フレームワーク疲れ：ハブを1つ選び、他をそこへマッピングする

コンプライアンス責任者に、成長企業での1年の様子を尋ねてみてください。返ってくるのは一覧です。SOC 2 の観察期間、ISO のサーベイランス監査、新たな規制、PCI の評価、そして顧客向けアンケートの絶え間ない流れ。それぞれに独自の採番と用語があります。チームが疲弊するのは、どれか1つのフレームワークが不合理だからではなく、大部分が同じことを求める複数のプログラムを並行して回しているからです。

構造的な解決策

ハブを1つ選びます。自社の言葉で統制を一度定義し、そのハブを軸に整理します。次に、外部のすべてのフレームワークをそこへマッピングします。新しいフレームワークは、もはや新しいプログラムではなく、マッピング作業と、本当に新しい要件のごく一部へと変わります。

ControlMapping 自体もこの方式で構築されています。NIST CSF 2.0 がハブであり、すべてのトピックは CSF の成果によって定義され、他の10のフレームワークがそのトピックへマッピングされています。CSF は広範で安定しており、NIST などによってほぼすべてにマッピングされているため、これが機能します。

ハブの選び方

• NIST CSF 2.0：中立的で成果ベースの構造が必要な場合に。経営層にも理解されやすく、SP 800-53、ISO 27001 などへの公式マッピングがあります。
• ISO 27001：いずれにせよこれに対して認証を取得している場合。Annex A と適用宣言書（Statement of Applicability）が統制の背骨になります。
• SP 800-53：連邦システムを運用している場合。最も包括的で、ほとんどの他のフレームワークにマッピングされます。当サイトの出発点の分析で確認したとおりです。

範囲が狭い、または規定的なフレームワークをハブにするのは避けてください。Essential Eight や PCI DSS は優れた基準ですが、他のフレームワークを十分にカバーしておらず、プログラムの構造化には不十分です。

ハブを持つと何が変わるか

• 新しいフレームワークのコストが下がります。 ハブから新しいフレームワークへのギャップ分析を実施します。要件の大半はマッピングでき、残りだけが新たな作業になります。
• 証跡は一度だけ収集します。 証跡を、それを利用するすべてのフレームワークにタグ付けします。
• アンケートへの回答が速くなります。 自社の統制セットから回答し、対応する要件を引用します。
• 取締役会への報告が一貫します。 監査スケジュールがどうあれ、1つの用語体系で報告できます。

例として、NIST CSF 2.0 をハブとした場合：

方向	マッピング済み	緩やかに関連	マッピングなし
NIST CSF 2.0 を保有、NIS2 が必要	49 件中 45 件 (92%)	3	1	レポート →
NIS2 を保有、NIST CSF 2.0 が必要	106 件中 85 件 (80%)	12	9	レポート →

導入方法

1. 自社の言葉で統制を記述します。 組織が行う判断ごとに1つずつ。誰が、何を、どの頻度で、どんな証跡を。
2. 各統制をハブにマッピングし（例：CSF 2.0 のサブカテゴリ）、その後に対応するすべてのフレームワークへマッピングします。
3. マッピングは1か所で管理し、各リンクの根拠も記録して、検証と更新ができるようにします。
4. 担当者はフレームワークごとではなく、統制ごとに割り当てます。
5. いずれかのフレームワークが変わったら、マッピングを見直します。 プログラムを作り直すのではなく。

最初の作業負荷は前倒しで発生します。最初のマッピングには実質的な労力が必要ですが、以降のフレームワークやアンケートはすべてそれを再利用します。当サイトのダウンロードには、CSF 2.0 ハブへの出発点として使える既製のマッピングが含まれています。

要点

• フレームワーク疲れは、フレームワークごとに個別のプログラムを運用することから生じます。
• 広範で十分にマッピングされたハブ（NIST CSF 2.0、ISO 27001、SP 800-53のいずれか）を選び、他のすべてをそこへマッピングします。
• その後、新しいフレームワークにかかるのはギャップ分析と、本当に新しい要件だけになります。

解決しないもの

ハブがあってもフレームワーク固有の要件はなくなりません。報告期限、特定の頻度、法的義務などです。ハブによって、それらは重複作業に埋もれるのではなく、例外として可視化されるようになります。

フレームワーク疲れは設計の問題です。設計を直せば、疲れの大部分も解消します。まずは対応範囲マトリクスから始めてください。11のフレームワークすべてを1つのハブと照らし合わせて一覧できます。

よくある質問

最適なハブとなるフレームワークはどれですか？

広範で安定しており、十分にマッピングされているもの。NIST CSF 2.0 は、NIST などがそれへのマッピングを公表しているため有力な選択肢です。ISO 27001 は、いずれにせよ認証を取得している組織にとって有効です。

共通コントロール・フレームワークとは何ですか？

組織が対応するすべての外部フレームワークにおいて、それぞれが充足する要件へマッピングされた、社内統制の単一のセット。

GRCツールはハブの役割を果たせますか？

GRCツールはハブとマッピングを保持できますが、ハブは設計上の選択です。統制を整理する基準となる単一の構造のことです。まずそれを選び、その後でツールを設定してください。