比較
Essential Eight と ISO 27001 の比較：技術的ベースラインと情報セキュリティプログラム全体の違い
ISO/IEC 27001:2022 · ASD Essential Eight · データ 2026-10-27
オーストラリア信号局（ASD）の Essential Eight は、優先順位付けされた 8 つの緩和戦略の集合です（アプリケーションおよびオペレーティングシステムへのパッチ適用、多要素認証、管理者権限の制限、アプリケーション制御、Microsoft Office マクロの制限、ユーザーアプリケーションの強化、定期的なバックアップ）。各戦略は、情報セキュリティマニュアル（ISM）の具体的な統制によって、成熟度レベル 1 から 3 のそれぞれで定義されています。オーストラリア政府機関はこれを保護セキュリティポリシー・フレームワーク（PSPF）の下で実装しなければならず、同機関の供給者にも広く求められています。
ISO/IEC 27001 は、国際的に認知され認証を取得可能な、包括的なマネジメントシステムです。両者は代替関係にはありません。Essential Eight は侵入の防止と影響の抑制に重点を置いた技術的ベースラインであるのに対し、ISO 27001 は情報セキュリティ全体を運用するためのフレームワークです。
ISO から Essential Eight へ見ると、すべての E8 統制は対応付けられているか、緩やかに関連しています。ただし多くは緩やかな関連にとどまります。ASD の統制は附属書 A よりもはるかに具体的だからです。ISO は技術的脆弱性を管理することを求めていますが、Essential Eight は、エクスプロイトが存在する場合にインターネット公開サービスへのパッチを 48 時間以内に適用することを求め、さらに Office マクロ、ブラウザー、PowerShell を各成熟度レベルでどのように設定すべきかを規定しています。特に ML2 および ML3 では、実質的な技術作業が必要になると想定してください。
Essential Eight から ISO へ見ると、ISO の大部分は対応する項目がありません。ガバナンス、供給者管理、法務・コンプライアンス統制、物理的セキュリティ、人的統制、そして ISMS 自体は、Essential Eight の範囲外です。ASD は両者間の対応表を公表していないため、ここに示す Essential Eight との対応付けは ControlMapping による編集です。
要点
- ISO 27001 の ISMS 内で、具体的な技術目標を設定するために Essential Eight を活用してください。
- 戦略ごとに目標とする成熟度レベルを選択してください。政府向け業務では一般的に ML2 が求められます。
- Essential Eight への準拠は認証の対象ではありません。評価は ASD の Essential Eight 評価プロセスガイドに従って実施されます。
ASD Essential Eight の要件 126 件のうち、57 件は ISO 27001 の何らかの項目にマッピングされ、69 件は緩やかに関連するのみで、0 件は当サイトのデータにマッピングがありません。
ここでいう Essential Eight は、ASD が成熟度レベル1〜3に対して付与している ISM 統制策を指します。各行には該当するレベル（ML1–ML3）を示しています。ASD は他のフレームワークへの対応表を公表していないため、すべての対応付けは ControlMapping による編集上の判断です。
要確認：関連性は緩やかなもののみ（共通するCSFのアウトカムがあるだけで、マッピングではありません） (69)
| Essential Eight | 要件 | 一致 | ISO 27001 | 証跡 |
|---|---|---|---|---|
| Patch applications · 6 | ||||
| ISM-0304 | ML3 Applications other than office productivity suites, web browsers and their extensions… | A.5.9A.8.7A.8.8 | CSF PR.PS-02, ID.RA-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1690 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in online services are applied within two weeks of… | A.5.9A.8.7A.8.8 | CSF PR.PS-02, ID.RA-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1692 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within 48… | A.5.9A.8.7A.8.8 | CSF PR.PS-02, ID.RA-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1700 | ML2, ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in applications other than office… | A.5.9A.8.7A.8.8 | CSF PR.PS-02, ID.RA-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1901 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within two weeks of release when… | A.5.9A.8.7A.8.8 | CSF PR.PS-02, ID.RA-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1905 | ML1, ML2, ML3 Online services that are no longer supported by vendors are removed | A.5.9A.8.7A.8.8 | CSF PR.PS-02, ID.RA-01 のみを共有: 関連はあるがマッピングではありません | |
| Patch operating systems · 10 | ||||
| ISM-1407 | ML3 The latest release, or the previous release, of operating systems are used | A.5.9A.8.1A.8.7+1 | CSF PR.PS-02, PR.PS-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1694 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of internet-facing servers and internet-facing network devices are applied within two weeks… | A.5.9A.8.1A.8.7+1 | CSF PR.PS-02, PR.PS-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1696 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of workstations, non-internet-facing servers and non-internet-facing network devices are applied within 48 hours of… | A.5.9A.8.1A.8.7+1 | CSF PR.PS-02, PR.PS-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1697 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in drivers are applied within one month of release… | A.5.9A.8.1A.8.7+1 | CSF PR.PS-02, PR.PS-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1703 | ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in drivers | A.5.9A.8.1A.8.7+1 | CSF PR.PS-02, PR.PS-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1879 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in drivers are applied within 48 hours of release… | A.5.9A.8.1A.8.7+1 | CSF PR.PS-02, PR.PS-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1900 | ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in firmware | A.5.9A.8.1A.8.7+1 | CSF PR.PS-02, PR.PS-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1902 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of workstations, non-internet-facing servers and non-internet-facing network devices are applied within one month of… | A.5.9A.8.1A.8.7+1 | CSF PR.PS-02, PR.PS-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1903 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in firmware are applied within 48 hours of release… | A.5.9A.8.1A.8.7+1 | CSF PR.PS-02, PR.PS-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1904 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in firmware are applied within one month of release… | A.5.9A.8.1A.8.7+1 | CSF PR.PS-02, PR.PS-03 のみを共有: 関連はあるがマッピングではありません | |
