具体的なアクションを示す「Implementation Examples（実装例）」も公式に提供されています。実装例は必須の作業を定めたものではありませんが、成果を実際の取り組みに落とし込む際の参考になります。自社の事業環境やリスクに応じて活用することで、アクションプランを策定しやすくなります。

ただし、Coreに掲載されているFunctions・Categories・Subcategoriesの順序や数は、取り組む順番や重要度を示すものではありません。自社に必要な成果を選び、実装例も参考にしながら、リスクに応じて対策の内容や優先順位を決めることが重要です。

Organizational Profiles（組織プロファイル）とは、自社のセキュリティ対策について「現在の状態」と「目標とする状態」を整理し、改善が必要な点をみつけるためのものです。Coreに示された成果を共通の基準として、次の2つを作成・比較します。

• Current Profile（現状プロファイル）：現在どこまで対策できているか、取り組み中のものも含めて整理する
• Target Profile（目標プロファイル）：自社のリスクや事業目標、取引先からの要求などを踏まえ、目指す状態を定める

現状と目標の差を洗い出したら、事業への影響や対応に必要な費用・人員を踏まえて、改善の優先順位を決めます。すべての対策を一度に進めるのではなく、自社にとって重要な課題から取り組むために活用できます。

目標を決める際には、特定の業種や技術、想定する脅威などが共通する組織に向けて作成された「Community Profile（コミュニティプロファイル）」が参考になります。複数の組織に共通する目標をまとめたもので、自社の状況に合わせて目標を検討する際の土台として使えます。⁠

NISTは、現状と目標を並べて記入できるExcel形式のテンプレートを公開しています。まずは、このテンプレートを使って自社の対策状況を整理するのも一つの方法です。

参考：CSF 2.0 Profiles - NIST

Tiersとは、自社がサイバーセキュリティリスクをどのような体制や手順で管理しているかを、4段階で整理するための目安です。担当者ごとの対応にとどまっているのか、組織共通の手順で管理できているのかなどを確認します。

Tiersは、現状プロファイルや目標プロファイルとあわせて活用できます。プロファイルで「どのような状態を目指すか」を整理し、Tiersで「その状態を支える管理体制や手順」を検討するイメージです。

また、必ずしもすべての組織がTier 4を目指さなければならないわけではなく、自社のリスクや事業上の要件などを踏まえて目指すTierを検討します。リスクの大きさや要求事項に対して現在の管理体制が不十分な場合は、費用対効果も考慮しながら、上位のTierへの移行を検討します。

なお、Tiersは成熟度を点数で評価したり、認証の合否を判定したりするものではありません。既存のリスク管理手法を置き換えるものではなく、自社の管理体制を関係者と共有し、改善の方向性を考えるために活用します。

NIST CSF 2.0のCoreでは、サイバーセキュリティリスク管理に関する成果を6つのFunctions（機能）に整理しています。

(1)Govern（統治）｜方針・役割・リスク管理

(2)Identify（識別）｜IT資産・リスクの把握

(3)Protect（防御）｜アクセス制御・教育・データ保護

(4)Detect（検知）｜継続的な監視・異常検知

(5)Respond（対応）｜インシデント対応・報告

(6)Recover（復旧）｜復旧計画・業務再開

6つの機能は、上から順番に一度ずつ実施するものではありません。Govern・Identify・Protect・Detectには継続的に取り組み、RespondとRecoverはインシデントが発生した際に実行できるよう、常に準備しておく必要があります。

また、それぞれの機能は独立しているわけではなく、相互に関連する点も特徴です。6つの機能について、自社のセキュリティ管理体制を確認する際の観点とともに解説します。

Governとは、サイバーセキュリティを組織全体の経営リスクとして捉え、管理するための機能です。CSF 2.0では、サイバーセキュリティリスク管理の戦略や期待事項、方針を定めて周知し、その運用状況を監視する機能と位置づけられています。ほかの5つの機能にどのように取り組み、優先順位を付けるのかを判断する土台にもなります。

自社の管理体制を確認する際の主な観点は、以下のとおりです。

• 事業の目的や、法令・契約上の要求事項など、自社を取り巻く状況を把握しているか
• サイバーセキュリティに関する方針を定め、責任者や担当者の役割を明確にしているか
• サイバーセキュリティリスクを経営上のリスクとして捉え、経営判断へ反映できているか
• 採用・異動・退職などの人事プロセスに、サイバーセキュリティの観点を組み込んでいるか
• 取引先や委託先を含むサプライチェーンのサイバーセキュリティリスクを管理しているか
• 定めた方針やリスク管理の取り組みを継続的に確認・見直しているか

