暗号化要件の比較：フレームワークが定めることと、自組織に委ねることの違い
主要なフレームワークはいずれも暗号化を求めています。ただし、使用するアルゴリズムまで指定するものはごくわずかです。実際の違いは、暗号化がいつ必須になるか、検証済みモジュールが必要かどうか、そして鍵管理をどこまで詳細に定めているかにあります。
本記事では、執筆時点でControlMappingがマッピングしていた11個のフレームワークを扱います。その後、DORA, CPS 234, Cyber Essentialsが2026-10-27に追加されました。それらのページおよびカバレッジマトリクスにも含まれています。
暗号化は、ほぼすべてのセキュリティフレームワークが何らかの形で求める数少ない管理策の一つです。ただし要件を精読すると、アルゴリズムの選択よりはるかに重要な3点で違いがあります。それは、いつ暗号化が必須になるか、検証済みの暗号モジュールの使用が義務付けられるか、そして鍵管理をどこまで詳細に定めているかです。
何が求められているか
| フレームワーク | 暗号化 | リンク |
|---|---|---|
| NIST CSF 2.0 | PR.DS-01PR.DS-02 | トピックの定義 |
| ISO 27001 | A.8.24 | 対応表 |
| CIS v8.1 | CIS 3.10CIS 3.11CIS 3.6CIS 3.9 | 対応表 |
| SOC 2 | CC6.1CC6.7 | 編集 |
| PCI DSS | 3.5.13.6.14.2.13.7.13.7.44.2.1.1 | 対応表 |
| CMMC | SC.L2-3.13.8SC.L2-3.13.11SC.L2-3.13.16AC.L2-3.1.13AC.L2-3.1.19SC.L2-3.13.10MP.L2-3.8.6 | 対応表 |
| 800-53 | SC-8SC-12SC-13SC-28 | 対応表 |
| HIPAA | §164.312(a)(2)(iv)§164.312(e)(2)(ii) | 対応表 |
| GDPR | Art.32(1)(a)Art.34(3)(a) | 編集 |
| NIS2 | 9.1 | 対応表 |
| Essential Eight | — | 当サイトのデータにはマッピングがありません |
各リンクの詳細と根拠： 暗号化 のフレームワーク横断 →
暗号化が必須となるタイミング
- PCI DSS は明確です。保存される主要口座番号（PAN）は判読不能にしなければならず（3.5.1）、オープンかつパブリックなネットワーク経由で送信する際はPANを強力な暗号で保護しなければなりません（4.2.1）。
- CMMC Level 2 では、CUIの転送時（SC.L2-3.13.8）、保管時（SC.L2-3.13.16）、モバイル機器上（AC.L2-3.1.19）、可搬型記憶媒体上（MP.L2-3.8.6）の暗号化保護が求められます。
- HIPAA では、保管時および転送時の暗号化はアドレッサブル（実装するか、同等の代替策が妥当である根拠を文書化する）とされています。実務上、暗号化されていないePHIを含むノートPCを紛失した場合の釈明は困難であり、HHSは2025年1月に暗号化を必須とする改定案を提示しました。
- GDPR は暗号化を検討すべき措置として挙げ（第32条(1)(a)）、具体的な利点も定めています。侵害されたデータが暗号化されていた場合、影響を受ける本人への通知が不要となる可能性があります（第34条(3)(a)）。
- ISO 27001（A.8.24）、SOC 2（CC6.1、CC6.7）、NIS2（9.1項、暗号政策）は、全面的に義務付けるのではなく、暗号化が必要な箇所を自ら判断して適用することを求めています。
検証済み暗号
検証済みモジュールを厳格に求めるのは、米国連邦の枠組みのみです。CMMC Level 2 は、CUIの機密性を保護するためにFIPS検証済みの暗号を求め（SC.L2-3.13.11）、SP 800-53 に基づくシステムはFIPS検証済みモジュールを使用します（SC-13）。それ以外のフレームワークは「強力な」または「適切な」暗号を求めるにとどまります。請負業者にとって、この違いは利用できるライブラリ、VPN、ディスク暗号化製品を左右します。
鍵管理