| Multi-factor authentication · 9 | ||||
| ISM-1505 | ML3 Multi-factor authentication is used to authenticate human users of data repositories | A.5.15A.5.16A.5.17+2 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1680 | ML1, ML2, ML3 Multi-factor authentication (where available) is used to authenticate human users to… | A.5.15A.5.16A.5.17+2 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1681 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate customers to online customer… | A.5.15A.5.16A.5.17+2 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1682 | ML2, ML3 Multi-factor authentication used for authenticating human users of systems is… | A.5.15A.5.16A.5.17+2 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1873 | ML2 Multi-factor authentication used for authenticating customers of online customer services provides a… | A.5.15A.5.16A.5.17+2 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1874 | ML3 Multi-factor authentication used for authenticating customers of online customer services is phishing-resistant | A.5.15A.5.16A.5.17+2 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1892 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to their organisation’s online customer services that… | A.5.15A.5.16A.5.17+2 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1893 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to third-party online customer services that process… | A.5.15A.5.16A.5.17+2 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1894 | ML3 Multi-factor authentication used for authenticating human users of data repositories is… | A.5.15A.5.16A.5.17+2 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| Restrict administrative privileges · 11 | ||||
| ISM-1649 | ML3 Just-in-time administration is used for the administration of systems and their resources | A.5.1A.5.3A.5.14+5 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1650 | ML2, ML3 Privileged user account and security group management events are centrally logged | A.5.1A.5.3A.5.14+5 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1685 | ML2, ML3 Credentials for break glass accounts, local administrator accounts and service accounts… | A.5.1A.5.3A.5.14+5 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1686 | ML3 Credential Guard functionality is enabled | A.5.1A.5.3A.5.14+5 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1687 | ML2, ML3 Privileged operating environments are not virtualised within unprivileged operating… | A.5.1A.5.3A.5.14+5 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1688 | ML1, ML2, ML3 Unprivileged user accounts cannot be used to log on to privileged operating environments | A.5.1A.5.3A.5.14+5 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1689 | ML1, ML2, ML3 Privileged user accounts (excluding local administrator accounts) cannot be used to log… | A.5.1A.5.3A.5.14+5 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1861 | ML3 Local Security Authority protection functionality is enabled | A.5.1A.5.3A.5.14+5 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1883 | ML1, ML2, ML3 Privileged user accounts explicitly authorised to access online services are strictly… | A.5.1A.5.3A.5.14+5 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1897 | ML3 Remote Credential Guard functionality is enabled | A.5.1A.5.3A.5.14+5 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1898 | ML3 Secure Admin Workstations are used in the performance of administrative activities | A.5.1A.5.3A.5.14+5 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| Application control · 5 | ||||
| ISM-1582 | ML2, ML3 Application control rulesets are validated at least annually | A.8.1A.8.7A.8.19 | CSF PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1656 | ML3 Application control is implemented on non-internet-facing servers | A.8.1A.8.7A.8.19 | CSF PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1658 | ML3 Application control restricts the execution of drivers to an organisation-approved set | A.8.1A.8.7A.8.19 | CSF PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1659 | ML3 Microsoft’s vulnerable driver blocklist is implemented | A.8.1A.8.7A.8.19 | CSF PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1871 | ML2, ML3 Application control is applied to all locations other than user profiles and temporary… | A.8.1A.8.7A.8.19 | CSF PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| Restrict Microsoft Office macros · 10 | ||||