情報セキュリティポリシーの必要性や策定手順、運用時のポイントについては、以下の記事で詳しく解説しているので参考にしてください。

Identifyとは、自社が利用するIT資産やサービスを洗い出し、どのようなサイバーセキュリティリスクがあるかを把握するための機能です。PCやソフトウェア、データに加え、取引先や委託先に関わるリスクも確認します。把握したリスクと事業への影響を踏まえ、優先して対策すべき課題を整理します。

主な確認項目は、以下のとおりです。

• ハードウェアやソフトウェア、システム、サービス、データなどの資産や、外部事業者から提供を受けているサービス（SaaSなど）の一覧を把握しているか
• 資産を導入から廃棄まで継続して管理しているか
• 脆弱性や脅威などを特定し、サイバーセキュリティリスクを評価しているか
• 洗い出したリスクを踏まえて、対応の優先順位を判断できているか
• セキュリティに関する方針や計画、プロセスなどの改善点を把握しているか

たとえば、管理部門が把握していないSaaSやアカウントが存在すると、適切なアクセス管理やセキュリティ対策から漏れるおそれがあります。従業員が会社の許可なく利用するSaaSやデバイスなどは「シャドーIT」と呼ばれ、情報漏えいや不正アクセスなどにつながるリスクがあります。

Protectとは、サイバー攻撃などによる被害を防ぎ、発生した場合の影響を抑えるための対策を実施する機能です。アカウントのアクセス権限の管理や従業員へのセキュリティ教育、データの保護などに取り組みます。Identifyで把握した資産やリスクを踏まえ、優先度の高い対策から進めます。

具体的な確認項目は、以下のとおりです。

• アカウントやアクセス権限を最小権限の考え方に基づいて適切に管理しているか
• 多要素認証などを用いて、利用者を適切に認証しているか
• 従業員に必要なセキュリティ教育やトレーニングを実施しているか
• バックアップの取得・保護・テストを含め、データを適切に保護しているか
• ハードウェアやソフトウェア、サービスなどを安全に保守・管理しているか
• ネットワークなどのIT基盤を不正なアクセスから保護し、障害が発生した場合でも必要なシステムやサービスを利用できる状態を維持しているか

なかでも、アカウントやアクセス権限の管理、認証対策は、不正アクセスを防ぐうえで欠かせない取り組みといえます。パスワードだけに依存せず、複数の要素で本人確認する多要素認証（MFA）の導入も対策の一つです。

Detectとは、サイバー攻撃や侵害につながる可能性のある事象を発見し、分析するための機能です。異常や侵害の兆候などを適切なタイミングで検知・分析することで、その後のインシデント対応や復旧につなげます。

主な確認項目は、以下のとおりです。

• システムやネットワークに加え、従業員によるIT機器・サービスの利用状況や、外部サービス（SaaSなど）・委託先の作業状況などを継続的に監視しているか
• 通常とは異なる挙動や侵害の兆候を検知できる仕組みがあるか
• 検知した事象を分析し、あらかじめ定めた基準に基づいてインシデントに該当するか判断し、必要な対応につなげられるか

サイバー攻撃を完全に防ぐことだけを前提とするのではなく、侵害につながる兆候を早期発見できる体制を整えることも求められます。

Respondとは、検知したサイバーセキュリティインシデントに対して必要な措置を講じ、影響を抑えるための機能です。インシデントが発生してから対応方法を検討するのではなく、あらかじめ必要な体制や手順を整えておきます。

主な確認項目は、以下のとおりです。

• インシデント対応計画に沿って、あらかじめ定めた責任者のもとで対応を実行できるか
• 発生したインシデントを分析できる体制が整っているか
• 被害の拡大を防ぐための封じ込めや軽減策を実施できるか
• 社内外への連絡・報告方法や連絡先を整理しているか

