サイバーセキュリティ企業が主に依存するフレームワークはどれ？主要セキュリティフレームワーク徹底解説

サイバーセキュリティ企業が主に依存するフレームワークとは

サイバーセキュリティ業界では、組織のセキュリティ対策を体系的に管理するために、さまざまなフレームワークが活用されています。本記事では、代表的なセキュリティフレームワークの特徴や目的、選び方について詳しく解説します。

サイバーセキュリティガバナンスフレームワークとは

サイバーセキュリティガバナンスは、エンタープライズガバナンスの一環として、敵対者が存在する状況下でも企業とサイバー空間との関係が安全に保たれることを保証するものです。リスク管理ツールや包括的なセキュリティ意識向上プログラムを提供し、組織の重要なシステムやプロセスに組み込むことが求められます。

セキュリティコントロールフレームワークとは

Secure Controls Framework（SCF）は、企業がプロセス、システム、アプリケーション、データを保護するために利用できる、包括的なセキュリティコントロールのカタログです。また、情報セキュリティフレームワーク全般は、組織内で情報セキュリティコントロールを実装・管理するための一連のガイドラインや計画を含んでいます。

代表的なサイバーセキュリティフレームワーク

NIST CSF（サイバーセキュリティフレームワーク）

米国国立標準技術研究所（NIST）が策定した「重要インフラ向けサイバーセキュリティフレームワーク（CSF）」は、重要インフラのサイバーセキュリティを向上させることを目的とした、任意準拠型の標準ベースのフレームワークです。米国大統領の大統領令を受けて開発され、サイバー攻撃の防止とリスク低減を目指しています。

NIST CSFの中核となる「フレームワークコア」には、「特定（Identify）」「防御（Protect）」「検知（Detect）」「対応（Respond）」「復旧（Recover）」という5つのコア機能があります。さらに、フレームワークは「コア」「実装ティア」「プロファイル」という3つの主要コンポーネントで構成され、分かりやすい共通言語を用いて望ましいサイバーセキュリティ活動と成果を示します。

NIST CSFはリスクベースのアプローチを採用しており、最もリスクの高い資産を特定し、それらを保護するための推奨事項を提供します。これにより、組織はサイバー攻撃への脆弱性を低減し、データ漏洩などのインシデントが発生しやすい領域を事前に把握できます。

CISクリティカルセキュリティコントロール

Center for Internet Security（CIS）は、クリティカルセキュリティコントロール（CIS Controls）を公開しています。これは、最も重要なセキュリティ対策に優先順位をつけた、実践性の高いコントロール群です。

ISO/IEC 27001・27002

国際標準化機構（ISO）のISO/IEC 27001および27002は、情報セキュリティマネジメントシステム（ISMS）に関する国際規格です。これらの規格に基づき、企業は内部統制フレームワークへの準拠が求められます。

その他のフレームワーク

このほかにも、COBIT、NERC CIP、HIPAA、GDPRなど、業界や目的に応じた多様なセキュリティフレームワークが存在します。一部のフレームワークは、特定の業界のコンプライアンス要件に対応するよう設計されています。

ISOとNIST、どちらを選ぶべきか

NIST SP 800-53は、複数のグループによって推進されており、連邦情報システムに対してセキュリティコントロールを重視した内容となっています。一方、ISO 27001は技術色が薄く、リスク志向であるため、あらゆる組織に適した規格です。どちらを選ぶかは、組織の性質や要件によって異なります。

サイバーセキュリティフレームワークの選び方

フレームワークを選ぶ際には、自社のサイバーセキュリティプログラムを組織のニーズと整合させることが重要です。初期のリスクアセスメントや許容可能なリスクレベルの設定には、Cレベルの経営幹部、トップマネジメント、ITサポートチームのメンバー全員が参加すべきです。

セキュリティフレームワークの目的とメリット

セキュリティフレームワークは、脆弱性を低減しリスクを管理するための情報セキュリティプログラムを構築するためのガイドライン集です。セキュリティ専門家が、ビジネスにセキュリティを組み込むために必要なタスクを定義し、優先順位をつけるための手段を提供します。

具体的なメリットとしては、以下が挙げられます。

• 現在のセキュリティ状況を正確に把握できる
• サイバーセキュリティプログラムを新たに確立または改善できる
• ステークホルダーにサイバーセキュリティ要件を明確に伝えられる
• 新しい標準の追加や既存標準の改訂の機会を発見できる

また、セキュリティフレームワークは、セキュリティポリシーが国の命令や国際的なプロセスに準拠していることを保証します。企業にとっては、システムに保存された個人情報の扱い方に関する詳細なガイドラインを含む行動計画となり、セキュリティ関連の脅威への脆弱性を低減します。

セキュリティコントロールの種類

セキュリティコントロールは、大きく以下のように分類できます。

• 物理的アクセス制御
• インターネット経由のデータアクセス制御
• プロセス制御
• 技術的制御
• コンプライアンス制御

また、管理（マネジメント）、運用、物理の3つのカテゴリに分類することもできます。

セキュリティガバナンスの主要コンポーネントと目標

サイバーセキュリティガバナンスの主要な構成要素には、組織構造、職場文化、セキュリティ意識向上プログラム、サイバーセキュリティガバナンスモデルなどがあります。

情報セキュリティガバナンスの5つの目標は以下の通りです。

1. 組織全体のための情報セキュリティシステムを確立する
2. 意思決定におけるリスクを考慮する
3. 戦略的意思決定に基づいて投資判断を行う
4. 内部および外部の要件への準拠を確保する
5. セキュリティを重視する行動を促進する環境を作る

セキュリティガバナンスとは、組織のセキュリティ活動を管理・指揮する仕組みです。適切なアプローチにより、組織のセキュリティ活動を効果的に調整し、情報共有やセキュリティに関する意思決定を円滑に行えるようになります。経営幹部層が、戦略的方向性の確保、組織目標の達成、リスクの軽減、倫理的な行動の担保のために実施する一連のプラクティス、責任、ポリシーから構成されます。

コントロールフレームワークとは

コントロールフレームワークとは、リスクを最小化し価値を最大化するために使用されるポリシーや手順である内部統制を、整理・分類したものです。活動の管理、情報交換とコミュニケーション、モニタリングシステムなどの要素が含まれます。

まとめ

サイバーセキュリティ企業や組織が主に依存するフレームワークとしては、NIST CSF、CIS Controls、ISO/IEC 27001・27002などが挙げられます。ITセキュリティリーダーは、サイバーセキュリティフレームワークを適切に活用することで、エンタープライズリスクをより効率的に管理できます。組織は既存のフレームワークを自社のニーズに合わせて適応させることも、独自のフレームワークを開発する際のモデルとして使用することも可能です。自社の規模、業界、コンプライアンス要件に合ったフレームワークを選択することが、効果的なセキュリティ体制構築の第一歩となります。