| ISM-1487 | ML3 Only privileged human users responsible for checking that Microsoft Office macros are… | A.6.7A.8.1A.8.7+4 | CSF PR.PS-01, PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1489 | ML1, ML2, ML3 Microsoft Office macro security settings cannot be changed by human users | A.6.7A.8.1A.8.7+4 | CSF PR.PS-01, PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1671 | ML1, ML2, ML3 Microsoft Office macros are disabled for human users that do not have a demonstrated… | A.6.7A.8.1A.8.7+4 | CSF PR.PS-01, PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1672 | ML1, ML2, ML3 Microsoft Office macro antivirus scanning is enabled | A.6.7A.8.1A.8.7+4 | CSF PR.PS-01, PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1673 | ML2, ML3 Microsoft Office macros are blocked from making Win32 API calls | A.6.7A.8.1A.8.7+4 | CSF PR.PS-01, PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1674 | ML3 Only Microsoft Office macros running from within a sandboxed environment, a Trusted… | A.6.7A.8.1A.8.7+4 | CSF PR.PS-01, PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1675 | ML3 Microsoft Office macros digitally signed by an untrusted publisher cannot be enabled… | A.6.7A.8.1A.8.7+4 | CSF PR.PS-01, PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1676 | ML3 Microsoft Office’s list of trusted publishers is validated at least annually | A.6.7A.8.1A.8.7+4 | CSF PR.PS-01, PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1890 | ML3 Microsoft Office macros are checked to ensure they are free of malicious code before… | A.6.7A.8.1A.8.7+4 | CSF PR.PS-01, PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1891 | ML3 Microsoft Office macros digitally signed by signatures other than V3 signatures cannot… | A.6.7A.8.1A.8.7+4 | CSF PR.PS-01, PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| User application hardening · 13 | ||||
| ISM-1485 | ML1, ML2, ML3 Web browsers do not process web advertisements from the internet | A.6.7A.8.8A.8.9+1 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1486 | ML1, ML2, ML3 Web browsers do not process Java from the internet | A.6.7A.8.8A.8.9+1 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1542 | ML2, ML3 Microsoft Office is configured to prevent activation of Object Linking and Embedding… | A.6.7A.8.8A.8.9+1 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1622 | ML3 PowerShell is configured to use Constrained Language Mode | A.6.7A.8.8A.8.9+1 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1655 | ML3 .NET Framework 3.5 (includes .NET 2.0 and 3.0) is disabled or removed | A.6.7A.8.8A.8.9+1 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1667 | ML2, ML3 Microsoft Office is blocked from creating child processes | A.6.7A.8.8A.8.9+1 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1668 | ML2, ML3 Microsoft Office is blocked from creating executable content | A.6.7A.8.8A.8.9+1 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1669 | ML2, ML3 Microsoft Office is blocked from injecting code into other processes | A.6.7A.8.8A.8.9+1 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1670 | ML2, ML3 PDF applications are blocked from creating child processes | A.6.7A.8.8A.8.9+1 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1823 | ML2, ML3 Office productivity suite security settings cannot be changed by human users | A.6.7A.8.8A.8.9+1 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1824 | ML2, ML3 PDF application security settings cannot be changed by human users | A.6.7A.8.8A.8.9+1 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1889 | ML2, ML3 Command line process creation events are centrally logged | A.6.7A.8.8A.8.9+1 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1896 | ML3 Memory integrity functionality is enabled | A.6.7A.8.8A.8.9+1 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| Regular backups · 5 | ||||
| ISM-1705 | ML2, ML3 Privileged user accounts (excluding backup administrator accounts) cannot access… | A.8.13 | CSF PR.DS-11, RC.RP-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1706 | ML3 Privileged user accounts (excluding backup administrator accounts) cannot access their… | A.8.13 | CSF PR.DS-11, RC.RP-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1708 | ML3 Backup administrator accounts are prevented from modifying and deleting backups during… | A.8.13 | CSF PR.DS-11, RC.RP-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1812 | ML1, ML2, ML3 Unprivileged user accounts cannot access backups belonging to other user accounts | A.8.13 | CSF PR.DS-11, RC.RP-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1813 | ML3 Unprivileged user accounts cannot access their own backups | A.8.13 | CSF PR.DS-11, RC.RP-03 のみを共有: 関連はあるがマッピングではありません | |
マッピング済み (57)
| Essential Eight | 要件 | 一致 | ISO 27001 | 証跡 |
