NISTフレームワークとは何ですか？

NISTフレームワークとは、米国国立標準技術研究所（NIST）が公表した一連の自主的なガイドライン、基準、およびベストプラクティスのことで、組織がサイバーセキュリティリスクを管理し、機密データを保護し、コンプライアンス要件を満たすことを支援することを目的としています。 自組織のセキュリティ態勢を評価する場合や、SOC 2 または ISO 27001 の監査に備える場合、自組織の状況にどの NIST フレームワークが適用されるかを把握することが、最初に下すべき判断となります。

ITおよびセキュリティチームにとってNISTフレームワークが重要な理由

NISTフレームワークは、単なる官僚的なチェックリストではありません。連邦政府の請負業者は、FISMA（連邦情報セキュリティ管理法）に基づき、法律上これらに準拠することが義務付けられており、民間企業の組織も、顧客、監査人、サイバー保険会社に対してセキュリティの成熟度を実証するための基準として、これらを参照するケースが増えています。

今日の多くの中堅企業および大企業のITチームにとって、NISTフレームワークが重要である理由は、以下の3つの現実にある。

• サイバー保険の申込書では、NIST CSFに準拠しているかどうかが日常的に問われるようになった
• 企業の調達チームは、NISTへの準拠状況をベンダーの適格性を判断する指標として活用している
• NISTのコントロールは、SOC 2、ISO 27001、HIPAAと直接対応しており、重複するコンプライアンス作業を削減できる

また、これらのフレームワークを理解しておくことで、監査の際に説得力のある説明が可能になります。監査人は、その場しのぎの回答ではなく、体系化されたリスクへの考え方を求めています。

主なNISTフレームワークの解説

NISTは数十の文書を公表していますが、ITおよびセキュリティプログラムにおける実用上の利用の大部分は、4つのフレームワークに集中しています。

NISTサイバーセキュリティ・フレームワーク（CSF）

NISTサイバーセキュリティフレームワークは、連邦政府以外で最も広く採用されているNISTの刊行物です。2024年2月にリリースされたバージョン2.0では、当初の5つの機能に「ガバナンス（Govern）」という6つ目の機能が追加されました。

CSFの6つの機能は以下の通りです：

1. ガバナンス（Govern）：サイバーセキュリティリスク管理戦略、ポリシー、および役割を確立し、監視する
2. Identify（特定）：資産、サプライヤー、およびサイバーセキュリティリスクを把握する（ここで、ハードウェアのインベントリ管理がCSFへの直接的な入力要素となる）
3. Protect（保護）：アクセス制御、構成管理、エンドポイントの強化などの保護措置を実施する
4. Detect（検知）：異常やインシデントを継続的に監視する
5. 対応（Respond）：インシデント対応計画を実行する
6. 復旧：影響を受けたシステムを復旧し、得られた教訓に基づいて改善を行う

CSFは成果ベースで設計されています。何を達成すべきかを示すものであり、その達成方法を詳細に規定するものではありません。この柔軟性は小規模なチームにとって有用ですが、同時に、各機能を具体的な技術的対策に落とし込む必要があることも意味します。

NISTリスク管理フレームワーク（RMF）

NISTリスク管理フレームワークは、もともと連邦情報システム向けに設計された、体系化された7段階のプロセスです。FISMAに基づき、米国の連邦機関およびその請負業者に対して義務付けられています。

RMFの7つのステップは以下の通りです：

1. 準備
2. 情報システムの分類
3. セキュリティ対策の選定
4. 制御の実施
5. 制御の評価
6. システムの承認
7. 継続的に監視する

RMFはCSFよりも規範的です。連邦政府向けに製品・サービスを提供するSaaS企業、あるいはFedRAMPの認可取得を目指す企業にとって、RMFは主要な運用フレームワークとなります。

NIST SP 800-53

NIST特別刊行物800-53は、RMFの下位に位置する制御カタログです。 改訂第5版には、アクセス制御（AC）、構成管理（CM）、インシデント対応（IR）、システムおよび通信の保護（SC）など、20のファミリーに分類された1,000以上の制御および制御強化策が含まれています。

SP 800-53は、FedRAMPを支える技術的基盤でもあります。セキュリティ専門家が「NISTコントロール」について言及する場合、通常はSP 800-53のコントロールを指しています。

実務的なIT業務において、SP 800-53のコントロールCM-6（構成設定）およびCM-7（最小機能）は、文書化されたベースラインや不要なソフトウェアおよびサービスに対する制限を要求するため、エンドポイント管理に直接関連しています。エンドポイントの強化ガイドの作成作業は、ここに結びつきます。

NIST SP 800-171

NIST SP 800-171は、SP 800-53の制御を簡素化したもので、連邦政府以外のシステムにおける管理対象非機密情報（CUI）の保護に特化して策定されています。 これは国防総省の請負業者向けのコンプライアンス基準であり、CMMC（サイバーセキュリティ成熟度モデル認証）プログラムと直接結びついています。

組織が CUI を扱う場合、SP 800-171 の遵守は必須であり、CMMC レベル 2 または 3 の認証取得には、本規格に基づく独立した評価が必要となります。

NISTフレームワーク間の関係

これらのフレームワークを層として考えてみてください：

• CSFは、サイバーセキュリティリスク管理のための戦略的かつ成果ベースの用語体系を提供します
• RMFは、特定のシステムを承認し、継続的に監視するためのプロセスを提供します
• SP 800-53は、RMFプロセス内で実装すべき具体的な管理措置を提供します
• SP 800-171は、CUI（機密情報）環境向けに、SP 800-53の制御措置の中から範囲を限定したサブセットを提供します

