NIST CSF 1.1から2.0へ：撤回されたサブカテゴリの行方

NISTは2024年2月にCSF 2.0を公表しました。新たに統治する機能（Govern）が加わり、中核部分も再編されています。CSF 1.1の多くのサブカテゴリは従来の形を維持できませんでした。新しい識別子へ移されたか、より広いサブカテゴリに組み込まれたかのいずれかです。NISTは、すべての項目の移行先をCSF 2.0データの撤回注記に記録しています。

これは見た目以上に重要です。ポリシー、リスク登録簿、GRCツール、ベンダー質問票、そして数えきれないほどのスプレッドシートが、今もCSF 1.1の識別子を参照しています。撤回されたサブカテゴリへのマッピングは、誰も気づかないエラーになります。実際には行き先のないリンクです。ControlMappingのビルドが撤回済みIDをすべて失敗扱いにするのも、まさにこの理由によります。

完全な対応表

NISTがCSF 2.0で撤回したCSF 1.1のサブカテゴリすべてと、NISTが示すその後の扱いは以下のとおりです。

CSF 1.1	CSF 2.0（NIST）で何が変わったか
DE.AE-01	組み込まれている先 ID.AM-03
DE.AE-05	移動先: DE.AE-08
DE.CM-04	組み込まれている先 DE.CM-01, DE.CM-09
DE.CM-05	組み込まれている先 DE.CM-01, DE.CM-09
DE.CM-07	組み込まれている先 DE.CM-01, DE.CM-03, DE.CM-06, DE.CM-09
DE.CM-08	組み込まれている先 ID.RA-01
DE.DP-01	組み込まれている先 GV.RR-02
DE.DP-02	組み込まれている先 DE.AE
DE.DP-03	組み込まれている先 ID.IM-02
DE.DP-04	組み込まれている先 DE.AE-06
DE.DP-05	組み込まれている先 ID.IM, ID.IM-03
ID.AM-06	組み込まれている先 GV.RR-02, GV.SC-02
ID.BE-01	組み込まれている先 GV.OC-05
ID.BE-02	組み込まれている先 GV.OC-01
ID.BE-03	組み込まれている先 GV.OC-01
ID.BE-04	組み込まれている先 GV.OC-04, GV.OC-05
ID.BE-05	組み込まれている先 GV.OC-04
ID.GV-01	組み込まれている先 GV.PO, GV.PO-01, GV.PO-02
ID.GV-02	組み込まれている先 GV.OC-02, GV.RR, GV.RR-02
ID.GV-03	移動先: GV.OC-03
ID.GV-04	移動先: GV.RM-04
ID.RM-01	組み込まれている先 GV.RM-01, GV.RM-06, GV.RR-03
ID.RM-02	組み込まれている先 GV.RM-02, GV.RM-04
ID.RM-03	移動先: GV.RM-02
ID.SC-01	組み込まれている先 GV.RM-05, GV.SC-01, GV.SC-06, GV.SC-09, GV.SC-10
ID.SC-02	組み込まれている先 GV.OC-02, GV.SC-03, GV.SC-04, GV.SC-07, ID.RA-10
ID.SC-03	移動先: GV.SC-05
ID.SC-04	組み込まれている先 GV.SC-07, ID.RA-10
ID.SC-05	組み込まれている先 GV.SC-08, ID.IM-02
PR.AC-01	組み込まれている先 PR.AA-01, PR.AA-05
PR.AC-02	移動先: PR.AA-06
PR.AC-03	組み込まれている先 PR.AA-03, PR.AA-05, PR.IR-01
PR.AC-04	移動先: PR.AA-05
PR.AC-05	組み込まれている先 PR.IR-01
PR.AC-06	移動先: PR.AA-02
PR.AC-07	移動先: PR.AA-03
PR.AT-03	組み込まれている先 PR.AT-01, PR.AT-02
PR.AT-04	組み込まれている先 PR.AT-02
PR.AT-05	組み込まれている先 PR.AT-02
PR.DS-03	組み込まれている先 ID.AM-08, PR.PS-03
PR.DS-04	移動先: PR.IR-04
PR.DS-05	組み込まれている先 PR.DS-01, PR.DS-02, PR.DS-10
PR.DS-06	組み込まれている先 PR.DS-01, DE.CM-09
PR.DS-07	組み込まれている先 PR.IR-01
PR.DS-08	組み込まれている先 ID.RA-09, DE.CM-09
PR.IP-01	組み込まれている先 PR.PS-01
PR.IP-02	組み込まれている先 ID.AM-08, PR.PS-06
PR.IP-03	組み込まれている先 PR.PS-01, ID.RA-07
PR.IP-04	移動先: PR.DS-11
PR.IP-05	移動先: PR.IR-02
PR.IP-06	組み込まれている先 ID.AM-08
PR.IP-07	組み込まれている先 ID.IM, ID.IM-03
PR.IP-08	移動先: ID.IM-03
PR.IP-09	移動先: ID.IM-04
PR.IP-10	組み込まれている先 ID.IM-02, ID.IM-04
PR.IP-11	移動先: GV.RR-04
PR.IP-12	組み込まれている先 ID.RA-01, PR.PS-02
PR.MA-01	組み込まれている先 ID.AM-08, PR.PS-03
PR.MA-02	組み込まれている先 ID.AM-08, PR.PS-02
PR.PT-01	組み込まれている先 PR.PS-04
PR.PT-02	組み込まれている先 PR.DS-01, PR.PS-01
PR.PT-03	組み込まれている先 PR.PS-01
PR.PT-04	組み込まれている先 PR.AA-06, PR.IR-01
PR.PT-05	移動先: PR.IR-03
RC.CO-01	組み込まれている先 RC.CO-04
RC.CO-02	組み込まれている先 RC.CO-04
RC.IM-01	組み込まれている先 ID.IM-03, ID.IM-04
RC.IM-02	組み込まれている先 ID.IM-03
RS.AN-01	組み込まれている先 RS.MA-02
RS.AN-02	組み込まれている先 RS.MA-02, RS.MA-03, RS.MA-04
RS.AN-04	移動先: RS.MA-03
RS.AN-05	移動先: ID.RA-08
RS.CO-01	組み込まれている先 PR.AT-01
RS.CO-04	組み込まれている先 RS.MA-01, RS.MA-04
RS.CO-05	組み込まれている先 RS.CO-03
RS.IM-01	組み込まれている先 ID.IM-03, ID.IM-04
RS.IM-02	組み込まれている先 ID.IM-03
RS.MI-03	組み込まれている先 ID.RA-06
RS.RP-01	組み込まれている先 RS.MA-01