|---|---|---|---|---|
| Patch applications · 6 | ||||
| ISM-1691 | ML1, ML2 Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within two weeks of release | 編集 | A.8.8 | 同じトピック： パッチ管理 (編集部のおすすめ) |
| ISM-1693 | ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in applications other… | 編集 | A.8.8 | 同じトピック： パッチ管理 (編集部のおすすめ) |
| ISM-1698 | ML1, ML2, ML3 A vulnerability scanner is used at least daily to identify missing patches or updates for vulnerabilities in online… | 編集 | A.8.8 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| ISM-1699 | ML1, ML2, ML3 A vulnerability scanner is used at least weekly to identify missing patches or updates… | 編集 | A.8.8 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| ISM-1704 | ML1, ML2, ML3 Office productivity suites, web browsers and their extensions, email clients, PDF… | 編集 | A.8.8 | 同じトピック： パッチ管理 (編集部のおすすめ) |
| ISM-1876 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in online services are applied within 48 hours of… | 編集 | A.8.8 | 同じトピック： パッチ管理 (編集部のおすすめ) |
| Patch applications & Patch operating systems · 2 | ||||
| ISM-1807 | ML1, ML2, ML3 An automated method of asset discovery is used at least fortnightly to support the… | 編集 | A.5.9A.5.11A.7.14+1 | 同じトピック： 資産管理 (編集部のおすすめ) |
| ISM-1808 | ML1, ML2, ML3 A vulnerability scanner with an up-to-date vulnerability database is used for… | 編集 | A.8.8 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| Patch operating systems · 5 | ||||
| ISM-1501 | ML1, ML2, ML3 Operating systems that are no longer supported by vendors are replaced | 編集 | A.8.8 | 同じトピック： パッチ管理 (編集部のおすすめ) |
| ISM-1695 | ML1, ML2 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of workstations, non-internet-facing servers and non-internet-facing network devices are applied within one month of release | 編集 | A.8.8 | 同じトピック： パッチ管理 (編集部のおすすめ) |
| ISM-1701 | ML1, ML2, ML3 A vulnerability scanner is used at least daily to identify missing patches or updates for vulnerabilities in… | 編集 | A.8.8 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| ISM-1702 | ML1, ML2, ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in operating systems of… | 編集 | A.8.8 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| ISM-1877 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of internet-facing servers and internet-facing network devices are applied within 48 hours… | 編集 | A.8.8 | 同じトピック： パッチ管理 (編集部のおすすめ) |
| Multi-factor authentication · 7 | ||||
| ISM-0974 | ML2, ML3 Multi-factor authentication is used to authenticate unprivileged human users of systems | 編集 | A.8.5 | 同じトピック： 多要素認証 (編集部のおすすめ) |
| ISM-1173 | ML2, ML3 Multi-factor authentication is used to authenticate privileged human users of systems | 編集 | A.8.5 | 同じトピック： 多要素認証 (編集部のおすすめ) |
| ISM-1401 | ML1, ML2, ML3 Multi-factor authentication uses either: something people have and something people… | 編集 | A.8.5 | 同じトピック： 多要素認証 (編集部のおすすめ) |
| ISM-1504 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to their organisation’s online services that process… | 編集 | A.8.5 | 同じトピック： 多要素認証 (編集部のおすすめ) |
| ISM-1679 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to third-party online services that process, store or… | 編集 | A.8.5 | 同じトピック： 多要素認証 (編集部のおすすめ) |
| ISM-1683 | ML2, ML3 Successful and unsuccessful multi-factor authentication events are centrally logged | 編集 | A.8.15A.8.17 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| ISM-1872 | ML2, ML3 Multi-factor authentication used for authenticating human users of online services is… | 編集 | A.8.5 | 同じトピック： 多要素認証 (編集部のおすすめ) |
| Restrict administrative privileges · 9 | ||||
| ISM-0445 | ML1, ML2, ML3 Privileged human users are assigned a dedicated privileged user account to be used… | 編集 | A.8.2A.8.18 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| ISM-1175 | ML1, ML2, ML3 Privileged user accounts (excluding those explicitly authorised to access online… | 編集 | A.8.2A.8.18 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| ISM-1380 | ML1, ML2, ML3 Privileged human users use separate privileged and unprivileged operating environments | 編集 | A.8.2A.8.18 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| ISM-1387 | ML2, ML3 Administrative activities are conducted through jump servers | 編集 | A.8.2A.8.18 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| ISM-1507 | ML1, ML2, ML3 Requests for privileged access to systems and their resources are validated when first… | 編集 | A.8.2A.8.18 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| ISM-1508 | ML3 Privileged access to systems and their resources is limited to only what is required… | 編集 | A.8.2A.8.18 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| ISM-1509 | ML2, ML3 Privileged access events are centrally logged | 編集 | A.8.15A.8.17 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| ISM-1647 | ML2, ML3 Privileged access to systems and their resources are disabled after 12 months unless… | 編集 | A.8.2A.8.18 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| ISM-1648 | ML2, ML3 Privileged access to systems and their resources are disabled after 45 days of inactivity | 編集 | A.8.2A.8.18 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| Application control · 6 | ||||
