cm/controlmapping
日本語
English中文Españolالعربية日本語हिन्दीDeutschFrançaisPortuguês한국어ItalianoBahasa IndonesiaРусский
出典
分析 · NIST CSF 2.0 · ISO 27001 · CIS v8.1

フレームワークがほとんど要求しないセキュリティトピックと、それが重要な理由

ほぼすべてのフレームワークに登場するセキュリティトピックがある一方、要求するのがごく少数にとどまるトピックもあります。こうした欠落からは、フレームワークがどのように陳腐化していくのか、そして、コンプライアンス主導のプログラムが見落としかねないリスクについて多くが読み取れます。

別 · · 1 分で読めます

本記事では、執筆時点でControlMappingがマッピングしていた11個のフレームワークを扱います。その後、DORA, CPS 234, Cyber Essentialsが2026-10-27に追加されました。それらのページおよびカバレッジマトリクスにも含まれています。

リソグラフ調の版画で描かれた、四角いマス目の格子。大部分は塗りつぶされ、片側の数列だけがまばらに塗られている
多くのフレームワークでほとんど空欄のままになっているトピックもあります。

セキュリティプログラムがコンプライアンス要件だけで構築されている場合、フレームワークが一致している領域では強く、フレームワークが言及していない領域では弱くなりがちです。当サイトの全50トピックを、11のフレームワークのうちいくつがそのトピックに要件をマッピングしているかで順位付けしました。このリストの下位にあるトピックこそ、フレームワーク主導のプログラムで死角になりやすい箇所です。

最も要求されていないトピック

トピックマッピング先:次においてマッピングなし:
DNSセキュリティ11 件中 4 件SOC 2, PCI DSS, CMMC, HIPAA, GDPR, NIS2, Essential Eight
API セキュリティ11 件中 5 件SOC 2, CMMC, HIPAA, GDPR, NIS2, Essential Eight
事業環境11 件中 5 件CIS v8.1, CMMC, HIPAA, GDPR, NIS2, Essential Eight
脅威インテリジェンス11 件中 5 件CIS v8.1, SOC 2, HIPAA, GDPR, NIS2, Essential Eight
WAF11 件中 6 件CMMC, HIPAA, GDPR, NIS2, Essential Eight
Web セキュリティ11 件中 7 件HIPAA, GDPR, NIS2, Essential Eight
コミュニケーション11 件中 7 件PCI DSS, HIPAA, GDPR, Essential Eight
フォレンジック11 件中 7 件CIS v8.1, HIPAA, GDPR, Essential Eight
モバイルセキュリティ11 件中 7 件PCI DSS, GDPR, NIS2, Essential Eight
DLP11 件中 8 件HIPAA, GDPR, Essential Eight

これらのトピックが抜け落ちている理由

フレームワークは技術より一段高い抽象度で書かれています。 ISO 27001、SOC 2、GDPR は、あらゆる技術に適用できる成果（「ネットワーク上の情報を保護すること」「安全な開発」など）を記述しているため、DNS、API、Web アプリケーションファイアウォールに明示的に言及することはほとんどありません。これらのトピックは、リスクアセスメントで取り上げられていれば、広範な管理策を通じて暗黙的にカバーされます。

フレームワークは脅威の状況に遅れがちです。 多くは、境界がファイアウォールであり、アプリケーションがインストール型ソフトウェアであった時代に起草されました。API、クラウドでホストされた Web アプリケーション、DNS の悪用は、標準の改訂よりも速く一般的な攻撃経路となりました。ISO 27001:2022 では、脅威インテリジェンスと Web フィルタリングが新たな管理策として追加されました。CSF 2.0 はサプライチェーンとプラットフォームのセキュリティを強化しました。その他の領域はまだ追いついていません。

一部のトピックは管理策ではなく前提状況です。 「事業環境」（自社のミッション、利害関係者、依存関係の把握）はガバナンスの基礎作業にあたります。フレームワークはこれを要求するのではなく、前提としています。

小規模オフィスネットワークのラックの背面を撮影した写真。パッチケーブルが絡まり、小型スイッチが設置されている
DNS、API、Web トラフィックは日常的なインフラですが、多くのフレームワークではほとんど触れられていません。

