NISTサイバーセキュリティフレームワークとは？

NISTサイバーセキュリティフレームワーク（NIST CSF）は、組織がサイバーリスクをより良く管理し、優先順位をつけ、削減するための自主的なリスクベースのアプローチです。2013年に米国国立標準技術研究所（NIST）によって開発されたNIST CSFは、サイバーセキュリティの課題に対処するための包括的なガイドライン、ベストプラクティス、プロセスを組織に提供します。

NIST CSFは、すべての組織に適用できる一律の解決策ではなく、組織の特定のニーズに合わせて調整されることを意図しています。NIST CSFは、組織がサイバーリスクへの露出をより良く管理し、削減するために完了すべき一連の活動に基づいています。これらの活動は、識別、保護、検出、対応、復旧の5つのコアカテゴリーに整理されており、それぞれがさまざまなサブカテゴリーと活動で構成されています。

NIST CSFはなぜ作られたのか？

NIST CSFは、2008年の大統領のサイバーセキュリティに関する国家安全保障指令に応じて作成されました。この指令は、国家全体のサイバーセキュリティを向上させるための包括的なフレームワークの開発を求めていました。NIST CSFは、サイバーセキュリティのための包括的でありながら自主的なベストプラクティスのセットを提供するよう設計されています。NIST CSFの目標は、リスクベースのアプローチを提供することで、サイバーセキュリティをより管理しやすく、達成可能にすることです。

NIST CSFはコンプライアンスの義務か？

NIST CSFはコンプライアンスの義務ではありません。NIST CSFは、組織がサイバーセキュリティの姿勢を改善するために使用できる自主的なベストプラクティスのセットです。NIST CSFは規制要件ではありませんが、多くの組織がさまざまなコンプライアンス基準に準拠するためにこのフレームワークを使用しています。

NIST CSFのコア機能とカテゴリー

NIST CSFは、サイバーセキュリティの異なる要素を表す各層を持つ多層アプローチを組織に奨励しています。これらの層、またはコア機能は、識別、保護、検出、対応、復旧です：

識別

識別機能は、組織がサイバーセキュリティの姿勢を理解し、それを支える資産、プロセス、人を特定するのを助けることを目的としています。これには、組織の現在および将来のサイバーセキュリティ状態、リスク評価プロセス、および関連するリスク管理措置の理解を深めることが含まれます。

保護

保護機能は、組織の資産の機密性、整合性、可用性を確保するために、無許可のアクセスから保護するためのコントロールを実施することを目的としています。これには、アクセス制御措置の実施、セキュリティポリシーの策定、認証システムの設定が含まれます。

検出

検出機能は、システムを監視して、悪意のある活動を特定、封じ込め、対応することを目的としています。これには、監視システムの設定、ログ管理プロセスの実施、インシデント対応計画の策定が含まれます。

対応

対応機能は、発生したサイバーセキュリティインシデントに適切に対応できるようにすることを目的としています。これには、明確に定義されたインシデント対応計画、インシデントからの復旧プロセス、および計画の効果を確認するための演習の実施が含まれます。

復旧

復旧機能は、サイバーセキュリティインシデントからの復旧を確保することを目的としています。これには、失われたデータの復元、システムの修復、改善点を特定するためのインシデント後のレビューの実施が含まれます。

NISTフレームワークの実装ティア

NIST CSFは、4つの実装ティアに整理されています：ティア1（部分的）、ティア2（適応的）、ティア3（予測的）、ティア4（アジャイル）。各ティアは、より高いレベルのサイバーセキュリティのレジリエンスを提供するように設計されています。組織がティアを上がるにつれて、サイバーセキュリティの課題により深く、複雑に対処することが期待されます。

ティア1（部分的）

このティアにある組織は、サイバーセキュリティ対策の実施を始めたばかりです。この段階では、サイバーセキュリティリスクと脅威の特定、基本的な保護措置の開発、基本的な監視および対応システムの確立に焦点を当てています。

ティア2（適応的）

このティアにある組織は、サイバーセキュリティの旅をさらに進めており、資産を保護するための追加の措置を講じています。この段階では、より高度な保護措置の開発、監視および対応システムの改善、サイバーセキュリティの姿勢の定期的な評価と調整が期待されます。