迅速に初動対応するためには、情報システム部門だけでなく、経営層や法務、広報など関係部門の役割まで事前に整理しておくことが有効です。

また、一定の個人データの漏えい等が発生した場合は、個人情報保護法に基づき、個人情報保護委員会への報告と本人への通知が必要になります。

Recoverとは、サイバーセキュリティインシデントによって影響を受けた資産や業務を復旧し、通常の事業活動へ戻すための機能です。被害を受けたシステムを単に動かせる状態へ戻すだけでなく、適切なタイミングで通常業務を再開できる体制を整えておく必要があります。

主な確認項目は、以下のとおりです。

• インシデント対応計画に沿って、復旧に関する手順を実行できるか
• 復元に使うバックアップが破損・改ざんされていないことを、利用前に確認しているか
• 事業への影響を踏まえて復旧の優先順位を決めているか
• 復旧したシステムやデータに異常がないことを確認し、あらかじめ定めた基準に沿って復旧の完了を判断できるか
• 復旧状況について社内外の関係者へ適切に情報共有できるか

なお、インシデントから得た教訓を今後の対策へ反映する「Improvement（改善）」は、CSF 1.1ではRespondとRecoverの両方に含まれていましたが、CSF 2.0ではIdentifyのカテゴリーとして整理されています。

復旧して終わりとせず、対応で明らかになった課題を次のリスク管理や対策へ反映することが重要です。

情報セキュリティに関する基準やガイドラインには、NIST CSFのほかにもNIST SP 800シリーズやISMS・ISO/IEC 27001などがあります。

それぞれ目的や適用方法が異なるため、各規格やフレームワークの役割を理解したうえで、目的に応じて使い分けることが重要です。

代表的な基準・ガイドラインとNIST CSFの違いについて解説します。

NIST CSFは、自社のセキュリティ対策の現状と目標を整理するための枠組みです。一方、NIST SP 800シリーズは、個別の課題について対策を検討する際に参考になるガイドラインなどの文書群です。

たとえば、NIST CSFを使って現状を確認し、「アカウントのアクセス権限を適切に管理できていない」という課題が見つかったとします。その場合、セキュリティ対策をまとめた『NIST SP 800-53』などを参照し、権限の付与や見直しに必要な対策を検討できます。

このように、両者はどちらか一方を選ぶものではなく、組み合わせて活用できます。NISTは、CSFに示された成果と、SP 800-53などの対策との対応関係を確認できる「Informative References（関連文書との対応情報）」も公開しています。自社の課題に関連する文書を探す際の手がかりになります。

参考：CSF 2.0 Informative References - NIST

ISMS（情報セキュリティマネジメントシステム）は、組織の情報を守るために、方針や担当者の役割、管理手順を定め、継続的に見直す仕組みです。ISO/IEC 27001は、この仕組みを整えて運用する際に満たすべき基準を定めた国際規格です。

NIST CSFは、セキュリティ対策の現状と目標を整理し、改善の優先順位を考えるために役立ちます。一方、ISO/IEC 27001は、情報セキュリティを組織として管理し続けるための体制や手順を整える際の基準になります。

ISO/IEC 27001を活用するために、認証取得が必須というわけではありません。認証を取得せず、規格を参考にして自社の管理体制を整えることもできます。認証を取得する場合は、対象とする範囲を定め、第三者の認証機関による審査を受けます。

NIST CSFとISO/IEC 27001は、組み合わせて活用することも可能です。たとえば、ISO/IEC 27001に沿って管理体制を運用しながら、NIST CSFを使ってサイバーセキュリティ対策の現状と目標を整理し、改善する課題を検討できます。

NISTのInformative Referencesのカタログには、CSF 2.0とISO/IEC 27001:2022の対応関係を示す参考情報も掲載されています。ただし、カタログにはNIST以外の組織が作成した対応表も含まれ、それらはNISTが内容の正確性を検証したものではありません。両者を組み合わせて使う際の手がかりとして活用しましょう。

NIST CSF 2.0を自社で活用する際は、目的や適用範囲を定め、現状と目標のギャップをもとに必要な対策を検討します。

NIST CSF 2.0を導入・活用する際の基本的な流れは、以下のとおりです。

(1)導入目的と適用範囲の整理

(2)IT資産とリスクの把握

(3)Current ProfileとTarget Profileの作成

(4)ギャップ分析と優先順位付け

(5)セキュリティ対策の実施と改善

各ステップを順番に解説します。

まずは、NIST CSFを活用する目的を明確にします。目的が曖昧なままでは、どの成果を優先し、どこまで対策すべきなのかを判断しにくくなるためです。

たとえば、以下のような目的が考えられるでしょう。

• 取引先からのセキュリティ要請への対応
• 社内のセキュリティ管理体制の見直し
• サプライチェーンリスクへの対応

あわせて、NIST CSFを適用する範囲も決めておきます。対象とする事業や部門、システムなどを明確にしておけば、後続の現状把握やProfileの作成を進めやすくなるでしょう。

