対応表か判断か？フレームワークのマッピングのうち公開された根拠に基づくものはどれだけあるか

あらゆるコンプライアンスプラットフォーム、コンサルティング会社の表計算ファイル、監査ツールには、フレームワーク間のマッピングが含まれています。しかし、そのマッピングの出所を明記しているものはほとんどありません。公式の対応表から写されたものもあれば、一度作られたきり見直されていない、誰かの最善の判断によるものも多くあります。どちらも有用になり得ますが、自分がどちらに依拠しているのかは把握しておくべきです。

ControlMapping ではすべてのリンクにラベルを付けています。公開された対応表に裏付けられているものは「対応表」、根拠を明記した当サイトの判断によるものは「編集」と表示します。その内訳は以下のとおりです。

数値

フレームワーク	マッピング	対応表	編集	対応表の割合
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
すべて	829	475	354	57%

全体として、当サイトのトピック・マッピングのうち、公開された対応表に裏付けられているものは半数をわずかに超えています。残りは編集によるものです。フレームワークによって内訳は大きく異なります。

内訳が異なる理由

権威ある対応表が存在するフレームワークもあります。 NIST は CSF 2.0 から SP 800-53 へ、また SP 800-53 から ISO 27001 への公式な参照情報を公開しています。EU の機関である ENISA は、NIS2 実施規則のすべての条項から ISO 27001 および CSF 2.0 へのマッピングを公開しています。NIST の SP 800-171 付録 D は、CMMC の要件を SP 800-53 に対応付けています。これらのフレームワークのマッピングは、大部分が対応表に裏付けられています。

一部のみの対応表もあります。 NIST のカタログにある CIS 自身のマッピングは、153 の CIS セーフガードのうち 49 件しか対象としていません。また PCI SSC の CSF 2.0 へのマッピングは、MFA 要件などの一部のコア要件を含んでいません。それ以外のものはすべて編集によるものです。

利用可能な対応表がないフレームワークもあります。 SOC 2、GDPR、Essential Eight については、オープンライセンスで利用できる対応表が存在しません。これらのリンクはすべて編集によるものです。それは誤りであることを意味しませんが、検証可能な見解であるべき、という意味ではあります。

なぜ重要か

• 権威の度合いが異なります。 NIST や ENISA の対応表は、公開コメントを経ており、業界全体で利用されています。編集によるマッピングは、一人のアナリストの見解にすぎません。監査人から「なぜ二つの要件を同等と扱ったのか」と問われた場合、「NIST のマッピングがそう示している」という回答の方が説得力があります。
• 対応表があっても、コンプライアンスの証明にはなりません。 公式の対応表であっても示しているのは、二つの要件が関連する成果を扱っているということだけです。一方の要件を実装していることが、もう一方の要件を満たすことを意味するわけではありません。
• 出所の不明なマッピングは誤りを隠します。 マッピングの出所がわからなければ、それが誤っているかどうかもわかりません。当サイト自身のデータを監査する際、ラベルがあるからこそ、編集によるマッピングの誤りを素早く見つけて修正できます。

要点

• 当サイトのトピック・マッピングのうち、公開された対応表に基づくのは半数をわずかに超える程度で、残りは編集による判断です。
• 割合はフレームワークによって異なります。NIST、NIS2、CMMC では高く、SOC 2、GDPR、Essential Eight ではゼロです。
• 判断が誤っているわけではありませんが、ラベルを付けて説明されるべきです。
• 依拠する前に、あらゆるマッピングについて、その出典、バージョン、意味、根拠を確認してください。

あらゆるマッピングに対して確認すべきこと

1. 出典は何か？ 公式の対応表か、フレームワーク所有者か、それとも誰かの判断か？
2. 根拠は示されているか？ 編集によるリンクには、その理由が書かれているべきです。
3. どのバージョンか？ 旧バージョン（CSF 1.1、ISO 27001:2013、PCI DSS v3.2.1）に対するマッピングは、大きく誤っている可能性があります。
4. 「マッピング済み」とは何を意味するか？ 同等なのか、一部重複するのか、単に関連するだけなのか？

方法論では、すべての出典とバージョンを明記しています。各要件ページには、すべてのリンクの根拠が示されています。ダウンロードには根拠の列が含まれており、当サイトの作業内容を検証いただけます。

よくある質問

フレームワーク対応表とは何ですか？

二つのフレームワークの要件間の公開されたマッピングです。例として、NIST による SP 800-53 から ISO 27001 へのマッピングがあります。これは要件同士が関連する成果を扱っていることを示すものであり、一方を満たせばもう一方を満たすことになるという意味ではありません。

なぜ SOC 2 のマッピングは編集によるものなのですか？

AICPA は、信頼性サービス規準から他のフレームワークへのマッピングを公開していますが、オープンライセンスではないため、ControlMapping はそれを根拠として使用できません。SOC 2 のすべてのリンクは、理由を示したうえでの当サイトの判断によるものです。

編集によるマッピングは対応表より正確性が低いのですか？

必ずしもそうとは限りません。専門家による判断は、広く公開された対応表よりも正確である場合があります。違いは権威性と検証可能性にあり、だからこそ編集によるリンクには常に理由を付けるべきなのです。