ISCのNIST論点は、フレームワーク名を暗記するだけでは解きにくい領域です。CSF 2.0のCurrent ProfileとTarget Profileはギャップと優先順位を作り、Implementation Tierはリスク管理の厳格さと統合度を表します。SP 800-61 Rev. 3は、準備・検知・対応・復旧を組織のリスク管理全体へ組み込む考え方を示します。
- Current Profileは現在達成している成果、Target Profileは優先したい将来成果を表す
- Profile比較から、リスク・使命・資源に基づく改善ロードマップを作る
- Implementation Tierは必須認証や単純な成熟度スコアではない
- SP 800-61 Rev. 3はインシデント対応をCSF 2.0の各Functionとリスク管理へ統合する
- ログ、認証、ソフトウェア開発、プライバシー統制をProfileの成果へ結び付ける
読んだ知識を、次の学習へ。
会員情報を確認しています。
1｜CSF 2.0は統制チェックリストではなく成果の共通言語
NIST Cybersecurity Framework 2.0は、組織がサイバーセキュリティリスクを理解し、優先順位を付け、伝達するための成果ベースの枠組みです。Govern、Identify、Protect、Detect、Respond、Recoverの6 Functionを、組織の使命、脅威、規制、資源に合わせて利用します。
ISCの設問では、特定ツールを導入したかより、どのリスクをどの成果で扱うかが問われます。最も直接リスクを低減する統制を選び、必要な証拠が残るかを確認します。
2｜Current ProfileとTarget Profileを左右に置く
Current Profileは、組織が現在達成している、または達成しようとしているCoreの成果を表します。Target Profileは、サイバーリスク管理目標のために選択・優先した望ましい成果です。両者を比較してギャップを把握し、改善をリスク・使命・資源で優先順位付けします。
Target Profileは『すべてを最高水準にする』という意味ではありません。新しい規制、技術採用、脅威インテリジェンス、事業上の重要性を踏まえて、何をいつ達成するかを明確にします。
- Current：現在の実務と達成状況
- Target：目標と優先度を付けた成果
- Gap：不足している成果、証拠、責任者、期限
- Roadmap：リスク低減効果と実行可能性を踏まえた順序
3｜Tierは成熟度ランキングではなくリスク管理の文脈
NIST CSF 2.0のImplementation Tierは、PartialからAdaptiveまで、サイバーリスクのガバナンスと管理がどの程度厳格で、組織全体へ統合されているかを特徴付けます。NISTはTierを必須認証レベルや単純な成熟度レベルとして扱っていません。
設問でTierが出たら、暗号アルゴリズムの強度や個人の技能評価へ読み替えないことが重要です。組織のリスク認識、繰り返し可能なプロセス、外部情報との連携、適応的な改善という観点で判断します。
4｜SP 800-61 Rev. 3で対応をライフサイクルへ組み込む
SP 800-61 Rev. 3は、インシデント発生後の手順だけでなく、サイバーリスク管理活動全体へインシデント対応の考慮事項を統合する考え方を示します。準備、検知、分析、対応、復旧、学習を、GovernからRecoverまでの成果と結び付けます。
たとえば、検知の前にログ設計と監視責任を決め、対応の前に権限・連絡網・法的判断の担当者を決め、復旧後に根本原因と再発防止をCurrent Profileへ反映します。封じ込めまで待ってから対応計画を考えるのは、事後的で弱い設計です。
- 準備：役割、連絡、資産、ログ、訓練、優先順位
- 検知・分析：異常を相関し、影響と確度を評価
- 対応：封じ込め、根絶、通知、証拠保全
- 復旧・改善：安全な復元、監視、教訓、Profile更新
5｜Profileの成果を統制証拠へ落とし込む
Profileに『特権アクセスを管理する』『重要資産を把握する』と書くだけでは、実際に成果を達成したことを証明できません。アカウント一覧、承認記録、レビュー結果、構成ベースライン、変更記録、バックアップ復元テスト、インシデント後の改善記録など、再現可能な証拠へ変換します。
最良の選択肢は、リスクへの直接性だけでなく、誰が、いつ、何を行い、独立して確認できるかを含みます。共有アカウント、編集可能なログ、非公式チャットだけの承認は、説明責任を弱めます。
6｜プライバシーと安全な開発を同じロードマップで管理する
個人情報を扱うシステムでは、Privacy FrameworkのIdentify-Pなどで処理目的、データ、参加者、流れを把握してから、最小化・アクセス制御・保管・削除を設計します。暗号化だけを先に導入して、何を処理しているかが不明な状態では、プライバシーリスクの全体像を捉えられません。
ソフトウェア開発では、SSDFのようにセキュリティ要件を文書化・維持し、脅威分析、コードレビュー、依存関係管理、テスト、脆弱性対応をライフサイクルへ組み込みます。これらをTarget Profileの成果、担当者、証拠、期限へ落とすと、単発の対策から継続改善へ変わります。
7｜ISCで使う5段階の判断フロー
フレームワーク問題は、名称の暗記よりも、設問のリスクと求める成果を先に固定すると解きやすくなります。選択肢が複数有用に見える場合は、最も直接的で、証拠が残り、役割分離と継続改善につながるものを選びます。
- ①何を守るか（データ、サービス、認証、可用性）を特定する
- ②現在の成果と望ましい成果のどちらが問われているか決める
- ③予防・検知・対応・復旧のどの段階かを置く
- ④証拠、責任者、期限、独立レビューがあるか確認する
- ⑤現行のNIST・AICPA資料へ戻り、受験年度の更新を確認する
公式情報・参考資料
制度や出題範囲は変更される場合があります。最終確認には以下の公式情報をご利用ください。
この記事を、解ける知識に変える。
同じ論点を短く復習し、問題で使い、Cheat Sheetへ戻る学習パスです。