共通の核：すべてのフレームワークが共有するセキュリティ要件

組織が単一のセキュリティフレームワークだけに対応することはほとんどありません。ソフトウェア企業は、SOC 2レポートを求める米国の顧客と、ISO 27001を求める欧州の顧客の両方に製品を販売しています。決済事業者はPCI DSSを加え、EU域内のデジタルサービス事業者は現在NIS2の対象となっています。フレームワークごとに構造、番号体系、用語が異なるため、それぞれに個別のプログラムが必要だと結論づけやすくなっています。

しかし実際にはそうではありません。番号体系の違いの下には多くの共通部分があり、そのごく一部はマッピングしたすべてのフレームワークに共通しています。私たちは、11のフレームワーク（NIST CSF 2.0、NIST SP 800-53、ISO 27001、CIS Controls、SOC 2、PCI DSS、CMMC Level 2、HIPAAセキュリティルール、GDPR、NIS2、ASDのEssential Eight）すべてでマッピングされた要件を持つトピックを探しました。

すべてのフレームワークに共通する5つのトピック

トピック	ISO 27001	SOC 2	PCI DSS	NIS2
資産管理	A.5.9	CC6.1	12.5.1	12.4
脆弱性管理	A.8.8	CC7.1	6.3.1	6.5
バックアップと復旧	A.8.13	A1.2	9.4.1.1	4.2
インシデント対応	A.5.24	CC7.4	12.10.1	3.1
報告	A.5.5	CC2.3	12.10.1	3.3

50 件中 5 件のトピックは、すべての 11 フレームワークに対応付けられた要件を持っています。各トピックページには、フレームワークごとの要件IDと、各リンクの根拠がすべて掲載されています。

この共通の核は、資産管理、脆弱性管理、バックアップと復旧、インシデント対応、インシデント報告の5つです。11のフレームワークはすべて、それぞれに少なくとも1つの要件を持っています。プライバシー法であるGDPRや、技術的な緩和策の短いリストであるEssential Eightにも含まれています。

これは意図的に短いリストになっています。アクセス制御、ログ記録、暗号化などの他の多くのトピックは11のうち10のフレームワークで扱われており、ほとんどのフレームワークは5つよりはるかに多くのトピックを共有しています。しかし、この5つは、どのフレームワークも除外していないものです。

なぜこの5つなのか

これらはインシデントのライフサイクルに沿っています。存在を把握していないものは保護できません（資産管理）。多くの攻撃は依然として既知の弱点を悪用します（脆弱性管理）。何か問題が起きたときは、システムとデータを復元し（バックアップと復旧）、インシデントに対応し（インシデント対応）、関係者（経営陣、顧客、規制当局）に伝える必要があります（インシデント報告）。

フレームワークは、それ以外のほぼすべての点で意見が分かれます。ガバナンスをマネジメントシステムとみなすか成果の集合とみなすか、技術管理策をどの程度規範的に定めるか、物事をどの頻度で実施すべきか、などです。しかしこの5つについては、これらがなければ他の要素が機能しないため、一致しています。

同じトピック、異なる深度

共有されたトピックが、同一の要件を意味するわけではありません。脆弱性管理を例に見てみましょう：

フレームワーク	脆弱性管理	リンク
NIST CSF 2.0	ID.RA-01ID.RA-08	トピックの定義
ISO 27001	A.8.8	対応表
CIS v8.1	CIS 7.1CIS 7.2CIS 7.5CIS 7.6CIS 7.7CIS 16.6CIS 18.1CIS 18.2CIS 18.3CIS 18.4CIS 18.5	対応表
SOC 2	CC7.1	編集
PCI DSS	6.3.111.3.111.3.2	対応表
CMMC	RA.L2-3.11.2RA.L2-3.11.3	対応表
800-53	RA-5CA-8	対応表
HIPAA	§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(8)	対応表
GDPR	Art.32(1)(d)	編集
NIS2	6.56.10	対応表
Essential Eight	ISM-1807ISM-1808ISM-1698ISM-1699ISM-1701ISM-1702	編集