Profileは組織全体を対象に作成するほか、特定のシステムやランサムウェアなど特定の脅威への対策に絞って作成することもでき、範囲の異なるProfileを複数作成しても構いません。

適用範囲が決まったら、対象となるIT資産や利用状況を洗い出します。代表的な対象として、以下が挙げられます。

• PC
• サーバー
• ネットワーク機器
• SaaS
• アカウント
• データ

資産の洗い出しに加え、各資産に存在する脅威や脆弱性、インシデント発生時の事業への影響を整理します。これにより、優先的に保護・管理すべき対象を判断しやすくなります。

また、次のステップでCurrent ProfileとTarget Profileを作成するために、IT資産やリスクだけでなく、組織の方針や事業上の要件なども整理しましょう。

• 社内の情報セキュリティポリシー
• リスク管理の優先順位
• 業務影響度分析（BIA）の結果
• 自社が準拠している規格
• 取引先からの要求事項
• 担当者の役割

必要な情報をあらかじめ整理しておけば、自社の現状や求められる要件をProfileへ反映しやすくなります。

IT資産やリスクなどの情報を整理したら、CSF Coreの成果をもとにCurrent ProfileとTarget Profileを作成します。

Current Profileには現在達成している成果を、Target Profileには事業上の優先順位やリスク、ステークホルダーからの要求などを踏まえて将来実現したい成果を整理します。現在地と目標を同じCSF Coreの成果に沿って整理することで、対策が不足している領域を把握しやすくなるでしょう。

NISTが公開しているOrganizational ProfileのExcelテンプレートを活用し、Current ProfileとTarget Profileを並べて整理する方法もあります。

参考：CSF 2.0 Profiles - NIST

Current ProfileとTarget Profileを比較し、現在の状態と目標とのギャップを洗い出します。たとえば、以下のような観点から優先順位を検討します。

• 事業への影響度
• リスクが顕在化する可能性
• 対応にかかるコスト
• 対応できる人員やリソース

分析結果をもとに、優先して対応する課題や具体的な対策、担当者などを整理します。そのうえで、Current ProfileからTarget Profileへ近づけるための具体的なアクションプランに落とし込みましょう。

アクションプランと優先順位に沿って、必要なセキュリティ対策を実施します。具体的な取り組みとして、以下のようなものが挙げられます。

• アクセス制御
• 脆弱性管理
• 継続的な監視
• 従業員へのセキュリティ教育
• インシデント対応体制の整備

ただし、一度対策を実施すれば完了ではありません。サイバー攻撃の手法や事業環境、利用するITサービスなどの変化に応じて、Current ProfileやTarget Profile、リスク評価を定期的に見直し、次の改善につなげます。

こうした見直しを繰り返すことで、継続的にセキュリティ管理体制を改善するサイクルを構築できるでしょう。

NIST CSFの考え方を日常業務へ落とし込むには、IT資産やSaaS、アカウント、アクセス権限などの情報を最新の状態に保つ必要があります。

ここでは、情報システム部門が継続的に取り組みたい4つの管理業務を紹介します。

(1)IT資産・SaaSの管理

(2)アカウント・アクセス権限の管理

(3)継続的な監視とログ管理

(4)インシデント発生時の連絡・対応体制

IT資産・SaaSの管理では、自社で利用するPCやサーバー、ネットワーク機器、SaaSなどを把握し、導入後も利用状況や変更を継続的に管理します。

新たなサービスの導入や端末の追加・廃止などに合わせて管理情報を更新し、実際の利用状況とのずれを生じさせないことがポイントです。あわせて、OSやソフトウェア、機器のサポート終了時期も把握し、リスクに応じて更新や入れ替えを計画的に進めましょう。

とくに複数のSaaSを利用している企業では、「どのSaaSを利用しているのか」「誰にどのアカウントや権限が付与されているのか」といった利用実態を継続的に把握することが適切な管理・統制につながります。

