最適な出発点となるセキュリティフレームワークはどれか？ 私たちはそれを測定しました

「どのフレームワークから始めるべきか？」は、あらゆるセキュリティプログラムが最初に直面する問いの一つですが、よくある答えは意見にすぎません。私たちは数値が欲しかったのです。フレームワークXを実装したら、他のすべてのフレームワークのうちどれだけがすでに対応済みになるのか。

ControlMappingは11のフレームワークの要件を相互にマッピングしているため、それを測定できます。各フレームワークについて、他の各フレームワークを順番に取り上げ、その要件のうち少なくとも1つが基準側のフレームワークの要件にマッピングされている数を数え、10フレームワークの平均を取りました。

ランキング

保有している場合	他のフレームワークがマッピングされている割合の平均	主に対応している範囲	最も対応が少ない対象
800-53	80%	CIS v8.1 (100%)	PCI DSS (30%)
ISO 27001	69%	CIS v8.1 (100%)	PCI DSS (30%)
PCI DSS	66%	CIS v8.1 (95%)	800-53 (28%)
SOC 2	64%	CIS v8.1 (98%)	800-53 (26%)
NIST CSF 2.0	62%	CIS v8.1 (100%)	800-53 (29%)
NIS2	61%	CIS v8.1 (94%)	800-53 (25%)
CMMC	58%	CIS v8.1 (93%)	PCI DSS (26%)
HIPAA	50%	GDPR (92%)	PCI DSS (20%)
CIS v8.1	44%	NIS2 (69%)	800-53 (21%)
GDPR	37%	NIS2 (59%)	Essential Eight (12%)
Essential Eight	24%	CIS v8.1 (50%)	800-53 (9%)

共有率 = 他のフレームワークの要件のうち、このフレームワークへの少なくとも1件のマッピング（クロスウォークまたは編集上）を持つものの割合を、他の10件のフレームワークで平均したもの。 ギャップ分析 と同じデータからリアルタイムに算出しています。

2つのフレームワークが際立っています。NIST SP 800-53は他のどのフレームワークよりも多くの範囲をマッピングしています。これは驚くことではありません。ほぼすべてのセキュリティ・プライバシーのトピックをカバーするよう、数百の管理策を網羅したカタログだからです。さらにNISTは、CSF 2.0およびISO 27001へのマッピングを公式に公開しています。ISO 27001がそれに続きます。附属書Aが同じ範囲をより高い抽象度でカバーし、さらにマネジメントシステムの条項が、ほとんどのフレームワークが触れているガバナンスを追加しているからです。

一方の端では、Essential Eightが最も少ないマッピングになります。これは設計上の結果です。8つの的を絞った緩和戦略であり、完全なプログラムではないため、実装しても他のフレームワークの大部分は手つかずのままです。GDPRも同様の理由で低くなっています。スコープに入るのはセキュリティに関する条項だけだからです。

数値を正しく読む

心に留めておくべき3点があります。

• マッピングは充足ではありません。 マッピングとは、2つの要件が同じ事柄を扱っていることを意味します。ISO 27001の脆弱性管理策とPCI DSSの四半期ごとのスキャン要件はマッピングされていますが、前者を満たしても後者を満たすことにはなりません。
• 粒度の細かいフレームワークは網羅しやすく見えます。 ほぼすべてのフレームワークがCIS Controlsのほぼ全体に触れているように見えます。CISには153の具体的なセーフガードがあり、多くのフレームワークはそれぞれをトピックレベルで扱っています。また、CISへのリンクの大半は当サイトの編集判断によるものです。CISが公開している対応表は49のセーフガードしかカバーしていないためです。CISの列は「触れている」であり、「完了している」ではないと捉えてください。
• 仕様が具体的なフレームワークは網羅しにくく見えます。 PCI DSSとSP 800-53は、より広範なフレームワークが詳細に記述していない多くの詳細な要件を含むため、他のフレームワークにとって最も網羅しにくいものです。

誰が問うかで決まる

測定結果が示すのは、どのフレームワークが最も広範な基盤を提供するかです。どれが必要かは示しません。そしてそれは通常、次の点で決まります。

• 米国の企業顧客はSOC 2レポートを求めます。取引がそれに依存している場合は、そこから始めてください。
• 海外の顧客、入札、規制当局はISO 27001認証を求めます。
• 米国連邦政府の業務はSP 800-53を意味します(クラウドの場合はFedRAMPも)。防衛契約はCMMC Level 2を意味します。
• カード決済を行う場合は、他に何をしていてもPCI DSSが必要です。
• EUのデジタルサービス事業者および重要インフラ分野にはNIS2が必要です。
• まだ誰も求めていない場合は? ISO 27001またはNIST CSF 2.0が最も広い基盤を提供します。CSFは無償で、着手が軽量です。ISOは必要になった時点で認証を追加できます。SP 800-53は最も多くをカバーしますが、その規模のため、ほとんどの民間企業にとっては最初の一歩として重すぎます。

次は再開ではなく拡張する

どれから始めても、2つ目のフレームワークは1つ目より安く済みます。現在のフレームワークから必要なフレームワークへのギャップ分析を実行すると、要件ごとに何が引き継げて何が新規なのかを、各リンクの根拠とともに一覧で得られます。比較ページでは、ISO 27001とSOC 2やNIST CSFとISO 27001など、よく使われる組み合わせをより詳しく取り上げています。

測定方法

各フレームワークの順序付きペアについて、ギャップ分析と同じ計算方法を使用しました。ある要件が他方のフレームワークの要件と同じControlMappingトピックに編集的に分類されている場合、または公開された対応表もしくは理由を明記した編集リンクによって直接リンクされている場合に、マッピング済みと数えます。NIST CSF 2.0の成果を共有するだけの要件(「緩やかに関連」)は含めません。上記の数値は現在のデータからリアルタイムで算出されています。詳細は方法論をご覧ください。

よくある質問

どのセキュリティフレームワークが他の多くをカバーしているか？

ControlMappingのデータでは、NIST SP 800-53が他のフレームワークの要件の平均で最も大きな割合をカバーしており、ISO 27001がそれに続きます。マッピングは関連する成果を扱っていることを意味するものであり、一方が他方を満たすことを意味するものではありません。

小規模企業はISO 27001とSOC 2のどちらから始めるべきか？

まず顧客が求めているものから始めてください。まだ誰も求めていなければ、ISO 27001またはNIST CSFが最も広い基盤を提供します。米国の取引がそれに依存している場合、SOC 2は報告書を取得する最速の方法です。