NIST Cybersecurity Framework（CSF）2.0

NIST CSF とは

NIST Cybersecurity Framework（CSF） は、米国国立標準技術研究所（NIST）が策定したサイバーセキュリティリスク管理のフレームワークです。2014年にv1.0が発表され、2024年2月にv2.0に改訂されました。

特定業種に依存せず、中小企業から大企業・政府機関まで幅広く活用できる点が特徴です。日本でもIPAがガイドラインの参考として推薦しています。

6つのコア機能

1. GOVERN（統治）— CSF 2.0 新機能

セキュリティリスク管理の方針・手順・役割・責任を定義します。

• セキュリティ戦略とリスク許容度の決定
• 経営層のサイバーセキュリティへの関与
• サプライチェーンリスク管理
• ポリシー・標準・手順の整備

2. IDENTIFY（識別）

組織が管理する資産・リスクを把握します。

• 資産管理（ハードウェア・ソフトウェア・データ）
• リスクアセスメントの実施
• 脅威インテリジェンスの活用
• ビジネス環境・法的要件の理解

3. PROTECT（防護）

重要サービスの継続を確保するための対策を実装します。

• アクセス制御・最小権限
• セキュリティ意識向上トレーニング
• データ保護・暗号化
• 情報保護プロセスとシステム
• 設定管理・脆弱性管理

4. DETECT（検知）

サイバーセキュリティイベントの早期発見を可能にします。

• セキュリティ継続的監視
• 検知プロセスの整備
• アノマリ・イベントの検知

5. RESPOND（対応）

検知したインシデントへの対応活動です。

• インシデント対応計画（IRP）の実行
• 通信（ステークホルダーへの通知）
• 分析・根本原因の特定
• 軽減策の実施

6. RECOVER（回復）

正常運用への復旧と学びの反映です。

• 復旧計画の実行
• 改善点の特定と実装
• ステークホルダーへのコミュニケーション

実装ティア（成熟度レベル）

CSFは4段階の実装ティアで組織の成熟度を評価します。

CSF プロファイルの活用

プロファイルは組織の「現在の状態（Current Profile）」と「目標状態（Target Profile）」を定義します。ギャップ分析によって優先度の高い改善施策を特定できます。

現在の状態（Current Profile）
  ↓ ギャップ分析
目標状態（Target Profile）
  ↓ ロードマップ作成
優先度付きの改善施策

MITRE ATT&CK との組み合わせ

NIST CSFとMITRE ATT&CKは補完関係にあります。

2025〜2026年の関連動向

国際規制との整合

2025〜2026年にかけて、NIST CSF 2.0は国際的な規制フレームワークとの整合が進んでいます。

NIST IR 8286 改訂とCSF 2.0との連携

2025年12月、NISTはIR 8286シリーズ（サイバーセキュリティとエンタープライズリスク管理の統合）を改訂し、CSF 2.0との整合性を強化しました。これにより、CISOが経営層にリスクを報告する際のフレームワークが統一されています。

AI向けCSFプロファイル

2026年1月、NISTはCybersecurity Framework Profile for Artificial Intelligence（Cyber AI Profile） のドラフトに関するワークショップを開催しました。AI固有のリスク（モデルの汚染、プロンプトインジェクション、データポイズニング等）をCSFの6機能にマッピングするためのガイダンスです。