| ISM-0843 | ML1, ML2, ML3 Application control is implemented on workstations | 編集 | A.8.1A.8.7A.8.19 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| ISM-1490 | ML2, ML3 Application control is implemented on internet-facing servers | 編集 | A.8.1A.8.7A.8.19 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| ISM-1544 | ML2, ML3 Microsoft’s recommended application blocklist is implemented | 編集 | A.8.1A.8.7A.8.19 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| ISM-1657 | ML1, ML2, ML3 Application control restricts the execution of executables, libraries, scripts… | 編集 | A.8.1A.8.7A.8.19 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| ISM-1660 | ML2, ML3 Allowed and blocked application control events are centrally logged | 編集 | A.8.15A.8.17 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| ISM-1870 | ML1, ML2, ML3 Application control is applied to user profiles and temporary folders used by operating… | 編集 | A.8.1A.8.7A.8.19 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| Restrict Microsoft Office macros · 1 | ||||
| ISM-1488 | ML1, ML2, ML3 Microsoft Office macros in files originating from the internet are blocked | 編集 | A.5.14A.8.1A.8.7+1 | 同じトピック： メールセキュリティ, エンドポイント保護 (編集部のおすすめ) |
| User application hardening · 7 | ||||
| ISM-1412 | ML2, ML3 Web browsers are hardened using ASD and vendor hardening guidance, with the most… | 編集 | A.8.9 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| ISM-1585 | ML1, ML2, ML3 Web browser security settings cannot be changed by human users | 編集 | A.8.9 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| ISM-1621 | ML3 Windows PowerShell 2.0 is disabled or removed | 編集 | A.8.9 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| ISM-1623 | ML2, ML3 PowerShell module logging, script block logging and transcription events are centrally… | 編集 | A.8.15A.8.17 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| ISM-1654 | ML1, ML2, ML3 Internet Explorer 11 is disabled or removed | 編集 | A.8.9 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| ISM-1859 | ML2, ML3 Office productivity suites are hardened using ASD and vendor hardening guidance, with… | 編集 | A.8.9 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| ISM-1860 | ML2, ML3 PDF applications are hardened using ASD and vendor hardening guidance, with the most… | 編集 | A.8.9 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| Regular backups · 6 | ||||
| ISM-1511 | ML1, ML2, ML3 Backups of data, applications and settings are performed and retained in accordance… | 編集 | A.8.13 | 同じトピック： バックアップと復旧 (編集部のおすすめ) |
| ISM-1515 | ML1, ML2, ML3 Restoration of data, applications and settings from backups to a common point in time… | 編集 | A.5.30A.8.13A.8.14 | 同じトピック： ディザスタリカバリ, バックアップと復旧 (編集部のおすすめ) |
| ISM-1707 | ML2, ML3 Privileged user accounts (excluding backup administrator accounts) are prevented from… | 編集 | A.8.13 | 同じトピック： バックアップと復旧 (編集部のおすすめ) |
| ISM-1810 | ML1, ML2, ML3 Backups of data, applications and settings are synchronised to enable restoration to a… | 編集 | A.8.13 | 同じトピック： バックアップと復旧 (編集部のおすすめ) |
| ISM-1811 | ML1, ML2, ML3 Backups of data, applications and settings are retained in a secure and resilient manner | 編集 | A.8.13 | 同じトピック： バックアップと復旧 (編集部のおすすめ) |
| ISM-1814 | ML1, ML2, ML3 Unprivileged user accounts are prevented from modifying and deleting backups | 編集 | A.8.13 | 同じトピック： バックアップと復旧 (編集部のおすすめ) |
| Logging and incident response (all strategies) · 8 | ||||
| ISM-0109 | ML3 Event logs from workstations are analysed in a timely manner to detect cyber security… | 編集 | A.8.16 | 同じトピック： 継続的モニタリング (編集部のおすすめ) |
| ISM-0123 | ML2, ML3 Cyber security incidents are reported to the chief information security officer, or one… | 編集 | A.5.5A.6.8 | 同じトピック： 報告 (編集部のおすすめ) |
| ISM-0140 | ML2, ML3 Cyber security incidents are reported to ASD as soon as possible after they occur or… | 編集 | A.5.5A.6.8 | 同じトピック： 報告 (編集部のおすすめ) |
| ISM-1228 | ML2, ML3 Cyber security events are analysed in a timely manner to identify cyber security incidents | 編集 | A.5.25A.8.16 | 同じトピック： SIEM / SOC, 異常検知 (編集部のおすすめ) |
| ISM-1815 | ML2, ML3 Event logs are protected from unauthorised modification and deletion | 編集 | A.8.15A.8.17 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| ISM-1819 | ML2, ML3 Following the identification of a cyber security incident, the cyber security incident… | 編集 | A.5.24A.5.25A.5.26 | 同じトピック： インシデント対応 (編集部のおすすめ) |
