LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

サイバー攻撃の手口が年々巧妙になるなかで、「自社のセキュリティ対策は、どこから手をつけ、どこまでやれば十分なのか」という問いに、頭を悩ませる担当者は少なくありません。その拠りどころとして世界的に参照されているのが、NISTのサイバーセキュリティフレームワーク、通称CSFです。2024年には大きな改訂版であるCSF 2.0が公開され、あらためて関心を集めています。

本記事では、セキュリティ対策の全体像を描きたい情報システム部門・事業部門の担当者に向けて、NIST CSF 2.0とは何か、6つの機能はどう構成されるのか、日本の法人企業にどう役立つのか、そして導入や受託・委託開発で押さえておきたい点を整理します。CSFは特定の製品を導入すれば終わるものではなく、自社のリスクに応じて使いこなす枠組みです。なお本記事は一般的な解説であり、実際の運用では公式の最新版を確かめながら進めてください。

NIST CSF 2.0とは——2024年改訂のサイバーリスク管理の枠組み

NIST CSF 2.0は、アメリカの国立標準技術研究所（NIST）が2024年2月に公開した、サイバーセキュリティのリスク管理のためのフレームワークです。2014年の初版から数えて、はじめての大きな改訂にあたります。特定のツールや製品を指定するものではなく、「サイバーリスクにどう向き合い、どんな体制で管理していくか」という考え方の枠組みを示すのが、その役割になります。

特徴は、規模や業種を問わず使える汎用性にあります。もともとは重要インフラ向けに作られた経緯がありますが、2.0では対象が広げられ、中小の企業から大企業まで、幅広い組織が拠りどころにできる形へと整えられました。認証を取得する規格ではなく、あくまで自主的に活用する枠組みである点も押さえておきたいところでしょう。自社のリスクに合わせて、必要なところから取り入れていけるのです。

6つのコア機能——統治（Govern）を中心に

CSF 2.0の中核が、6つの「コア機能」です。具体的には、統治（Govern）、特定（Identify）、防御（Protect）、検知（Detect）、対応（Respond）、復旧（Recover）の6つになります。このうち統治（Govern）は、2.0で新たに加わった機能です。サイバーリスク管理を情報システム部門だけの仕事にとどめず、経営の視点で方針や役割を定める——その中心の役割を担います。残る5つの機能に方向を与える、いわば土台にあたるものなのです。

ほかの5つは、リスク管理の流れに沿って並びます。まず「特定」で自社の資産やリスクを把握し、「防御」で守りの手立てを講じる。そのうえで「検知」で異変に気づき、「対応」で被害を抑え、「復旧」でもとの状態に戻していきます。攻撃を未然に防ぐ工夫だけでなく、起きてしまった後の立て直しまでを一続きで捉えているのが、この枠組みの持ち味だといえるでしょう。全体像を図にまとめました。

それぞれの機能が、実務のどんな場面と結びつくのかを、下の表に整理しました。自社で手が足りていない機能はどこかを見取る手がかりになります。

ティアとプロファイル——現在地と目標を描く

CSFは、6つの機能を並べた「コア」に加えて、「ティア」と「組織プロファイル」という道具立てを備えています。ティアは、サイバーリスク管理の成熟度を4段階で表すものです。Tier 1の「部分的」から、Tier 2「リスク情報あり」、Tier 3「繰り返し可能」、Tier 4「適応的」へと進むにつれ、管理が組織に根づき、状況の変化にも柔軟に対応できる状態へ近づきます。自社がいまどのあたりにいるのかを、共通のものさしで語れるようになるわけです。

もうひとつのプロファイルは、コアの各項目について「現状はどうか」「目標はどこか」を書き出し、両者を見比べる道具になります。現状と目標のあいだにある差が、取り組むべき課題として浮かび上がるのです。あれもこれもと欲張るのではなく、自社のリスクや事業の優先度に照らして、埋めるべき差から順に手をつけていく——ティアとプロファイルは、そうした現実的な計画づくりを支えてくれます。

