確認できないベンダー対応表の問題
多くのコンプライアンス基盤は、1つの統制を十数種のフレームワークに対応付ける独自の対応表を備えています。個々の対応関係の出典を尋ねても、明確な答えが返ってこないことがよくあります。
本記事では、執筆時点でControlMappingがマッピングしていた11個のフレームワークを扱います。その後、DORA, CPS 234, Cyber Essentialsが2026-10-27に追加されました。それらのページおよびカバレッジマトリクスにも含まれています。
コンプライアンス自動化プラットフォームにより、複数フレームワークに対応するプログラムの運用は格段に容易になりました。多くの製品は中核となる約束を掲げています。統制を一度実装すれば、プラットフォームの対応表がそう示す限り、SOC 2、ISO 27001、NIST、HIPAAなどを満たす、というものです。ただし、特定の対応関係がどこから来たのか、どのバージョンに対するものか、なぜ2つの要件が同等とされるのかを尋ねると、多くの場合は答えが返ってきません。
これは問題であり、細かいことを気にしているわけではありません。
検証できないマッピングはリスクをあなたに移す
プラットフォームが、新たに適用対象となったフレームワークの要件をアクセス制御が満たすと示し、それが誤っていた場合、監査の指摘を受けるのはベンダーではなくあなたです。確認できないマッピングを頼りにしたことになります。監査人は「ツールがマッピングしたから」という理由を認めません。監査人は要件を読み、統制がそれを満たしているかを検証します。
マッピングは静かに陳腐化する
フレームワークは変わります。CSF 2.0 では CSF 1.1 のサブカテゴリ79件が廃止されました（移行先はこちら）。ISO 27001:2022 では附属書Aの番号が振り直されました。PCI DSS v4.0 では数十の要件が追加されました。バージョン管理されず、現行のカタログに対して検証されていない対応表は劣化します。ラベルのない対応表は、目に見えない形で劣化します。
「マッピング済み」が隠す対応の種類
2つの要件の間の線は、両者が同等であることを意味する場合もあれば、一方が他方の部分集合であることや、単にテーマを共有していることだけを意味する場合もあります。マッピングがどの程度公開された根拠に基づいているかに関する当サイト自身の分析では、どこにあるマッピングでも、かなりの割合が公開された対応表ではなく判断に基づくものであることがわかりました。
| フレームワーク | マッピング | 対応表 | 編集 | 対応表の割合 |
|---|---|---|---|---|
| NIS2 | 65 | 64 | 1 | 98% |
| ISO 27001 | 105 | 99 | 6 | 94% |
| 800-53 | 120 | 106 | 14 | 88% |
| CMMC | 72 | 60 | 12 | 83% |
| HIPAA | 47 | 36 | 11 | 77% |
| PCI DSS | 95 | 70 | 25 | 74% |
| CIS v8.1 | 163 | 40 | 123 | 25% |
| SOC 2 | 66 | 0 | 66 | 0% |
| GDPR | 34 | 0 | 34 | 0% |
| Essential Eight | 62 | 0 | 62 | 0% |
| すべて | 829 | 475 | 354 | 57% |
判断に基づく対応が悪いわけではありません。ラベルのない判断が問題なのです。
どの対応表にも求めるべきこと
- リンクごとの出典：公式の対応表（NIST、ENISA、フレームワーク所有者）か、ベンダーの判断か。
- 判断に基づくすべての対応について理由を、あなたが確認できる形で示すこと。
- 両フレームワークのバージョン、および最後に検証された日付。
- 「マッピング済み」の意味：同等、部分的、または関連のみ。
- エクスポート：マッピングを取り出し、自分で検証できること。
ベンダーがこれらを提供できない場合、そのマッピングは答えではなくヒントとして扱ってください。
受け取った対応表を検証する方法
対応表全体を監査しなくても、評価はできます。サンプルを抽出して確認しましょう。
- 最もよく知っているフレームワークから、ランダムに10件のリンクを選ぶ。
- 各リンクについて両方の要件文を読む。
- 各リンクを分類する：同等、一部重なる、単に関連する、または誤り。
- バージョンに影響されやすいケースを2件確認する。例えば CSF 1.1 の識別子や ISO 27001:2013 の管理策番号。
ほとんどのリンクが妥当で、バージョンが最新であれば、その対応表は参考として使える可能性が高いです。誤りや陳腐化したものが複数あれば、全体を未検証として扱ってください。当サイトのデータも同じ検証の対象になります。すべての要件ページ（例：ISO 27001 A.8.8）には、各リンクの根拠と理由が表示されています。
要点
- 検証できないマッピングは、監査リスクをあなたに移します。
- 各リンクについて、出典、バージョン、意味、理由を求めてください。
- 依存する前に、どの対応表もサンプルで検証してください。
当サイトがすべてを公開する理由
ControlMapping は、一部はこの問題があるからこそ存在します。すべてのリンクには対応表または編集のラベルが付き、すべての編集リンクにはその理由があり、すべてのIDは毎回のビルドで公式カタログに対して検証され、データセット全体がオープンライセンスの下でダウンロードできます。これが唯一の方法ではありませんが、業界が自らに課すべき基準だと私たちは考えています。方法論とダウンロードをご覧ください。
よくある質問
コンプライアンス基盤の対応表は正確ですか？
適切に管理されているものもあれば、そうでないものもあります。各対応関係について出典、バージョン、理由が見えなければ、どちらか判断できず、監査人は「ツールがそう示している」という根拠を受け入れません。
信頼できる対応表には何が示されているべきですか？
各対応関係について、出典（公式の対応表またはベンダーの判断）、両フレームワークのバージョン、その関係の意味（同等か、単に関連するだけか）、判断に基づく場合はその理由を示すべきです。
NIST OLIRとは何ですか？
NISTのOnline Informative References（OLIR）プログラム：NISTフレームワークと他の標準との間の対応表のカタログです。第三者からの提出は形式は確認されますが、正確性は確認されません。
データ基準日：2026-10-27。本記事の数値は現行の対応表から算出しており、対応表が更新されると数値も更新されます。 対応表 公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集 対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. 準拠に関する助言ではありません。
関連記事
分析 · 2026-10-27APRA CPS 234とISO 27001：ISMSがカバーする範囲とAPRAが追加する要件ISO 27001のISMSは、APRAのCPS 234のほぼすべての段落をカバーしています。しかしAPRAは、取締役会の責務、第三者による保証、厳格な通知期限を追加しています。
分析 · 2026-10-1311のセキュリティフレームワークにおけるMFA要件の比較どのフレームワークがMFAを、誰に対して、どの程度厳格に求めているか。PCI DSS、CMMC、NIS2、Essential Eight、ISO 27001、SOC 2、HIPAAを並べて比較します。
分析 · 2026-09-29NIST CSF 2.0の視点で見るHIPAAセキュリティルールNIST CSF 2.0のプログラムは、HIPAAセキュリティルールの要件のほぼすべてに対応します。引き継げるもの、対応しない2つの項目、そしてHIPAAを超えてCSFが追加するものを整理します。