| ISM-1906 | ML2, ML3 Event logs from internet-facing servers are analysed in a timely manner to detect cyber… | 編集 | A.5.25A.8.16 | 同じトピック： SIEM / SOC, 継続的モニタリング (編集部のおすすめ) |
| ISM-1907 | ML3 Event logs from non-internet-facing servers are analysed in a timely manner to detect… | 編集 | A.8.16 | 同じトピック： 継続的モニタリング (編集部のおすすめ) |
ISO/IEC 27001:2022 の要件 123 件のうち、23 件は Essential Eight の何らかの項目にマッピングされ、39 件は緩やかに関連するのみで、61 件は当サイトのデータにマッピングがありません。
新規対応が必要と見込まれる項目: Essential Eight へのマッピングがない ISO 27001 の要件 (61)
| ISO 27001 | 要件 | 一致 | Essential Eight | 証跡 |
|---|---|---|---|---|
| A.5 Organizational controls · 14 | ||||
| A.5.2 | Information security roles and responsibilities | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.5.4 | Management responsibilities | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.5.6 | Contact with special interest groups | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.5.7 | Threat intelligence | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.5.20 | Addressing information security within supplier agreements | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.5.21 | Managing information security in the ICT supply chain | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.5.23 | Information security for use of cloud services | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.5.32 | Intellectual property rights | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.5.33 | Protection of records | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.5.34 | Privacy and protection of PII | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.5.35 | Independent review of information security | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.5.36 | Compliance with policies, rules and standards for information security | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.5.37 | Documented operating procedures | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.6 People controls · 3 | ||||
| A.6.3 | Information security awareness, education and training | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.6.4 | Disciplinary process | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.6.6 | Confidentiality or non-disclosure agreements | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.7.2 | Physical entry | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.7.3 | Securing offices, rooms and facilities | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.7.5 | Protecting against physical and environmental threats | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.7.6 | Working in secure areas | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.7.7 | Clear desk and clear screen | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.7.8 | Equipment siting and protection | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.7.9 | Security of assets off-premises | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.7.11 | Supporting utilities | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.7.12 | Cabling security | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.8 Technological controls · 13 | ||||
| A.8.10 | Information deletion | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.8.11 | Data masking | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.8.12 | Data leakage prevention | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.8.21 | Security of network services | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.8.23 | Web filtering | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.8.25 | Secure development life cycle | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.8.28 | Secure coding | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.8.29 | Security testing in development and acceptance | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.8.30 | Outsourced development | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.8.31 | Separation of development, test and production environments | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.8.32 | Change management | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.8.33 | Test information | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| A.8.34 | Protection of information systems during audit testing | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| ISMS clauses 4–10 · 21 | ||||