民間セクターのITチームのほとんどにとって、CSFが最初の入り口となります。連邦政府との契約やFedRAMP認証を目指す組織は、RMFおよびSP 800-53へと移行します。防衛サプライチェーンに属する企業は、SP 800-171に基づいて業務を行います。

NIST CSF と共通コンプライアンス・フレームワーク

NIST CSFに準拠することの実際的な利点の一つは、そのコントロールが、監査人が実際にテストを行うフレームワークとよく対応していることです。NISTは、CSFのサブカテゴリが以下とどのように対応しているかを示す対応表を公開しています：

• SOC 2 トラストサービス基準（当社のSOC 2 コンプライアンスガイドを参照）
• ISO/IEC 27001
• HIPAAセキュリティ規則
• PCI DSS
• CIS Controls v8

つまり、CSFを基盤としてセキュリティプログラムを構築すれば、監査のたびに一からやり直す必要はありません。証拠を一度収集し、それを複数のフレームワークにマッピングするだけで済むのです。これこそが、コンプライアンス自動化の根底にある基本原則です。

NISTとエンドポイントセキュリティ

エンドポイントは、NISTの各フレームワーク全体を通じて明確に扱われています。CSFの「保護（Protect）」機能では、構成管理と最小権限のアクセスが求められています。SP 800-53のCM-6では、すべてのデバイスについて文書化された構成ベースラインが要求されています。SP 800-171には、「システムおよび通信の保護」ファミリーの下に同等の要件が含まれています。

実務上、これらの要件は次のように具体化されます：

• 管理対象のすべてのデバイスに対してCISベンチマークの設定を適用すること
• すべてのハードウェアの最新インベントリを維持すること（CSFの「Identify」およびSP 800-53 CM-8の両方で要求されている）
• ソフトウェアのインストールを承認済みアプリケーションに限定する
• 構成の逸脱に対する継続的な監視の実施
• CVEの優先順位付けや是正プロセスを含め、脆弱性を体系的に管理すること

管理対象外の個人所有デバイスがデバイス群に含まれている場合、CSF IdentifyおよびProtectの適用範囲には明らかなギャップが存在します。この点に関するNISTのガイダンスは、どの制御措置を適用し、どのように検証するかを定義した、体系的なBYODデバイス管理ポリシーの必要性と一致しています。

IruによるNISTフレームワークへの適合アプローチ

NISTの要件を満たすことは、単なる文書作成作業ではありません。各制御措置はデバイスレベルでの実際の適用が求められ、そこでツールの選択が重要になります。

Iru Endpointは、CSFおよびSP 800-53が求めるデバイスレベルの要件に対応します。 macOS、iOS、iPadOS、tvOSのデバイス群に対しては、CISベンチマークに由来する構成ベースラインを適用し、CSFの「Identify」カバレッジに対応するためのリアルタイムなハードウェアインベントリを維持し、ソフトウェアのインストールを制限し、監査人が発見する前に構成の逸脱を検知します。 これらの機能は、SP 800-53の制御ファミリーであるCM、AC、SIに直接対応しており、チームによる手動での照合作業を必要としません。

Iru Complianceは、Iru Endpointが生成する制御証拠を、SOC 2、ISO 27001、HIPAAなど、監査担当者がテストに用いるフレームワークにマッピングします。顧客からのセキュリティ質問票で「NIST CSFに準拠していますか」と尋ねられた場合、その回答は、監査の1週間前に更新されたスプレッドシートではなく、継続的な監視データに基づいて得られます。

特にApple端末のフリートを管理するITチームにとって、Iruのアプローチは、ギャップ評価で問題が明らかになった後に事後対応するのではなく、登録時にNISTに関連する設定が強制適用されることを意味します。

組織に適したNISTフレームワークの選択

ほとんどの組織は、すべてのNISTフレームワークを同時に導入する必要はありません。以下の指針を参考にしてください：

• セキュリティプログラムを構築中の民間企業の場合：NIST CSF 2.0から始めましょう。その6つの機能は、経営陣への報告における共通言語となり、ほとんどの監査フレームワークに対応する構造を提供します。
• 連邦政府に製品・サービスを提供している、またはFedRAMPの取得を目指している場合：RMFおよびSP 800-53 Rev 5に基づいて取り組みを進めてください。早い段階で3PAO（認定第三者評価機関）に依頼してください。
• CUIを扱う国防総省（DoD）の請負業者または下請け業者である場合：SP 800-171 Rev 3に準拠し、CMMC評価の準備を行ってください。
• 複数のフレームワーク（SOC 2、ISO 27001、HIPAA）への準拠が必要な場合：CSFを統一的な構造として活用し、クロスウォークマッピングを活用して、証拠収集の重複を削減してください。

これらのフレームワークは相互に排他的ではありません。多くの組織では、連邦政府の文脈であるかどうかにかかわらず、CSFを構成層として、SP 800-53を技術的制御カタログとして活用しています。

貴チームのフレームワーク理解から、デバイス群全体での積極的な実施へと移行する準備が整っている場合は、デモをご予約いただき、Iruがエンドポイント制御をNIST要件に実際にどのようにマッピングしているかをご確認ください。