アカウント・アクセス権限の管理では、従業員が利用するシステムのアカウントと権限を把握し、業務に必要な範囲で付与することが基本です。とくに、人事異動などによる従業員の役割の変化を、アカウント管理へ適切に反映させる必要があります。

たとえば、以下のタイミングで対応します。

• 入社時のアカウント発行
• 異動時のアクセス権限の変更
• 退職時のアカウント停止・削除

対応が漏れると、退職者のアカウントや不要なアクセス権限が残り、不正利用や情報漏えいにつながるおそれがあります。入退社・異動時の対応に加え、定期的な棚卸しも実施しましょう。

複数のSaaSを利用している場合は、SSO（シングルサインオン）を活用し、認証やアクセス管理を効率化する方法もあります。SSOで広く利用されているSAMLの仕組みやメリット、導入時の注意点については、以下の記事をご覧ください。 

システムやネットワークを継続的に監視し、異常やインシデントの兆候を把握できる状態を整えます。監視対象や確認方法をあらかじめ整理し、異常を見逃さない運用体制を構築することがポイントです。

あわせて、アクセスログや認証ログなど、調査に必要なログを取得・保全しておきましょう。必要なログが残っていなければ、異常を検知しても「いつ・どこで・何が起きたのか」を把握しにくくなり、影響範囲や原因の特定にも支障をきたすおそれがあります。

さらに、不審な挙動や異常を検知しただけで対応を終わらせず、事象の内容や影響を分析することも欠かせません。分析結果をもとに、必要に応じて担当者への報告やインシデント対応へつなげるまでの流れを整えておくことが重要です。

インシデント発生時に迅速な初動対応を行えるよう、責任者や担当者、報告先、社内外への連絡方法などをあらかじめ定めておきます。情報システム部門だけでなく、経営層や法務、広報など関係部門との役割分担や報告経路まで整理しておけば、発生時の混乱を抑えやすくなるでしょう。

あわせて、インシデントの検知から分析、封じ込め、復旧までの対応手順や判断基準を整備し、関係者に共有しておくことも重要です。必要なデータを復元できるよう、バックアップの取得・保管方法も定めておきましょう。

とくにランサムウェア対策では、バックアップまで暗号化される事態に備え、バックアップの保存先を業務用ネットワークから切り離すなどの対策も有効です。

さらに、整備した体制や手順が実際に機能するか、訓練などを通じて定期的に確認します。インシデント対応後には一連の対応を振り返り、明らかになった課題を連絡方法や対応・復旧手順へ反映し、対応体制の継続的な改善につなげましょう。

NIST CSFを活用して現状を確認すると、利用中のSaaSを把握できていない、退職者のアカウントが残っているなど、日常の管理業務に課題が見つかることもあります。

こうした課題がある場合は、まずSaaSの利用状況やアカウントの管理方法を確認しましょう。誰がどのサービスを利用しているか、入退社・異動時に誰がアカウントや権限を変更するかを整理すると、管理漏れが起きやすい箇所を把握できます。

複数のSaaSを個別に管理し、情報の更新や確認に手間がかかっている場合は、管理を支える仕組みの見直しも選択肢になります。たとえば、従業員情報とSaaSアカウントの情報を連携させる方法は、入退社・異動に伴う変更を管理へ反映しやすくするための手段の一つです。

SaaSの利用状況の可視化や、人事情報を起点としたアカウント管理については、以下の資料で『SmartHR』を活用した方法を紹介しています。自社の課題に合う管理方法を検討する際の参考にしてください。

NIST CSFは、サイバーセキュリティ対策の実施項目を一律に定めるものではなく、自社のリスクや事業環境に応じて、取り組むべき課題を整理するためのフレームワークです。CSF 2.0ではGovernを含む6つの機能を軸に、経営層から実務担当者まで組織全体でサイバーセキュリティリスクを管理する考え方が示されています。

活用にあたっては、すべての対策を一度に進める必要はありません。Current ProfileとTarget Profileを用いて現在地と目標を整理し、事業への影響やリスクなどを踏まえて優先順位を決めることがポイントです。

さらに、サイバーセキュリティを取り巻く環境は変化し続けるため、対策後も定期的に状況を確認し、必要に応じて見直す姿勢が欠かせません。NIST CSFを自社のセキュリティ管理に取り入れ、現状把握と改善を繰り返しながら、継続的にリスクへ対応できる体制づくりを進めていきましょう。