なぜ重要なのか

攻撃者はフレームワークを読みません。最も要求されていないトピックの中には、実際の攻撃で最も悪用されているものも含まれます。公開された API、脆弱な Web アプリケーション、DNS の操作がその例です。監査人が求めるものだけを実装したプログラムは、あらゆる監査に合格しながらも、これらの穴を残したままになり得ます。

リストの下位にあるトピックは、フレームワークが果たしきれない部分を、自社のリスクアセスメントが担わなければならない箇所です。

要点

  • DNS セキュリティ、脅威インテリジェンス、API セキュリティ、Web アプリケーション保護は、当サイトがマッピングしているフレームワークの中で最も少ない数にしか要求されていません。
  • その主な理由は、フレームワークが技術より高い抽象度で書かれ、改訂が遅いことにあります。これらのトピックの重要度が低いからではありません。
  • 最も要求されていないトピックのいくつかは、実際に最も悪用されている攻撃経路に含まれます。
  • 自社のリスクアセスメントで、フレームワークが扱っていない領域もカバーする必要があります。また、対象とするかどうかにかかわらず、判断理由を記録しておくべきです。

対応事項

  • リスト下位のトピックを、自社の攻撃対象領域と照らし合わせて確認してください。 公開 API や Web アプリケーションを運用している場合、フレームワークの記述に関係なく API セキュリティ と Web セキュリティ が重要です。
  • トピックをカバーする中で最も具体的なフレームワークを、認証を取得していなくても基準として使用してください。 技術的なトピックでは、CIS Controls と PCI DSS は ISO 27001 よりも具体的であることが多くあります。トピックのページでは、どのフレームワークが何を要求しているかを確認できます。
  • 判断を記録してください。 リスクアセスメントでトピックが該当しないと結論づけた場合は、その理由を文書化してください。監査人は理由のある除外を受け入れますが、攻撃者はどちらであっても気にしません。

カバレッジマトリクス では、11 のフレームワークすべてに対する 50 トピックを一覧で確認できます。リストの反対側については、すべてのフレームワークが共有するトピック をご覧ください。

よくある質問

フレームワークが要求するセキュリティトピックが最も少ないのはどれですか？

ControlMapping のデータでは、DNS セキュリティ、脅威インテリジェンス、API セキュリティ、事業環境、Web アプリケーションファイアウォールが、11 のフレームワークのうち最も少ない数でマッピングされています。

フレームワークが管理策を要求していない場合、それを省略してもよいですか？

コンプライアンスの観点ではそうかもしれませんが、セキュリティの観点ではほとんどの場合そうとは言えません。ほとんどのフレームワークはリスクベースであるため、欠けているトピックは通常「不要」ではなく「リスクアセスメントでカバー済み」を意味します。

API セキュリティを最もよくカバーしているフレームワークはどれですか？

包括的にカバーしているものはありません。CIS Controls のアプリケーションソフトウェアセキュリティの管理策や、PCI DSS の安全な開発および公開型 Web アプリケーションに関する要件は、最も具体的なものの一つです。OWASP の API Security Top 10 が一般的な技術リファレンスとして用いられています。

データ基準日：2026-10-27。本記事の数値は現行の対応表から算出しており、対応表が更新されると数値も更新されます。 対応表 公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集 対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · 緩やかに関連 CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. 準拠に関する助言ではありません。

関連記事

分析 · 2026-10-27APRA CPS 234とISO 27001：ISMSがカバーする範囲とAPRAが追加する要件ISO 27001のISMSは、APRAのCPS 234のほぼすべての段落をカバーしています。しかしAPRAは、取締役会の責務、第三者による保証、厳格な通知期限を追加しています。分析 · 2026-10-27Cyber Essentials と Essential Eight の比較：2つの国家ベースラインを対比英国の Cyber Essentials とオーストラリアの Essential Eight はどちらも一般的な攻撃を対象としていますが、カバーする領域は異なります。何が重なり、何が重ならないのか、そしてその理由を解説します。分析 · 2026-10-27DORA対NIS2：NIS2プログラムで既にカバーされている範囲DORAとNIS2はセキュリティ要件の大半を共有していますが、DORAは情報登録簿、契約条件、脅威ベースのテストを追加しています。条文ごとに、何を引き継げるかを示します。