ブログ
ブログ
クロスウォークのデータ、実践的なハウツー、Paul Gillet の見解に基づく分析記事です。 RSS フィード
分析
分析 · 2026-10-27APRA CPS 234とISO 27001：ISMSがカバーする範囲とAPRAが追加する要件ISO 27001のISMSは、APRAのCPS 234のほぼすべての段落をカバーしています。しかしAPRAは、取締役会の責務、第三者による保証、厳格な通知期限を追加しています。
分析 · 2026-10-27Cyber Essentials と Essential Eight の比較：2つの国家ベースラインを対比英国の Cyber Essentials とオーストラリアの Essential Eight はどちらも一般的な攻撃を対象としていますが、カバーする領域は異なります。何が重なり、何が重ならないのか、そしてその理由を解説します。
分析 · 2026-10-27DORA対NIS2：NIS2プログラムで既にカバーされている範囲DORAとNIS2はセキュリティ要件の大半を共有していますが、DORAは情報登録簿、契約条件、脅威ベースのテストを追加しています。条文ごとに、何を引き継げるかを示します。
分析 · 2026-10-1311のセキュリティフレームワークにおけるMFA要件の比較どのフレームワークがMFAを、誰に対して、どの程度厳格に求めているか。PCI DSS、CMMC、NIS2、Essential Eight、ISO 27001、SOC 2、HIPAAを並べて比較します。
分析 · 2026-09-29NIST CSF 2.0の視点で見るHIPAAセキュリティルールNIST CSF 2.0のプログラムは、HIPAAセキュリティルールの要件のほぼすべてに対応します。引き継げるもの、対応しない2つの項目、そしてHIPAAを超えてCSFが追加するものを整理します。
分析 · 2026-09-15暗号化要件の比較：フレームワークが定めることと、自組織に委ねることの違いISO 27001、PCI DSS、CMMC、HIPAA、GDPR、NIS2が保管時・転送時の暗号化と鍵管理をどう扱うか、要件IDとともに解説します。
分析 · 2026-08-18フレームワーク横断で比較するインシデント対応要件ISO 27001、SOC 2、PCI DSS、NIS2、GDPR、CMMC、HIPAAにわたるインシデント対応計画、テスト、報告期限を比較します。
分析 · 2026-08-04物理セキュリティ：クラウドファースト企業が見落とすトピックISO 27001、PCI DSS、CMMC、HIPAA、SOC 2の物理セキュリティ要件を比較し、クラウドファーストの企業がそれらをどう満たすかを解説します。
分析 · 2026-07-02ログ取得と保持要件の比較ISO 27001、PCI DSS、CIS、SOC 2、HIPAA、CMMC、NISTにまたがる監査ログと保持要件を比較。数少ない固定の保持期間も掲載。
分析 · 2026-05-19PCI DSS v4.0.1のうち、ISO 27001は実際にどこまでカバーしているか？ISO 27001がPCI DSS v4.0.1の要件にマッピングされるのは3分の1未満です。重なりのある領域、ISMSを運用していてもPCIの大半が新規の作業となる理由、およびその対応計画の立て方を解説します。
分析 · 2026-04-07GDPRのセキュリティ条項の対応関係：プライバシー法のセキュリティ面GDPRはプライバシー法だが、第5条、第25条、第28条、第32条～第35条、第37条～第39条はセキュリティ上の義務を課している。ISO 27001やNISTとの対応と、ISMSが対象外とする点を解説。
分析 · 2026-02-24フレームワーク横断で比較したバックアップおよび復旧の要件ISO 27001、CIS、PCI DSS、HIPAA、SOC 2、NIS2、Essential Eight、NISTにおけるバックアップ頻度、保護、復元テストを比較します。
