SIGからNIST 800-53へ：ネットワークセキュリティコントロールのマッピングと基礎知識

NISTセキュリティコントロールとは何か

NISTセキュリティコントロールは、米国連邦情報システムを保護するための統一的な基準として整備されている管理項目群です。主な領域には以下が含まれます。

• アクセス制御（AC）
• 監査およびアカウンタビリティ（AU）
• 意識向上とトレーニング（AT）
• 構成管理（CM）
• 緊急事態計画（CP）
• 識別と認証（IA）
• インシデント対応（IR）
• メンテナンス（MA）

NIST 800-53の目的

NIST SP 800-53は、米国連邦情報システムのセキュリティ管理原則と一連のコントロールを定めた規格です。この標準とガイドラインは、データの機密性・完全性・可用性（CIA）を維持するために活用されます。

NISTセキュリティモデルとは

NISTセキュリティモデルは、システムにおける脅威とコントロールを体系的に記述する枠組みです。NISTサイバーセキュリティフレームワーク（CSF）では、組織がサイバー攻撃を予防・検出・対応するためのガイドラインが示されており、ゼロから設計するのではなく、業界のベストプラクティスを土台としてシステムを保護できます。

セキュリティコントロールマッピングとは

コントロールマッピングとは、複数のコンプライアンス領域や要件セットを照合し、共通のコントロール活動として一点に統合するプロセスです。例えば、ベンダー評価アンケートであるSIG（Standardized Information Gathering）の質問項目をNIST 800-53のコントロールに対応付けることで、重複する評価作業を削減し、監査対応を効率化できます。ただし、各フレームワークで粒度や解釈が異なるため、マッピング作業は容易ではなく、専門知識が求められます。

NIST SP 800-53が定める米国連邦システム保護の基準

NIST 800-53は、国家安全保障システムを除く米国連邦政府の情報システムに適用される規制標準であり、必要最低限のセキュリティコントロールを定義しています。連邦情報処理標準（FIPS 199／FIPS 200）と組み合わせることで、システムのセキュリティカテゴリ（低・中・高）に応じたコントロールの選択が求められます。

NIST 800-53の適用範囲

NIST SP 800-53は、連邦情報システムのセキュリティ管理原則とコントロール群を規定しており、データの機密性・完全性・可用性を維持すべきすべてのシステムに適用されます。民間企業でも、FedRAMPやCMMCなどの認証取得時に準拠が求められるケースが増えています。

NIST 800-53の認定資格は存在するのか

はい、存在します。NCSP®（NIST Cybersecurity Professional）800-53スペシャリスト認定など、認定されたトレーニングコースと試験を受験することで資格を取得できます。これにより、NIST 800-53のコントロールと管理システムの導入・実装・運用を担える人材として、企業のサイバーリスク管理プログラムの品質と有効性を高めることが期待できます。

NISTセキュリティコントロールの数

NIST SP 800-53 リビジョン4（R4）には、18のコントロールファミリーに分類されたセキュリティコントロールが収録されています。最新のリビジョン5（Rev.5）では20のファミリーに再編され、1,000件を超えるコントロールと拡張パラメータが含まれています。組織はこれらのコントロールを活用することで、サイバーセキュリティフレームワーク、リスク態勢、情報セキュリティ水準を総合的に強化できます。

NISTサイバーセキュリティフレームワークのコントロール数

NIST CSFの中核（Core）は、5つの「機能（Functions）」で構成され、その下に23の「カテゴリ」が階層的に配置されています。さらに各カテゴリは複数の「サブカテゴリ」に細分化されており、合計108のサブカテゴリがサイバーセキュリティの成果とコントロールを示しています。

サイバーセキュリティにおけるセキュリティコントロールとは

サイバーセキュリティコントロールとは、組織が脆弱性から自らを守るために実施する手順・技術・方針の総称です。ネットワーク上のデータに対する脅威を特定し、適切に管理・軽減することが主な目的です。

NIST 800-53の主要なコントロールファミリー一覧

代表的なコントロールファミリーの略称は以下の通りです。

• AC：アクセス制御
• AU：監査とアカウンタビリティ
• AT：意識向上とトレーニング
• CM：構成管理
• CP：緊急事態計画
• IA：識別と認証
• IR：インシデント対応
• MA：メンテナンス

このほかにも、MP（メディア保護）、PS（人的セキュリティ）、PE（物理的・環境的保護）、PL（計画）、RA（リスク評価）、CA（セキュリティ評価と承認）、SC（システム・通信保護）、SI（システム・情報の完全性）、SA（システム・サービス調達）などのファミリーがあります。

NIST 800-37の用途

NIST SP 800-37は、リスク管理フレームワーク（RMF）を連邦情報システムに適用するための手順を提供します。具体的には、セキュリティリスクの特定、コントロールの選択・実装・評価、システムの稼働承認（ATO：Authorization to Operate）、そして継続的な監視までの一連のライフサイクルを網羅しています。

NIST 800シリーズとコンプライアンスの進め方

NIST 800シリーズに準拠するには、まず対象システムの分類とリスク評価を実施し、NIST 800-53などから適切なコントロールを選択・実装します。その後、継続的かつ自動化されたモニタリングによって、サイバー資産の特定と優先順位付け、リスク閾値の設定、最適な監視頻度の決定を行い、結果を承認された当局者へ報告します。

NISTサイバーセキュリティ標準とは

NIST CSFは、内部・外部の双方の脅威源から生じるサイバーセキュリティリスクを管理するための指針を提供します。既存の国際標準や業界標準をベースとしており、組織の規模や業種に合わせてカスタマイズ可能なリスク管理活動を示している点が特徴です。

NIST CSFの5つのコア機能

NIST CSFの5つのコア機能は以下の通りです。

• Identify（識別）：資産とリスクの把握
• Protect（防御）：適切な保護措置の実施
• Detect（検知）：異常やインシデントの発見
• Respond（対応）：検知した事象への対処
• Recover（復旧）：機能とサービスの復元

これら5つの機能は並行かつ継続的に作用し、高度なリスク管理を構築するための基盤となります。

セキュリティポリシーの3類型とNISTセキュリティモデル

セキュリティコントロールは一般に3種類に分類されます。管理的（Management）コントロールは組織・運営面のセキュリティ（ポリシー策定、リスク評価など）を扱い、技術的（Technical）コントロールはシステムやソフトウェアによる保護（暗号化、認証など）を、運用的・物理的（Operational／Physical）コントロールは物理的な施策（入退室管理、監視カメラなど）を担当します。

セキュリティコントロールフレームワークとは

Secure Controls Framework（SCF）に代表されるコントロールフレームワークは、企業がプロセス・システム・アプリケーションを確実に保護するために利用できる包括的な枠組みです。複数の法令・規制要件を一元的に管理し、コンプライアンス対応の負荷を軽減するのに役立ちます。

4種類のセキュリティコントロール

セキュリティコントロールは、その性質によって次の4つに大別できます。

• 物理的コントロール：建物への入退室管理、施錠、監視カメラなど
• 論理的（技術的）コントロール：ネットワークアクセス制御、暗号化、多要素認証など
• 運用手順上のコントロール：業務プロセス、手順書、教育訓練など
• コンプライアンスコントロール：法令・業界規格への適合を目的とした対策

セキュリティコントロールの定義

セキュリティコントロールとは、重要資産へのリスクを最小化または低減するために講じられる対策の総称です。方針、手順、技法、方法、ソリューション、計画、戦略、行動、装置など、目的達成に資するあらゆる手段が含まれます。ファイアウォール、監視システム、アンチウイルスソフトなどはその代表例です。