文書を書き直さずに、1つのポリシーセットを複数のフレームワークへマッピングする

よくあるパターンはこうです。ある企業がISO 27001向けのポリシーセットを作成し、その後顧客からSOC 2を求められて2つ目のテンプレートパックを購入し、さらにPCI DSSが独自の要件とともに加わります。互いに重複する3つのポリシーセットができあがり、それぞれが少しずつ古くなり、実際に行われていることとは一致しません。ポリシーはフレームワーク固有である必要はありません。組織固有のものであり、かつマッピングされている必要があります。

構造：3つのレイヤー

1. 情報セキュリティポリシー（1つ）：簡潔で、経営陣の承認を受け、目的、適用範囲、責任および経営陣のコミットメントを定めたものです。ISO 27001の5.2項とPCI DSSの12.1.1の両方がこれを要求しています。
2. トピックポリシー（12個程度）：アクセス制御、許容される利用、資産管理、暗号化、インシデント対応、事業継続、サプライヤーセキュリティ、セキュアな開発、脆弱性およびパッチ管理、ロギングと監視、物理セキュリティ、人事セキュリティ。
3. その下の手順および標準：頻度、設定、手順の詳細はここに置きます。これらはより頻繁に変更され、そのたびに経営陣の承認を得る必要はないはずです。

フレームワーク固有の詳細はポリシーではなく手順に記載してください。「アクセスは6か月ごとにレビューする」という記述は、ポリシーを肥大化させることなくPCI DSSの頻度要件を収められるよう、アクセスレビュー手順に記載すべきものです。

書き直すのではなくマッピングする

ポリシーの節ごとに1行ずつ、各フレームワークでどの要件に対応するかを示すマッピング表を管理してください。ガバナンスポリシーのトピックでは、各フレームワークが最上位レベルで何を求めているかを示しています：

フレームワーク	ガバナンスポリシー	リンク
NIST CSF 2.0	GV.PO-01GV.PO-02	トピックの定義
ISO 27001	A.5.1A.5.37Clause 5.2	対応表
CIS v8.1	—	当サイトのデータにはマッピングがありません
SOC 2	CC5.3CC1.1	編集
PCI DSS	12.1.112.1.2	対応表
CMMC	—	当サイトのデータにはマッピングがありません
800-53	PM-1PL-1	対応表
HIPAA	§164.316(a)§164.316(b)(2)(iii)	対応表
GDPR	Art.24(2)	編集
NIS2	1.1	対応表
Essential Eight	—	当サイトのデータにはマッピングがありません

各リンクの詳細と根拠： ガバナンスポリシー のフレームワーク横断 →

新しいフレームワークが加わったら、ギャップ分析を実施し、ガバナンスとポリシーの要件を確認してください。多くはすでにお持ちのポリシーにマッピングできるはずです。残りは新しいセクションや手順になります。

各フレームワークが文書で具体的に求めること

• ISO 27001：情報セキュリティポリシー（5.2）と、必要に応じたトピック固有のポリシー（A.5.1）。周知され、レビューされていること。
• SOC 2：期待事項を定めたポリシーであり、手順を通じて展開されていること（CC5.3）。
• PCI DSS：12の要件それぞれについて、文書化された最新のポリシーと手順（x.1.1）および割り当てられた役割（x.1.2）があり、少なくとも年1回レビューされていること。
• NIS2：ネットワークおよび情報システムのセキュリティに関するポリシーと、トピック固有のポリシー（実施規則 第1項）。
• NIST CSF 2.0：ポリシーが確立され、周知され、実施されていること（GV.PO）。

最小限のポリシーセット

ほとんどの中小規模の組織では、以下の文書によりISO 27001、SOC 2、NIST CSF、PCI DSS、NIS2のポリシー要件を網羅できます：

1. 情報セキュリティポリシー（最上位、経営陣の承認を受けたもの）
2. 許容される利用ポリシー
3. アクセス制御ポリシー
4. 資産管理およびデータ分類ポリシー
5. 暗号化ポリシー
6. セキュアな開発および変更管理ポリシー
7. 脆弱性およびパッチ管理ポリシー
8. ロギングと監視のポリシー
9. インシデント対応ポリシー（報告義務を含む）
10. 事業継続およびバックアップポリシー
11. サプライヤーセキュリティポリシー
12. 人事セキュリティポリシー
13. 物理セキュリティポリシー

13の文書で、そのほとんどは数ページの長さで、それぞれに所有者とレビュー期日があります。詳細は手順が担い、より頻繁に変更されます。

重要なポイント

• ポリシーはフレームワーク固有ではなく、組織固有のものとしてマッピングすべきです。
• 頻度と設定は手順に記載してください。
• 13の短いポリシーでほとんどのフレームワークを網羅できます。
• PCI DSSでは、ポリシーと手順を少なくとも年1回レビューすることが求められています。

最新状態を保つ

• 実際に行っていることを書く。テンプレートに書かれていることではありません。監査人はポリシーを実務と照らし合わせて検証します。
• 年1回、および重大な変更の後にレビューし、承認の記録を残してください。
• 完全さより簡潔さ：人が読む2ページのアクセス制御ポリシーは、誰も読まない20ページのものより価値があります。

同じ考え方に基づく共通のコントロールセットについては、SOC 2とISO 27001の1つのコントロールセットをご覧ください。

よくある質問

セキュリティポリシーはいくつ必要ですか？

多くのテンプレートが示す数より少なくて済みます。最上位の情報セキュリティポリシーに加え、12個程度のトピックポリシー（アクセス、許容される利用、インシデント対応、サプライヤーセキュリティなど）があれば、通常ISO 27001、SOC 2、NIST、PCI DSSを網羅できます。

PCI DSSでは特定のポリシーが必要ですか？

はい。PCI DSSの各要件は、その領域について文書化された最新のポリシーと手順（x.1.1）、および役割と責任（x.1.2）を求めることから始まります。