分析 · 2026-01-06CMMC Level 2のSP 800-53へのトレース：NISTの附属書Dが示すことすべてのCMMC Level 2プラクティスは、SP 800-171の附属書Dを経由してNIST SP 800-53までたどれます。対応の仕組み、Rev 5での変更点、そして対応先のない1つのプラクティスについて解説します。
分析 · 2025-11-25フレームワークがほとんど要求しないセキュリティトピックと、それが重要な理由DNS、脅威インテリジェンス、API・Webアプリケーションセキュリティは、要求するフレームワークが最も少ないトピックです。その理由と、それらを省略してよい根拠にはならない理由を説明します。
分析 · 2025-10-14ISO 27001がNIS2のどこをカバーするか、項目別に解説ISO 27001はNIS2実施規則のすべての項目に対応しますが、認証を取得するだけではNIS2への準拠にはなりません。引き継げる点、引き継げない点、その理由を解説します。
分析 · 2025-08-27対応表か判断か？フレームワークのマッピングのうち公開された根拠に基づくものはどれだけあるかすべてのフレームワークマッピングを、公開された対応表に基づくものか、編集による判断によるものかに分類しました。フレームワークごとの内訳の違いと、それがあなたにとって重要な理由を紹介します。
分析 · 2025-07-15共通の核：すべてのフレームワークが共有するセキュリティ要件主要な11のフレームワークすべてに、5つのセキュリティトピックが現れます。ISO 27001やSOC 2からNIS2、Essential Eightまで対象です。それぞれの内容と、最初に構築すべき理由を解説します。
分析 · 2025-06-03CISコントロールのギャップ：公開対応表が153件中49件のセーフガードだけを対象とする理由CISがNIST CSF 2.0に公開したマッピングは、CIS Controls v8.1の153件のセーフガードのうち49件しか対象にしていません。その理由と、利用中のCISマッピングへの影響を解説します。
分析 · 2025-04-17サプライヤーとサプライチェーンのリスク：誰が何を求めているかISO 27001、SOC 2、PCI DSS、NIS2、GDPR、HIPAA、NIST CSF 2.0 にわたるサプライヤーおよびサプライチェーンのセキュリティ要件を比較。
分析 · 2025-04-02ISO 27001 に対応する項目がない SOC 2 の基準と、その存在理由SOC 2 の基準の多くは ISO 27001 に対応しますが、処理の完全性とプライバシーの多くの基準は対応しません。どれが該当し、なぜか、対象範囲に含まれる場合にどうすべきかを解説します。
分析 · 2025-03-04NIST CSF 1.1から2.0へ：撤回されたサブカテゴリの行方NISTはCSF 2.0において、CSF 1.1のサブカテゴリを79件撤回し、それらを他のサブカテゴリへ移動または統合しました。各項目の移行先をまとめた完全な対応表と、古いマッピングの更新方法を紹介します。
分析 · 2025-01-21NIST CSF 2.0の統治（Govern）機能：どのフレームワークが既にカバーしているか？CSF 2.0は、リスク戦略、役割、方針、監視、サプライチェーンリスクを扱う統治（Govern）機能を追加しました。既に対応しているフレームワークと、そのギャップを確認できます。
分析 · 2024-12-05最適な出発点となるセキュリティフレームワークはどれか？ 私たちはそれを測定しました11のセキュリティフレームワークそれぞれが、他の10フレームワークをどの程度カバーしているかを測定しました。SP 800-53とISO 27001が上位ですが、答えは誰が問うかによって決まります。
分析 · 2024-10-22Essential Eight vs ISO 27001: なぜほとんどの対応は「緩やかに関連」にとどまるのかISO 27001は原則としてEssential Eightのすべての戦略を対象としていますが、ASDの管理策のほとんどはAnnex Aとは緩やかに関連するにとどまります。それが実務にとって何を意味するのかを解説します。操作ガイド
