NIST サイバーセキュリティフレームワークの主な構成要素は何ですか？

「What are the main components of the NIST cybersecurity framework？」は、公開証拠がインターネットインフラストラクチャ、ガバナンス、運用依存関係、または市場での可視性に関連付けられているため、BTW Media によってプロファイルされています。

• サイバーセキュリティコンプライアンスとは、エンティティ、法律、規制機関が定めた基準や法的要件を遵守することです。デジタル資産を扱う企業は、機密データに関連するリスクを最小限に抑えるために、セキュリティ管理策と慣行を実装する必要があります。
• 組織が堅牢なサイバーセキュリティ慣行を確立するのに役立つ多くのコンプライアンスフレームワークや基準が存在します。これには、NIST サイバーセキュリティフレームワーク、GDPR、HIPAA 法、PCI DSS 基準などが含まれます。
• NIST サイバーセキュリティフレームワークは、組織のサイバーセキュリティリスクを軽減するためのガイドライン集であり、米国国立標準技術研究所（National Institute of Standards and Technology）によって発行されました。その主な構成要素は、「コア（Core）」、「プロファイル（Profile）」、「ティア（Tiers）」です。

サイバー犯罪の急増により、政府、企業、組織はコンプライアンスとそれに関連する規制に注力するようになっています。NIST サイバーセキュリティフレームワークは広く認知されているフレームワークの一つであり、その主な構成要素は「コア」、「プロファイル」、「ティア」です。

サイバーセキュリティコンプライアンス

サイバーセキュリティコンプライアンスとは、エンティティ、法律、規制機関が定めた基準や法的要件を遵守することです。デジタル資産を扱う企業は、機密データに関連するリスクを最小限に抑えるために、セキュリティ管理策と慣行を実装する必要があります。

サイバー犯罪の急増は、しばしば大規模なデータ侵害や業務中断を引き起こします。これが、コンプライアンスとそれに関連する規制への新たな注目の主な原動力の一つとなっています。

組織が堅牢なサイバーセキュリティ慣行を確立するのに役立つ多くのコンプライアンスフレームワークと基準が存在します。これらのフレームワークは、セキュリティ管理策の実装と特定のコンプライアンス要件への対応のための構造化されたアプローチを提供します。

広く認知されているフレームワークには、NIST サイバーセキュリティフレームワーク、一般データ保護規則（GDPR）、医療保険の相互運用性と説明責任に関する法律（HIPAA）、ペイメントカード業界データセキュリティ基準（PCI DSS）などがあります。

関連記事：生成 AI はサイバーセキュリティでどのように活用できるか？

NIST サイバーセキュリティフレームワーク

NIST サイバーセキュリティフレームワークは、既存の基準、推奨事項、慣行に基づいて、米国国立標準技術研究所（NIST）が発行した、組織のサイバーセキュリティリスクを軽減するためのガイドライン集です。

関連記事：オーストラリア州裁判所のデータベース侵害後、サイバーセキュリティを強化するには？

このフレームワークは、「サイバーセキュリティ成果の高水準な分類法と、それらの成果を評価・管理する方法を提供する」ものであり、複数の言語に翻訳され、政府、企業、組織で広く使用されています。また、サイバーセキュリティの文脈におけるプライバシーと市民的自由の保護に関するガイダンスも提供しています。

フレームワークのバージョン 1.0 は 2014 年に公開され、当初は重要インフラ事業者向けでした。2017 年には、パブリックコメントのためにバージョン 1.1 のドラフトが公開され、その後 2018 年 4 月 16 日に正式に公開されました。フレームワークは「コア（Core）」「プロファイル（Profile）」「ティア（Tiers）」の 3 つの部分に分かれています。

1. フレームワーク・コア

「フレームワーク・コア」には、サイバーセキュリティの側面とアプローチに関する一連の活動、成果、参照情報が含まれています。NIST サイバーセキュリティフレームワークは、その「コア」の内容を 5 つの「機能」に編成しています。それは、特定（Identify）、防御（Protect）、検知（Detect）、対応（Respond）、復旧（Recover）です。

これらの機能は、合計 23 の「カテゴリー」に細分化されています。各カテゴリーには、複数のサイバーセキュリティ成果とセキュリティ管理策のサブカテゴリーが定義されており、合計 108 のサブカテゴリーがあります。

2. フレームワーク・プロファイル

「フレームワーク・プロファイル」とは、組織がそのニーズとリスク評価に基づいて、カテゴリーとサブカテゴリーから選択した成果の一覧です。

組織は通常、フレームワークを使用して「現状プロファイル」を作成することから始めます。これは、その組織のサイバーセキュリティ活動と達成している成果を記述するものです。その後、「目標プロファイル」を作成するか、その業界（例えば、インフラストラクチャ部門）や組織の種類に合わせたベースラインプロファイルを採用します。これは、現状プロファイルから目標プロファイルに移行するための手順を定義します。

3. フレームワーク実装ティア

組織は、「フレームワーク実装層」を使用して、サイバーセキュリティリスクをどのように認識し、それらを管理するアプローチの複雑さを、自組織とパートナーに明確にします。ティアは、サイバーリスク管理慣行における熟練度の高まりを反映しています。

ティア 1（部分的）は、セキュリティ手順が場当たり的か存在しない企業に該当します。

ティア 2（リスク認識）の指導的立場の大多数は、現在、直面している主要な脅威（マルウェア、国家支援攻撃、その他の悪意ある行為者など）を認識しています。

ティア 3（再現可能）は、経営陣の承認を得た模範的なリスク管理とサイバーセキュリティ慣行を備えた企業を対象としています。

ティア 4（適応型）は最も高いレベルであり、展開に最も多くの時間と費用を要しますが、銀行、医療、重要インフラなどの高度に規制された分野では不可欠です。