主な移行パターン

• ID.BE（事業環境）およびID.GV（ガバナンス） は、新しいGovern機能へ移り、GV.OC（組織の状況）、GV.RR、GV.PO、GV.OVになりました。
• ID.SC（サプライチェーンリスク管理） はGV.SCになり、サブカテゴリは10件に拡張されました。
• PR.AC（アクセス制御） はPR.AA（識別情報管理、認証およびアクセス制御）になり、ネットワーク分離はPR.IRへ移りました。
• PR.IP（情報保護プロセス） は分割されました。構成管理と保守の成果はPR.PS（プラットフォームセキュリティ）へ、改善に関する成果はID.IMへ移りました。
• DE.DP（検知プロセス） は撤回され、その成果はDE.CM、DE.AE、ID.IMに組み込まれました。
• 多くのRSおよびRCのサブカテゴリ は統合され、より広い成果として、RS.MA、RS.AN、RS.CO、RC.RPの下にまとめられました。

古いマッピングの更新方法

1. 文書とツールを検索し、CSFの識別子を探して、上の対応表と照合します。CSF 1.1の識別子は数字が1桁（PR.AC-1）ですが、CSF 2.0は2桁（PR.AA-01）です。
2. 「移動」の参照は直接置き換えます。 NISTがサブカテゴリの移動を示している場合、新しい識別子への置き換えは一対一です。
3. 「組み込み」の参照は確認します。 2.0の広い成果は、お使いの統制よりも多くの範囲を含む可能性があります。マッピングが今も妥当か確認してください。
4. 統治する機能の新しい成果を追加します。 CSF 2.0では、特にサプライチェーンリスクと監督に関して、1.1に対応する前身のない成果が導入されました。

このサイトには、CSF 2.0の各サブカテゴリのページがあり、10の他フレームワークへのマッピングを掲載しています。まずCSF 2.0フレームワークのページからご覧ください。統治する機能が実務上何を意味するかは、どのフレームワークがこれを扱っているかをご覧ください。上記の撤回注記は、NISTのサイバーセキュリティ・プライバシー参照ツールを通じて、NIST自身のCSF 2.0データから取得したものです。詳細は方法論をご覧ください。

よくある質問

NIST CSF 2.0でPR.ACに代わるものは何ですか？

CSF 1.1のPR.AC（アクセス制御）サブカテゴリの大半は、新しいPR.AA（識別情報管理、認証およびアクセス制御）カテゴリに移りました。各項目の正確な移行先は、NISTの撤回注記で確認できます。

CSF 1.1は今も使えますか？

使用は可能です。ただし、NISTの現行版は2.0であり、新しい対応表や参考情報の参照は2.0を基準に公開されています。古い参照を更新すれば、撤回されたサブカテゴリを黙って指すマッピングを避けられます。