操作ガイド · 2026-09-018 800-53 を運用している組織が CMMC レベル 2 の評価に備える方法NIST SP 800-53 をすでに運用している組織が CMMC レベル 2 評価に備える方法：CUI の範囲、SSP、証跡の再利用、よくある落とし穴を解説します。
操作ガイド · 2026-07-21対応表の読み方と、信頼すべきでない場合フレームワーク対応表が示すこと・示さないこと:関係の種類、方向、バージョン、粒度、作成者を解説し、依拠する前の確認事項をまとめました。
操作ガイド · 2026-06-03ISO 27001からNIS2へ：実践的なギャップ解消計画ISO 27001認証を取得済みで現在NIS2の適用を受ける組織向けの段階的な計画：適用範囲、登録、経営層の責任、報告、そしてより深い対策。
操作ガイド · 2026-04-21ベンダーのデューデリジェンス：複数フレームワークに一つのプロセスで対応ISO 27001、SOC 2、PCI DSS、GDPR、HIPAA、NIS2に対応する、ベンダーのデューデリジェンスを一つのプロセスで実施する方法。階層化、保証報告書、契約、モニタリングを解説します。
操作ガイド · 2026-03-10ギャップレポートからプロジェクト計画へ：担当者、証跡、スケジュールフレームワークのギャップ分析をプロジェクト計画に変える方法：ワークストリーム、実施順序、見積もり、担当者、監査までの証跡追跡を解説します。
操作ガイド · 2026-01-21監査人が受け入れる変更管理の証跡SOC 2（CC8.1）、ISO 27001（A.8.32）、PCI DSS、NIS2の監査に合格する変更管理の証跡を、プルリクエストから緊急変更まで解説します。
操作ガイド · 2025-12-09すべての監査人が納得するユーザーアクセスレビューISO 27001、SOC 2、PCI DSS、HIPAA、CMMCの監査に通るユーザーアクセスレビューの実施方法。範囲、頻度、レビュー担当者、証跡を解説します。
操作ガイド · 2025-10-282つのフレームワーク間のギャップ分析の進め方と、トラッカーへの落とし込み2つのセキュリティフレームワーク間のギャップ分析を進める実践的な方法です。対象範囲の確定、各対応関係の確認、トラッカーへの落とし込みまで解説します。
操作ガイド · 2025-09-11ISO 27001、SOC 2、HIPAA に対応する単一のリスクアセスメントISO 27001、SOC 2、HIPAA セキュリティ規則の要件を満たす情報セキュリティリスクアセスメントの実施方法と、各監査で確認される事項を解説します。
操作ガイド · 2025-07-29Essential Eightの目標成熟度レベルの選び方Essential Eightの目標成熟度レベルの選び方を解説します。各レベルが防ぐ脅威、レベル2や3が必要な組織、段階的に引き上げる方法を紹介します。
操作ガイド · 2025-06-17監査に耐える適用宣言書の書き方ISO 27001:2022の適用宣言書の作成方法を解説します。記載すべき内容、除外の正当化、よくある監査指摘事項を整理しています。
操作ガイド · 2025-05-20NIST CSF 2.0のプロファイルで取締役会に報告するNIST CSF 2.0の現状プロファイルと目標プロファイルを使って取締役会にサイバーセキュリティを報告する方法。何を示すべきか、それをフレームワークとどう結び付けるか。
操作ガイド · 2025-05-01過剰なコミットメントを避けつつ、初めての SOC 2 報告書の範囲を定める初めての SOC 2 報告書の範囲の定め方を解説します。対象システム、Trust Services Criteria、カーブアウトとユーザーエンティティ統制、そして費用のかかる範囲設定の誤りを取り上げます。
操作ガイド · 2025-03-18文書を書き直さずに、1つのポリシーセットを複数のフレームワークへマッピングするISO 27001、SOC 2、NIST、PCI DSS、NIS2に対応する1つのセキュリティポリシーセットの構成方法と、各フレームワークが文書で求める内容。