| Clause 4.1 | Understanding the organization and its context | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Clause 4.3 | Determining the scope of the ISMS | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Clause 4.4 | Information security management system | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Clause 5.1 | Leadership and commitment | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Clause 5.3 | Organizational roles, responsibilities and authorities | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Clause 6.1.3 | Information security risk treatment | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Clause 6.2 | Information security objectives and planning to achieve them | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Clause 6.3 | Planning of changes | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Clause 7.1 | Resources | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Clause 7.2 | Competence | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Clause 7.3 | Awareness | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Clause 7.5.1 | General | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Clause 7.5.2 | Creating and updating | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Clause 7.5.3 | Control of documented information | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Clause 8.1 | Operational planning and control | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Clause 8.2 | Information security risk assessment | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Clause 8.3 | Information security risk treatment | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Clause 9.2.1 | General | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Clause 9.2.2 | Internal audit programme | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Clause 10.1 | Continual improvement | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Clause 10.2 | Nonconformity and corrective action | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
要確認：関連性は緩やかなもののみ（共通するCSFのアウトカムがあるだけで、マッピングではありません） (39)
| ISO 27001 | 要件 | 一致 | Essential Eight | 証跡 |
|---|---|---|---|---|
| A.5 Organizational controls · 15 | ||||
| A.5.1 | Policies for information security | ISM-0445ISM-1175ISM-1380+5 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| A.5.3 | Segregation of duties | ISM-0445ISM-1175ISM-1380+5 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| A.5.8 | Information security in project management | ISM-1807 | CSF ID.AM-08 のみを共有: 関連はあるがマッピングではありません | |
| A.5.10 | Acceptable use of information and other associated assets | ISM-1488 | CSF PR.DS-02 のみを共有: 関連はあるがマッピングではありません | |
| A.5.12 | Classification of information | ISM-1807 | CSF ID.AM-08 のみを共有: 関連はあるがマッピングではありません | |
| A.5.13 | Labelling of information | ISM-1488ISM-1807 | CSF PR.DS-02, ID.AM-08 のみを共有: 関連はあるがマッピングではありません | |
| A.5.15 | Access control | ISM-0445ISM-0974ISM-1173+5 | CSF PR.AA-05, PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| A.5.16 | Identity management | ISM-0445ISM-0974ISM-1173+5 | CSF PR.AA-05, PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| A.5.17 | Authentication information | ISM-0445ISM-0974ISM-1173+5 | CSF PR.AA-05, PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| A.5.18 | Access rights | ISM-0445ISM-0974ISM-1173+5 | CSF PR.AA-05, PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| A.5.19 | Information security in supplier relationships | ISM-1807 | CSF ID.AM-08 のみを共有: 関連はあるがマッピングではありません | |
| A.5.22 | Monitoring, review and change management of supplier services | ISM-1807 | CSF ID.AM-04, ID.AM-08 のみを共有: 関連はあるがマッピングではありません | |
| A.5.27 | Learning from information security incidents | ISM-1819 | CSF ID.IM-04, RS.MA-01, RS.MA-02 のみを共有: 関連はあるがマッピングではありません | |
| A.5.28 | Collection of evidence | ISM-1819 | CSF RS.MA-01, RS.MA-02 のみを共有: 関連はあるがマッピングではありません | |
| A.5.29 | Information security during disruption | ISM-1515 | CSF PR.IR-03 のみを共有: 関連はあるがマッピングではありません | |
| A.6 People controls · 4 | ||||
| A.6.1 | Screening | ISM-1488 | CSF PR.DS-02 のみを共有: 関連はあるがマッピングではありません | |
| A.6.2 | Terms and conditions of employment | ISM-1488 | CSF PR.DS-02 のみを共有: 関連はあるがマッピングではありません | |
| A.6.5 | Responsibilities after termination or change of employment | ISM-1488 | CSF PR.DS-02 のみを共有: 関連はあるがマッピングではありません | |
| A.6.7 | Remote working | ISM-0445ISM-1175ISM-1380+5 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| A.7 Physical controls · 3 | ||||
| A.7.4 | Physical security monitoring | ISM-0109ISM-1906ISM-1907 | CSF DE.CM-03 のみを共有: 関連はあるがマッピングではありません | |
| A.7.10 | Storage media | ISM-1807 | CSF ID.AM-08 のみを共有: 関連はあるがマッピングではありません | |
| A.7.13 | Equipment maintenance | ISM-1807 | CSF ID.AM-08 のみを共有: 関連はあるがマッピングではありません | |
| A.8 Technological controls · 8 | ||||
| A.8.3 | Information access restriction | ISM-0445ISM-1175ISM-1380+5 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| A.8.4 | Access to source code | ISM-0445ISM-1175ISM-1380+5 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| A.8.6 | Capacity management | ISM-0109ISM-0843ISM-1228+5 | CSF DE.CM-09 のみを共有: 関連はあるがマッピングではありません | |
