NIST CSF 2.0の統治（Govern）機能：どのフレームワークが既にカバーしているか？

NISTが2024年2月にCSF 2.0を公表した際、最大の変更点は六番目の機能の追加でした。統治（Govern）は、識別、防御、検知、対応、復旧に加わる機能であり、NISTはこれを他の機能の中心に配置しました。対象は、組織の状況、リスクマネジメント戦略、役割と責任、方針、監視、そしてサイバーセキュリティのサプライチェーンリスクマネジメントです。ガバナンスを、識別の中の一カテゴリから、他のすべてを方向付ける要素へと位置づけ直したものです。

既に別のフレームワークに従っている場合、統治機能についてどの程度カバーできていますか。

統治機能のカバー状況（フレームワーク別）

ControlMappingでは、統治機能に関連付けられた六つのトピックを扱っています。各フレームワークがそのうち何件にマッピングされるかは次のとおりです。

フレームワーク	統治 トピックを対応付け済み	次についてマッピングなし:
ISO 27001	6 件中 6 件	—
SOC 2	6 件中 6 件	—
PCI DSS	6 件中 6 件	—
800-53	6 件中 6 件	—
GDPR	6 件中 6 件	—
NIS2	6 件中 6 件	—
HIPAA	6 件中 5 件	サプライチェーンリスク
CIS v8.1	6 件中 2 件	ガバナンスポリシー, リスクマネジメント, 役割と責任, コンプライアンス
CMMC	6 件中 2 件	ガバナンスポリシー, サプライチェーンリスク, 役割と責任, ベンダーリスク管理
Essential Eight	6 件中 0 件	ガバナンスポリシー, リスクマネジメント, サプライチェーンリスク, 役割と責任, コンプライアンス, ベンダーリスク管理

トピック: ガバナンスポリシー, リスクマネジメント, サプライチェーンリスク, 役割と責任, コンプライアンス, ベンダーリスク管理.

統治機能をカバーするフレームワーク

マネジメントシステム型およびコントロールカタログ型のフレームワークは、統治機能を十分にカバーしています。 ISO 27001の箇条4から6および9は、組織の状況、リーダーシップ、役割、リスクアセスメントと対応、パフォーマンス評価、マネジメントレビューというガバナンスの内容です。SP 800-53には、プログラム管理（PM）ファミリー全体があります。SOC 2の統制環境の規準（CC1からCC5）はCOSOの内部統制フレームワークに由来しており、設計段階からガバナンスを前提としたものです。PCI DSSの要件12とNIS2の経営陣の義務も、同じ領域を補っています。

カバーしていないフレームワーク

運用ベースラインは、統治機能をわずかしかカバーしていません。 Essential Eightは八つの技術的な軽減策で構成され、ガバナンスに関する内容はまったく含まれていません。これは見落としではなく設計上の判断です。CIS Controls v8.1がガバナンスに触れるのは主に、サービスプロバイダー管理とデータ管理のプロセスを通じてです。CMMC Level 2はSP 800-171を引き継ぎ、システムにおけるCUIの保護に重点を置いているため、リスク戦略とサプライチェーンのプログラムに関する成果の大部分は対象外になります。

サプライチェーン：統治機能で最も難しい部分

統治機能には、サイバーセキュリティのサプライチェーンリスクマネジメントに関する十のサブカテゴリーが含まれます。プログラムを整備することそのものから、取引関係のライフサイクル全体にわたってサプライヤーを管理することまでが対象です。多くのフレームワークがサプライヤーのセキュリティに触れています（ISO 27001のA.5.19からA.5.23、SOC 2のCC9.2、PCI DSS 12.8など）が、リスク基準、層別化、監視を備えたプログラムとして扱っているものは少数です。統治機能のカバー率が高い場合は、特にサプライチェーンでそれが高いかどうかを確認してください。

要点

• 統治は、CSF 2.0で新たに加わった機能であり、組織の状況、リスク戦略、役割、方針、監視、サプライチェーンリスクを扱います。
• マネジメントシステム型およびカタログ型のフレームワーク（ISO 27001、SP 800-53、SOC 2、PCI DSS、NIS2）は、統治機能を十分にカバーしています。
• 運用ベースライン（Essential Eight、CIS、CMMC）は、設計上、統治機能をほとんどカバーしていません。
• サプライチェーンリスクは、フレームワークによって深さが最も大きく異なる統治機能の部分です。

取るべき対応

1. 運用ベースライン（CIS、Essential Eight、CMMC）を運用している場合は、その上にガバナンスを加えてください。CSFの統治機能、またはISO 27001のマネジメントシステムが、その構造を提供します。
2. ISO 27001またはSOC 2を運用している場合は、統治機能を使って取締役会への報告を強化してください。CSFの成果は、経営層が理解できる言葉で書かれています。
3. サプライチェーンとベンダーリスクのトピックを確認してください。 フレームワーク間で深さの差が最も大きい領域です。

CSF 2.0のフレームワークページには、統治機能の全サブカテゴリーとそのマッピングが掲載されており、ギャップ分析では、お持ちの任意のフレームワークからCSFのカバー状況を確認できます。

よくある質問

NIST CSF 2.0の統治（Govern）機能とは何ですか？

統治（GV）は、CSF 2.0で2024年に追加された機能で、組織の状況、リスクマネジメント戦略、役割と責任、方針、監視、サイバーセキュリティのサプライチェーンリスクマネジメントを扱います。NISTはこれを他の五つの機能の中心に配置しています。

ISO 27001はCSF 2.0の統治機能をカバーしていますか？

概ねカバーしています。ISO 27001の箇条4から6および9（組織の状況、リーダーシップ、リスク、パフォーマンス評価）と、そのサプライヤー管理の管理策は、統治機能の成果の大部分に対応しています。

CSF 2.0の統治機能は大企業だけのものですか？

いいえ。小規模な組織でも、同じ基本事項を簡易な形で必要とします。誰が説明責任を負うのか、どのリスクが許容できるのか、方針は何か、サプライヤーをどのように管理するのかです。