各リンクの詳細と根拠： 脆弱性管理 のフレームワーク横断 →

ISO 27001のA.8.8は、技術的脆弱性に関する情報を入手し、自組織の露出を評価して適切な措置を講じることを求めており、そのタイミングはリスクアセスメントに委ねています。PCI DSSは、内部スキャンを3か月ごとおよび重大な変更後に実施すること（11.3.1）、認定スキャニングベンダー（ASV）による外部スキャンを実施すること（11.3.2）、重大度が高い、およびクリティカルなパッチをリリースから1か月以内に適用すること（6.3.3）を求めています。Essential Eightは、成熟度レベルごとに厳しくなるパッチ適用期限を定めています。HIPAAは、脆弱性に特化した要件ではなく、リスク分析とリスク管理の要件を通じてこのトピックに関わっています。

したがって、共通の核が示すのは、すべてのフレームワークが何を行うことを期待しているかであり、どの程度行うかではありません。管理策を構築する際は、対応すべきフレームワークの中で最も厳格なものに合わせて設計してください。そうすれば、他のフレームワークの多くも通常は満たされます。

実務での姿

• 資産管理：ハードウェア、ソフトウェア、クラウドサービス、データストアの1つの台帳を所有者とともに管理し、スプレッドシートだけでなく検出ツールで最新状態を保つ。
• 脆弱性管理：定期的なスキャン（内部および外部）、重大度評価、重大度別の修正期限、および期限が守られていることの証跡。
• バックアップと復旧：データ、ソフトウェア、構成のバックアップを変更や削除から保護し、復元を定期的にテストする。
• インシデント対応：役割、重大度レベル、エスカレーションを定めた文書化された計画を作成し、少なくとも年1回演習する。
• インシデント報告：誰に、どの期限内に、誰が連絡するかを定めた手順：社内の経営陣、契約上の顧客、規制当局（例：NIS2の24時間以内の早期警告、GDPRの監督機関への72時間以内の通知）。

共通の核が重要な理由

セキュリティプログラムを始める場合は、まずこの5つを構築してください。これらは、将来採用する可能性のあるすべてのフレームワークで求められる要件であるため、作業が無駄になることはありません。

すでに複数のフレームワークに対応している場合は、この核を共通管理策セットの基盤として使ってください。これら各トピックに1つの管理策を設け、対応するすべてのフレームワークにマッピングし、証跡は一度だけ収集します。同じ考え方は、10、9、8のフレームワークで共有されているトピックにも広げられます。対応マトリクスでは、11のフレームワークに対する50のトピックすべてを示し、ギャップ分析では、任意の2つのフレームワーク間で何が引き継がれるかを要件ごとに示します。

測定方法

ControlMappingの各トピックはNIST CSF 2.0の成果によって定義され、それに対応する各フレームワークの要件を一覧にしています。公開された対応表（NIST、ENISA、CIS、PCI SSCのもの）が裏付けるリンクには「対応表」と表示し、当サイトの判断によるものには「編集」と理由を表示しています。SOC 2、GDPR、Essential Eightへのリンクは、オープンライセンスの対応表が存在しないため、常に「編集」です。手法の詳細は方法論ページにあり、上記のすべての数値はライブデータから取得されているため、マッピングが変更されると更新されます。

よくある質問

すべてのフレームワークが要求するセキュリティ管理策はどれか？

ControlMappingのデータでは、11のフレームワークすべてにマッピングされた要件を持つトピックが5つあります。資産管理、脆弱性管理、バックアップと復旧、インシデント対応、インシデント報告です。具体的な文言と深度はフレームワークごとに異なります。

1つのフレームワークの版を満たせば、他も満たされるか？

自動的にはそうなりません。マッピングは要件が同じトピックを扱っていることを意味しますが、一方がはるかに具体的な場合があります（PCI DSSやEssential Eightは、ISO 27001が組織の判断に委ねている期限や頻度を定めています）。各フレームワークの本文を確認してください。