| A.8.20 | Networks security | ISM-1488 | CSF PR.DS-02 のみを共有: 関連はあるがマッピングではありません | |
| A.8.22 | Segregation of networks | ISM-1488 | CSF PR.DS-02 のみを共有: 関連はあるがマッピングではありません | |
| A.8.24 | Use of cryptography | ISM-1488 | CSF PR.DS-02 のみを共有: 関連はあるがマッピングではありません | |
| A.8.26 | Application security requirements | ISM-1488 | CSF PR.DS-02 のみを共有: 関連はあるがマッピングではありません | |
| A.8.27 | Secure system architecture and engineering principles | ISM-1515 | CSF PR.IR-03 のみを共有: 関連はあるがマッピングではありません | |
| ISMS clauses 4–10 · 9 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | ISM-1488ISM-1515 | CSF PR.DS-02, PR.IR-03 のみを共有: 関連はあるがマッピングではありません | |
| Clause 5.2 | Policy | ISM-1488 | CSF PR.DS-02 のみを共有: 関連はあるがマッピングではありません | |
| Clause 6.1.1 | General | ISM-1515 | CSF PR.IR-03 のみを共有: 関連はあるがマッピングではありません | |
| Clause 6.1.2 | Information security risk assessment | ISM-1698ISM-1699ISM-1701+3 | CSF ID.RA-08 のみを共有: 関連はあるがマッピングではありません | |
| Clause 7.4 | Communication | ISM-0123ISM-0140 | CSF RS.CO-02 のみを共有: 関連はあるがマッピングではありません | |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | ISM-0109ISM-1906ISM-1907 | CSF DE.CM-03 のみを共有: 関連はあるがマッピングではありません | |
| Clause 9.3.1 | General | ISM-1412ISM-1485ISM-1486+5 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| Clause 9.3.2 | Management review inputs | ISM-1412ISM-1485ISM-1486+5 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| Clause 9.3.3 | Management review results | ISM-1412ISM-1485ISM-1486+5 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
マッピング済み (23)
| ISO 27001 | 要件 | 一致 | Essential Eight | 証跡 |
|---|---|---|---|---|
| A.5 Organizational controls · 8 | ||||
| A.5.5 | Contact with authorities | 編集 | ISM-0123ISM-0140 | 同じトピック： 報告 (編集部のおすすめ) |
| A.5.9 | Inventory of information and other associated assets | 編集 | ISM-1807 | 同じトピック： 資産管理 (編集部のおすすめ) |
| A.5.11 | Return of assets | 編集 | ISM-1807 | 同じトピック： 資産管理 (編集部のおすすめ) |
| A.5.14 | Information transfer | 編集 | ISM-1488 | 同じトピック： メールセキュリティ (編集部のおすすめ) |
| A.5.24 | Information security incident management planning and preparation | 編集 | ISM-1819 | 同じトピック： インシデント対応 (編集部のおすすめ) |
| A.5.25 | Assessment and decision on information security events | 編集 | ISM-1228ISM-1819ISM-1906 | 同じトピック： SIEM / SOC, インシデント対応 (編集部のおすすめ) |
| A.5.26 | Response to information security incidents | 編集 | ISM-1819 | 同じトピック： インシデント対応 (編集部のおすすめ) |
| A.5.30 | ICT readiness for business continuity | 編集 | ISM-1515 | 同じトピック： ディザスタリカバリ (編集部のおすすめ) |
| A.6 People controls · 1 | ||||
| A.6.8 | Information security event reporting | 編集 | ISM-0123ISM-0140 | 同じトピック： 報告 (編集部のおすすめ) |
| A.7 Physical controls · 1 | ||||
| A.7.14 | Secure disposal or re-use of equipment | 編集 | ISM-1807 | 同じトピック： 資産管理 (編集部のおすすめ) |
| A.8 Technological controls · 13 | ||||
| A.8.1 | User endpoint devices | 編集 | ISM-0843ISM-1488ISM-1490+3 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| A.8.2 | Privileged access rights | 編集 | ISM-0445ISM-1175ISM-1380+5 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| A.8.5 | Secure authentication | 編集 | ISM-0974ISM-1173ISM-1401+3 | 同じトピック： 多要素認証 (編集部のおすすめ) |
| A.8.7 | Protection against malware | 編集 | ISM-0843ISM-1488ISM-1490+3 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| A.8.8 | Management of technical vulnerabilities | 編集 | ISM-1501ISM-1691ISM-1693+10 | 同じトピック： パッチ管理 (編集部のおすすめ) |
| A.8.9 | Configuration management | 編集 | ISM-1412ISM-1585ISM-1621+3 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| A.8.13 | Information backup | 編集 | ISM-1511ISM-1515ISM-1707+3 | 同じトピック： バックアップと復旧 (編集部のおすすめ) |
| A.8.14 | Redundancy of information processing facilities | 編集 | ISM-1515 | 同じトピック： ディザスタリカバリ (編集部のおすすめ) |
| A.8.15 | Logging | 編集 | ISM-1509ISM-1623ISM-1660+2 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| A.8.16 | Monitoring activities | 編集 | ISM-0109ISM-1228ISM-1906+1 | 同じトピック： 継続的モニタリング, 異常検知, SIEM / SOC (編集部のおすすめ) |
| A.8.17 | Clock synchronization | 編集 | ISM-1509ISM-1623ISM-1660+2 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| A.8.18 | Use of privileged utility programs | 編集 | ISM-0445ISM-1175ISM-1380+5 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| A.8.19 | Installation of software on operational systems | 編集 | ISM-0843ISM-1488ISM-1490+3 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
トピック別
両方でカバー（16）：
資産管理脆弱性管理多要素認証バックアップと復旧特権アクセスエンドポイント保護パッチ管理安全な構成メールセキュリティ継続的モニタリングログ記録と監査異常検知SIEM / SOCインシデント対応報告ディザスタリカバリ
ISO 27001 のみ（34）:
要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。
対応表 公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集 対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. マッピング済み = ControlMapping のトピックで一緒にまとめられているか、直接リンクされている状態。クロスウォークは準拠の証明にはなりません。 方法論 · データをダウンロード · 誤りを報告.