鍵管理は、フレームワーク間で詳細度の差が最も大きい分野です。PCI DSS は3.6項および3.7項で詳細に定めています。生成、配布、保管、暗号期間の終了時の鍵変更、侵害された鍵の廃止、分割知識と二重管理、鍵管理者による承認が含まれます。さらに、信頼された鍵と証明書の目録の作成も求めています（4.2.1.1）。SP 800-53（SC-12）とCMMC（SC.L2-3.13.10）は鍵の確立と管理を求めています。ISO 27001 は鍵管理を含む暗号の効果的な利用に関する規則を求めていますが、詳細は自組織に委ねています。
要点
- フレームワークがアルゴリズムを明示することはまれです。違いは、暗号化が必須となるタイミング、検証済みモジュール、鍵管理にあります。
- PCI DSSとCMMCが最も厳格で、HIPAAの暗号化仕様はアドレッサブルです。
- 自組織が対象かどうかにかかわらず、PCIの鍵管理の詳細をチェックリストとして活用してください。
実施事項
- 原則として暗号化を行う：機密データを保管時・転送時に暗号化してください。ほぼすべてのフレームワーク群で、いずれかの場面で必須とされており、例外を正当化することは困難です。
- 製品購入前に検証済みモジュールの必要性を確認する：CMMC、FedRAMPなど連邦関連の業務では特に重要です。
- 鍵管理を、PCIの詳細さで文書化する：PCIの適用対象外であっても、利用可能な最も網羅的なチェックリストです。
- 暗号に関する判断を記録する：暗号政策（NIS2 9.1、ISO A.8.24）に記録し、暗号スイートを定期的に見直してください（PCI 12.3.3では年次レビューが求められています）。
暗号化トピックページでは、各要件とその出典を一覧できます。また、ギャップ分析では、任意の2つのフレームワークを要件ごとに比較できます。
よくある質問
HIPAAは暗号化を要求していますか？
ePHIの保管時（§164.312(a)(2)(iv)）および転送時（§164.312(e)(2)(ii)）の暗号化は、現行のセキュリティ規則においてアドレッサブルな仕様です。つまり、実装するか、同等の措置が妥当である根拠を文書化しなければなりません。HHSは2025年1月に、暗号化を必須とする改定案を提示しました。
FIPS検証済み暗号を求めるフレームワークはどれですか？
CMMC Level 2では、CUIの機密性を保護するためにFIPS検証済みの暗号が求められ（SC.L2-3.13.11）、SP 800-53に基づく米国連邦システムではFIPS検証済みモジュールが使用されます（SC-13）。
フレームワークは、どの暗号アルゴリズムを求めていますか？
アルゴリズムを明示するものはごくわずかです。PCI DSSは業界で受け入れられているアルゴリズムと鍵長に基づく強力な暗号を求め、米国連邦システムはFIPS検証済みモジュールを使用し、ASDのISMは承認済みのアルゴリズムとプロトコルを規定しています。その他のほとんどのフレームワークは、最新の標準を指針として、選択を自組織に委ねています。
データ基準日：2026-10-27。本記事の数値は現行の対応表から算出しており、対応表が更新されると数値も更新されます。 対応表 公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集 対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. 準拠に関する助言ではありません。
関連記事
分析 · 2026-10-27APRA CPS 234とISO 27001：ISMSがカバーする範囲とAPRAが追加する要件ISO 27001のISMSは、APRAのCPS 234のほぼすべての段落をカバーしています。しかしAPRAは、取締役会の責務、第三者による保証、厳格な通知期限を追加しています。
分析 · 2026-10-27Cyber Essentials と Essential Eight の比較：2つの国家ベースラインを対比英国の Cyber Essentials とオーストラリアの Essential Eight はどちらも一般的な攻撃を対象としていますが、カバーする領域は異なります。何が重なり、何が重ならないのか、そしてその理由を解説します。
分析 · 2026-10-27DORA対NIS2：NIS2プログラムで既にカバーされている範囲DORAとNIS2はセキュリティ要件の大半を共有していますが、DORAは情報登録簿、契約条件、脅威ベースのテストを追加しています。条文ごとに、何を引き継げるかを示します。