ティア3（予測的）

このティアにある組織は、サイバーセキュリティの取り組みが非常に進んでいます。この段階では、予測分析を使用してサイバー脅威を予測し、積極的に防御することが期待されます。

ティア4（アジャイル）

このティアにある組織は、サイバーセキュリティの頂点にあります。この段階では、サイバーセキュリティインシデントを迅速に特定し、対応し、復旧することが期待されます。

NIST CSFが使いやすい理由は？

NIST CSFは、組織の規模、業界、複雑さに関係なく、使いやすいように設計されています。このフレームワークは、組織が特定のニーズに合わせて調整できるように構造化されています。NIST CSFのコア機能とカテゴリーは、組織が防御可能なサイバーセキュリティの姿勢を開発するための包括的なガイドラインを提供します。さらに、NIST CSFは、組織がニーズの進化に応じてサイバーセキュリティの姿勢を段階的に改善できるようにする実装ティアシステムを提供します。

NIST CSFを使用すべき人は？

NIST CSFは、すべての規模と業界の組織が使用するように設計されています。このフレームワークは、機密情報を取り扱い、機密通信や顧客データ、財務情報、知的財産、健康記録の共有を行う組織に特に適しています。医療機関、金融機関、政府機関、教育機関は、これらの種類の機密情報を頻繁に取り扱い、共有しているため、NIST CSFの採用に最適な候補です。NIST CSFは、これらの組織にサイバーリスクをより良く管理し、削減するための包括的なガイドラインを提供します。

Kiteworksプライベートコンテンツネットワークでデータを保護するためのNIST CSF原則の実装

NIST CSFを実装することで、組織はサイバーリスクをより良く特定し、削減することができます。また、サイバーセキュリティインシデントに対応し、復旧する準備が整います。このリスク管理手法により、機密情報はその整合性と機密性を維持するために、管理的、技術的、物理的な保護策によって管理されます。

Kiteworksプライベートコンテンツネットワークは、組織がフォルダー、ファイル、メールなどのコンテンツコンテナにNIST CSF原則を適用する能力を提供します。以下のような多数のコンテンツポリシーがあります：

• ジオフェンシングを使用して特定のドメインや国への機密コンテンツの転送を無効にするなどのグローバルポリシーの確立
• Kiteworksのメールポリシーエンジンを使用して、Microsoft MIPの「公開」、「機密」、「秘密」などの感度レベルを活用し、メールの送受信を制御および追跡
• 第三者のサプライチェーンを管理し、誰が機密コンテンツにアクセスできるか、誰が編集できるか、誰に送信できるかを制御および追跡
• 機密コンテンツに関与する異常な活動を検出し、セキュリティ情報イベント管理（SIEM）およびセキュリティオーケストレーション、自動化、対応（SOAR）との統合を通じてセキュリティオペレーションセンターチームにアラートを自動化

Kiteworksプライベートコンテンツネットワークは、IT、セキュリティ、コンプライアンス、リスク管理のリーダーに、フォルダー、ファイル、メールなどのコンテンツコンテナにNIST CSFフレームワークの原則を適用するためのプラットフォームを提供します。組み込みのメールポリシーエンジンにより、組織はMicrosoft MIPの感度レベルを設定でき、Kiteworksのアクセス制御により、組織はグローバルおよび個別レベルでポリシーを設定できます。これにより、組織はサイバーセキュリティリスク管理戦略に従って機密コンテンツの転送を制限し、HIPAA（医療保険の相互運用性と説明責任に関する法律）、GDPR（EU一般データ保護規則）、PIPEDA（個人情報保護及び電子文書法）、PCI DSS（支払いカード業界データセキュリティ基準）などの規制要件を遵守し続けることができます。

Kiteworksは、NIST CSFとその包括的なリスク管理アプローチに準拠し、組織の成功を支える貴重なデータと知的財産を保護することを可能にします。

KiteworksプライベートコンテンツネットワークとNIST CSFについてさらに詳しく知りたい方は、カスタムデモを予約してください。

 

リスクとコンプライアンス用語集に戻る