用語集・組織のルールと規格
NIST CSF
NIST CSF（NIST Cybersecurity Framework）は、米国NISTが公開する、規模や業種を問わず組織がサイバーリスクを管理するための成果の枠組みである。
要点
- 意味 NIST CSF（NIST Cybersecurity Framework）は、米国NISTが公開する、規模や業種を問わず組織がサイバーリスクを管理するための成果の枠組みです。
- 中小企業にとって 2024年2月公開の2.0版は、統治、識別、防御、検知、対応、復旧の6つの機能で整理しており、自社の対策の抜けを見つける物差しとして使える。
- このサイトでは 攻撃手法 1 種、事例 4 件のページと関わります。下の一覧から、記録のどこに関わるかを読めます。
中小企業にとっての意味
2024年2月公開の2.0版は、統治、識別、防御、検知、対応、復旧の6つの機能で整理しており、自社の対策の抜けを見つける物差しとして使える。
2.0版で加わった統治の機能にはサプライチェーンのリスク管理が含まれ、委託先や使っているソフトウェアの管理まで経営の課題として扱う。
小規模な組織向けのクイックスタートガイドも用意されており、全部を一度に満たそうとせず、今の状態と目標の差を確かめる使い方ができる。
よくある誤解
- 誤解NIST CSFは米国の重要インフラ企業向けで、中小企業には関係ない
- 実際CSF 2.0は規模、業種、成熟度を問わずどの組織でも使える成果の分類として公開されており、NISTは小規模な組織にも使いやすいようクイックスタートガイドを用意している。
- 誤解NIST CSFに従えば、導入すべき製品や設定が決まる
- 実際NISTは、CSFは成果をどう達成するかを定めるものではなく、達成に役立つ実践や管理策の情報へのつながりを示すものだと説明している。具体策は他の資料や自社の判断で選ぶ。
このサイトの手口と事例との関係
関係は、それぞれのページに収録した記録の範囲で書いています。
- 攻撃手法サプライチェーン攻撃(ソフトウェア供給網)
記録は正規の更新に悪意あるコードが混入する手口を示しており、CSF 2.0の統治の機能に含まれるサプライチェーンのリスク管理が向き合う対象である。
- 事例SolarWinds Orion
記録はビルドの過程で混入したコードが署名された正規の更新として配られたとし、「ビルド環境の分離と完全性の検証」を対策に挙げている。
- 事例Equifax
記録にある「資産台帳」「パッチ適用の確認」「監視装置自身の稼働監視」は、CSFの識別、防御、検知の各機能に当たる対策である。
- 事例Log4Shell
記録はどの製品に問題の部品が入っているかを各組織がすぐに洗い出せなかったとしており、識別の機能にある資産の把握に当たる。
- 事例Colonial Pipeline
記録にある「停止判断の事前設計」と「法執行機関への早期通報」は、CSFの対応と復旧の機能に当たる準備である。
出典
- The NIST Cybersecurity Framework (CSF) 2.0 NIST・2024-02-26
- The NIST Cybersecurity Framework (CSF) 2.0 (NIST CSWP 29) NIST・2024-02-26
- Cybersecurity Framework NIST
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）