サイバーセキュリティのドメインとは？8つの領域とNISTフレームワークを徹底解説

サイバーセキュリティのドメインとは

サイバーセキュリティは単一の分野ではなく、複数の専門領域（ドメイン）から構成される包括的な体系です。組織の情報資産を守るためには、それぞれのドメインがどのような役割を担っているのかを理解することが不可欠です。本記事では、国際的に認知されているCISSPの8つのドメインや、米国国立標準技術研究所（NIST）が定めるフレームワークの5つの中核機能など、押さえておきたい主要な概念をわかりやすく解説します。

CISSPにおける8つのセキュリティドメイン

CISSP（Certified Information Systems Security Professional）認定は、2015年の改訂でそれまでの10ドメインから8ドメインへと再編されました。現在、サイバーセキュリティ業界で広く受け入れられている8つのドメインは以下の通りです。

• セキュリティおよびリスク管理：組織全体のセキュリティ方針、ガバナンス、コンプライアンス、リスク管理戦略を扱います。
• 資産セキュリティ：情報資産の分類、所有権、ライフサイクル全体での保護を担当します。
• セキュリティアーキテクチャおよびエンジニアリング：安全なシステム設計や暗号技術など、セキュリティ基盤の構築に関わります。
• 通信およびネットワークセキュリティ：ネットワーク通信の保護、安全な伝送路の確保を扱います。
• アイデンティティおよびアクセス管理（IAM）：利用者の認証・認可、アクセス権限の適切な制御を行います。
• セキュリティ評価およびテスト：脆弱性診断、ペネトレーションテスト、監査などを通じて防御策の有効性を検証します。
• セキュリティオペレーション：インシデント対応、ログ監視、災害復旧など日々の運用業務を担います。
• ソフトウェア開発セキュリティ：開発ライフサイクル全体を通じて安全なソフトウェアを作るための手法を扱います。

NISTフレームワークの5つの中核機能

米国国立標準技術研究所（NIST）が策定したサイバーセキュリティフレームワークは、効果的かつ全体的なセキュリティ計画を立てるうえで不可欠な5つの領域に分けられています。電力系統、石油パイプライン、水処理施設といった重要インフラを対象に、一連のサイバーセキュリティ活動、望ましい成果、関連する参照資料が示されています。

1. 識別（Identify）：資産やリスクを把握し、組織の状況を理解する。
2. 防御（Protect）：適切な対策を実装して重要サービスの提供を守る。
3. 検知（Detect）：サイバー攻撃や異常を迅速に発見する。
4. 対応（Respond）：検出されたインシデントに対して適切に行動する。
5. 復旧（Recover）：インシデントによって低下した能力を回復させる。

4つのセキュリティドメイン（物理・情報・認知・社会）

Collinsらの研究では、サイバーセキュリティを以下の4つのドメインから捉える枠組みが提示されています。

• 物理ドメイン：ハードウェアやソフトウェアといった物理的な構成要素。
• 情報ドメイン：情報の機密性・完全性・可用性。
• 認知ドメイン：情報の知覚と分析。
• 社会ドメイン：倫理や社会規範の遵守。

CIAトライアド：情報セキュリティの3大要素

データや情報について議論する際には、CIAトライアド（CIA三要素）への理解が欠かせません。これは情報セキュリティモデルの中核を成す概念であり、以下の3つの要素で構成されます。これらは相互に依存しており、セキュリティポリシーにおいて1つも無視することはできません。

• 機密性（Confidentiality）：許可された者だけが情報にアクセスできること。
• 完全性（Integrity）：情報が不正に改ざんされず、正確かつ完全であること。
• 可用性（Availability）：必要なときにいつでも情報やシステムへアクセスできること。

セキュリティの主な5つの種類

現代のサイバーセキュリティは、対象となる環境ごとにさまざまな分野に分かれています。代表的なものとして以下が挙げられます。

• 重要インフラセキュリティ：電力や水道など、社会を支えるシステムやサービスを守る技術。
• ネットワークセキュリティ：ネットワーク経由の攻撃から通信環境を保護する。
• クラウドセキュリティ：クラウド環境上のデータやアプリケーションを守る。
• IoTセキュリティ：モノのインターネット（IoT）ネットワーク特有のリスクへの対処。
• アプリケーションセキュリティ：ソフトウェアやアプリの脆弱性を防ぐ。

政府機関における3つの機密区分

「セキュリティドメイン」という言葉は、アクセス権限を持つ主体（サブジェクト）が利用できる情報の範囲を指すこともあります。より一般的には、類似したセキュリティ要件を持つオブジェクトと主体のグループとして理解されています。米国政府では、国防総省（DoD）をはじめ、「Confidential（極秘外）」「Secret（機密）」「Top Secret（極秘）」という3つの異なるセキュリティドメイン（機密区分）を維持しています。

効果的なサイバーセキュリティのための5つの重要属性

堅牢なセキュリティ体制を築くうえで、以下の5つの属性が重要とされています。

1. 効果的なフレームワーク：実践可能なセキュリティ基盤を整備すること。
2. エンドツーエンドの範囲：組織全体を網羅する取り組みであること。
3. 徹底したリスク評価と脅威モデリング：潜在的な脅威を事前に特定・分析すること。
4. 先手必勝のインシデント対応計画：発生を見据えたプロアクティブな準備。
5. 専任のリソース確保：サイバーセキュリティに専念できる人材と予算の投入。

まとめ

サイバーセキュリティのドメインは、CISSPの8領域、NISTフレームワークの5つの中核機能、CIAトライアドの3要素など、文脈によってさまざまな切り口があります。いずれの観点でも共通しているのは、技術・運用・人の側面をバランスよくカバーする必要があるという点です。自組織のセキュリティ計画を立案・見直す際には、これらのドメインをチェックリストとして活用するとよいでしょう。