操作ガイド · 2025-02-04NIS2の24時間・72時間の期限に対応する、インシデント報告手順の構築NIS2の重大インシデント報告手順の構築方法を解説します。重大性の判断、24時間以内の早期警告、72時間以内の通知、1か月以内の最終報告までを扱います。
操作ガイド · 2024-12-24SOC 2、ISO 27001、PCI DSSで再利用できるエビデンスどの監査エビデンスがSOC 2、ISO 27001、PCI DSSに同時に対応するか、各監査人が他では求めないものは何か、そして一度の収集で済ませる方法を解説します。
操作ガイド · 2024-11-06SOC 2とISO 27001で統制セットを共通化し、同じ作業を二度行わずに済ませる単一の統制セットでSOC 2とISO 27001を運用する方法。重複する部分、それぞれが追加で求めるもの、統制と証跡の構成、監査の日程調整について解説します。意見
意見 · 2026-06-17すべてのマッピングに「対応表」または「編集」のラベルを付けている理由ControlMapping が、すべてのフレームワークのマッピングを公表された対応表か編集上の判断かで区別している理由と、コンプライアンスデータにおいて出典を明示することが重要な理由。
意見 · 2026-05-05オープンで無償のコンプライアンスデータを求める理由フレームワークのマッピングの多くは有料ツールや表計算ファイルに囲い込まれています。出典が明示され、オープンで無償再利用できるべき理由を解説します。
意見 · 2026-03-24サイバーセキュリティ20年で監査について学んだこと20年にわたるセキュリティ監査からの教訓：証拠は語りに勝る、スコープがすべてを決める、そして誰も責任を持たない統制は機能しない。
意見 · 2026-02-05AI作成のセキュリティポリシー：手っ取り早い近道か、監査リスクか？生成AIなら数分でセキュリティポリシーの草案を作成できます。どこで役立ち、どこで監査指摘につながるのか、中身のない文書にせずに活用する方法を解説します。
意見 · 2025-12-23コンプライアンスはセキュリティではないが、対応表は両方に役立つ監査に合格しても組織が安全にならない理由、コンプライアンスとセキュリティが一致する点、フレームワークのマッピングがセキュリティに充てる時間をどう生み出すか。
意見 · 2025-11-11ポリシーを書く前にコンプライアンスツールを買うのはやめましょう運用方針を決める前にコンプライアンスツールやセキュリティツールを購入する組織が、なぜ結局は棚ざらしのツールを抱えてしまうのか、そしてそれを避けるための作業順序を解説します。
意見 · 2025-09-25確認できないベンダー対応表の問題コンプライアンス基盤は、中身を検証できない対応表で1つの統制を多数のフレームワークに対応付けています。そのリスクと、代わりに求めるべきことを解説します。
意見 · 2025-08-12NIS2の経営責任：取締役会の行動は変わるか？NIS2は、経営機関にサイバーセキュリティの承認、監督、研修を義務づけ、違反には責任を課します。取締役会の行動が変わるか、また取締役会がすべきことは何かを解説します。
意見 · 2025-07-01小規模企業にISO 27001は必要ですか？小規模企業にISO 27001が適している場合、SOC 2や技術的ベースラインを先に進めるべき場合、そして認証を釣り合いの取れた規模に保つ方法。
意見 · 2025-02-18フレームワーク疲れ：ハブを1つ選び、他をそこへマッピングする複数のセキュリティフレームワークに対応する組織は、個別運用で疲弊しがちです。1つのハブを選び、残りをそこへマッピングすることが有効な理由を解説します。
意見 · 2025-01-07オーストラリア国外の組織はEssential Eightを使うべきか？ASDのEssential Eightはオーストラリアの基準だが、その助言は普遍的である。他国の組織が採用する理由と、ISOやNISTとの併用方法を解説する。
意見 · 2024-11-20「SOC 2 認証を取得していますか?」が間違った質問である理由SOC 2 に認証制度はありません。この質問が本当に問うていること、SOC 2 報告書が示すことと示さないこと、ベンダーに尋ねるべきより良い質問について解説します。