2つのフレームワーク間のギャップ分析の進め方と、トラッカーへの落とし込み

2つ目以降のフレームワークは、いずれも同じ問いから始まります。「このうちどれだけをすでに持っているのか」。ギャップ分析はその答えを出すものです。ずさんに行うと、すべての項目に「一部準拠」と書かれ、二度と開かれない表計算ができてしまいます。適切に行えば、担当者付きで費用見積もりのあるタスク一覧が得られます。以下は、私たちが採用する方法です。

ステップ1：対象範囲と方向性を確定する

ギャップ分析には方向性があります。保有しているフレームワーク（または現在の統制）と、必要とするフレームワークです。両方をバージョンとともに、組織の対象範囲（対象の法人、サービス、拠点）と合わせて書き出してください。ギャップ分析が失敗する最も多い原因は、両者の対象範囲が一致していないことです。例えば、一製品ラインのみを対象とするISO認証を、組織全体に適用されるNIS2の義務と比較するようなケースです。

ステップ2：要件ごとの比較表を作成する

白紙ではなく、マッピングから始めてください。ControlMappingのギャップ分析では、必要とするフレームワークの要件ごとに、保有しているフレームワーク内の対応先が一覧表示されます。

• マッピング済み：公開された対応表、または当サイトの編集による判断により、保有しているものと結び付けられています。
• 緩やかに関連：保有しているものと成果を共有しているにすぎません。おそらく新たな作業として扱ってください。
• 当サイトのデータにはマッピングがありません：新たな作業である可能性が高いですが、そのフレームワークのカバレッジが一部のみの場合は除きます。

例えば、ISO 27001からNIS2へ移行する場合は次のようになります。

NIS2 の 49 件の要件ポイントのうち、49 件（100%）は ISO 27001 の何らかの項目にマッピングされ、0 件は緩やかに関連するのみで、0 件は当サイトのデータにマッピングがありません。 ギャップレポートを開く →

ステップ3：マッピングを実態と照合する

マッピングは、二つの要件が関連していることを示すだけです。自社の実装が両方を満たしていることまでは示しません。マッピングされた行ごとに、次を確認してください。

1. マッピングした対象の内容を実際に行っているか？ ISO A.8.8へのマッピングが役立つのは、脆弱性管理が実際に機能している場合のみです。
2. 新しい要件はより具体的か？ 期限、頻度、指定された手法、対象範囲は異なることが多いものです。
3. そのリンクは編集上の判断によるものか？ 表示された理由を確認し、その判断に同意するかどうかを決めてください。

各行に充足、一部充足、未充足のいずれかを付けてください。正直に評価してください。甘いギャップ分析は、問題の発見を監査の段階へ先送りするだけです。

ステップ4：トラッカーとして書き出す

ギャップ表示画面でeキーを押す（またはCSVエクスポートボタン）と、結果をダウンロードできます。各行には、要件、そのセクション、対応先、根拠、理由が含まれ、さらに作業用の空欄の列が4つ付きます。担当者、実装状況、エビデンス参照、備考です。表計算ソフトで開くか、GRCツールにインポートしてください。

ステップ5：行を作業に変換する

• 要件番号ではなく、担当者とテーマ別にグループ化する。「サプライヤー契約」は一つのタスクで、6行を解消できる場合があります。
• グループごとに見積もりを行い、順序を決める。ガバナンスやポリシーの変更は、多くの場合、技術的な作業の着手を可能にします。
• 作業を進めながらエビデンス列を埋める。そうすればトラッカーが監査用のファイルになります。
• いずれかのフレームワークが変更されたら分析を再実行する。当サイトのデータが更新されると、当サイトの結果も更新されます。

重要ポイント

• まず対象範囲と方向性を確定する。保有しているのはA、必要なのはB、バージョンも含めて。
• マッピングから始め、すべての対応関係を実際の業務と照合する。
• 結果を、担当者、ステータス、エビデンスの列を持つトラッカーとして書き出し、行をグループ化された作業に変換する。

よくある間違い

• 置き換えられた旧バージョンと比較する（CSF 1.1、ISO 27001:2013、PCI DSS v3.2.1）。
• 「緩やかに関連」を対応済みとして扱う。
• マッピングの対象外の要件を無視する。インシデント報告期限などの法的義務は、統制カタログの外にあることが多いものです。

実例については、ISO 27001とNIS2の項目別比較と比較ページをご覧ください。いずれも、そのまま使える双方向のギャップ分析になっています。

よくある質問

コンプライアンスのギャップ分析とは何ですか？

すでに実施している内容（または既に満たしているフレームワーク）と、必要とするフレームワークの要件を、要件単位で比較するものです。対応済み、一部対応、未対応の項目を特定します。

ギャップ分析にはどのくらいの時間がかかりますか？

ControlMappingのギャップ分析のようなツールを使えば、対応表は数分で作成できます。実際の統制やエビデンスと照合する作業こそが本来の労力で、対象範囲によりますが、通常は数日から数週間かかります。

ギャップ分析における「緩やかに関連」とはどういう意味ですか？

この2つの要件は、NIST CSF 2.0の成果（アウトカム）を共有しているだけで、互いにマッピングされたものではありません。確認すべき手がかりとして扱い、通常は対応済みとしてではなく、新たな作業として扱ってください。