なぜ日本の法人企業にも役立つのか

NIST CSFはアメリカ発の枠組みですが、その考え方は国境を越えて広く参照されています。日本の法人企業にとっても、サイバー対策の全体像を経営層と共有し、取引先や顧客に自社の姿勢を示すうえで、共通言語として役立ちます。とりわけ、サプライチェーン全体でセキュリティが問われる場面が増えるなかで、「うちはこの枠組みに沿って管理しています」と語れることの意味は小さくないでしょう。

認証を取得するISMS（ISO/IEC 27001）認証と混同されることもありますが、両者は役割が異なります。ISO 27001が第三者の審査を経て認証を得るマネジメントシステムであるのに対し、CSFは自主的に使うフレームワークです。競合するものではなく、CSFで全体像を描きつつ、必要に応じてISO 27001で仕組みを裏づける、といった重ね方もできます。どちらか一方という話ではないのです。

導入の進め方——現状把握から改善まで

CSF 2.0を採り入れる際は、いきなり全部を満たそうとせず、順を追って進めるのが現実的です。まずは統治（Govern）の観点から、誰が責任を持ち、どんな方針でリスクに向き合うのかを定めます。次に「特定」で自社の資産やリスクを棚卸しし、プロファイルを使って現状と目標を書き出す。そのうえでティアで現在地を確かめ、埋めるべき差の大きいところから、防御・検知・対応・復旧の手立てを整えていきます。この一連の流れを、体制づくりとして根づかせることが肝になります。

体制づくりの部分は、AIガバナンス体制づくりの支援と同じように、外部の知見を借りながら組み立てる選択肢もあります。社内にセキュリティの専門家がそろわない場合でも、伴走してもらいながら要所を自社で判断できるようにしていけば、仕組みが根づきやすくなるものです。大切なのは、一度作って満足するのではなく、脅威や事業の変化に合わせて見直しを続けることでしょう。

受託・委託開発で押さえる実務ポイント

セキュリティの実装や運用を外部と進める場合、CSFの機能は、話を整理する見取り図として役立ちます。たとえば「防御」では、アクセス権を適切に保つアイデンティティ管理（IGA）の仕組みが論点になるのです。「検知」では、クラウドの設定ミスを継続的に見張るクラウドセキュリティ（CSPM）の人材補完のような打ち手が関わってくるでしょう。CSFの6機能に沿って、どこに手が足りていないのかを見取ると、委託すべき範囲がはっきりします。

委託先を選ぶ際は、個々のツール導入の腕前だけでなく、CSFのような枠組みで全体像を語れるかどうかを見ておきたいところです。自社のリスクや事業の優先度を踏まえ、どの機能から手をつけるべきかを一緒に描ける相手だと、投資の抜け漏れや重複が起きにくくなります。現状把握から、優先順位づけ、実装、運用と見直しまでを見通して伴走できるかどうかを、委託先選びの視点にするとよいでしょう。目的から逆算して提案できる相手であれば、枠組みも現場に無理なく落とし込みやすくなるものです。

まとめ：NIST CSF 2.0で押さえる3つの視点

NIST CSF 2.0は、サイバーリスク管理の全体像を、経営から現場まで一続きで描くための枠組みです。押さえておきたい視点は、三つに整理できます。第一に、2024年に公開された版で、認証規格ではなく自主的に活用するフレームワークであり、規模や業種を問わず使えること。第二に、中核は6つのコア機能で、2.0で加わった統治（Govern）が中心となり、特定・防御・検知・対応・復旧に方向を与えること。第三に、ティアで成熟度を、プロファイルで現状と目標を描き、埋めるべき差の大きいところから段階的に取り入れられること。まずは自社のリスクの棚卸しと、責任・方針を定める統治のところから始めるとよいでしょう。迷う部分は、公式情報の確認とあわせて、外部の知見を頼るのも手堅い進め方といえます。

よくある質問

出典

1. *1　参考：NIST「The NIST Cybersecurity Framework (CSF) 2.0」（https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf）。機能・ティア・プロファイルの参考として。（2026年8月確認）
2. *2　参考：NIST「Cybersecurity Framework」公式ページ（https://www.nist.gov/cyberframework）。最新の正確な内容は公式を確認。（2026年8月確認）

Tweet