比較
NIST CSF 2.0 対 CIS Controls v8.1：成果と優先順位付きの対策
NIST Cybersecurity Framework 2.0 · CIS Controls v8.1 · データ 2026-10-27
CSF 2.0は達成すべき成果を示し、CIS Critical Security Controls v8.1は優先順位に従って何をすべきかを示します。18のコントロールと153のセーフガードがあり、実装グループ（Implementation Groups）にまとめられています。IG1は「基本的なサイバー衛生（essential cyber hygiene）」と呼ばれ、CISがすべての組織に推奨する最低限の水準です。両者は相互補完的な関係にあり、CISはCSF 2.0へのマッピングを独自に公開しています。
CISからCSFへの対応で最大のギャップはガバナンスです。CIS v8.1は運用面に特化しており、組織の状況、リスク戦略、ポリシー、監督、サプライチェーンリスクのプログラムといった、CSFの統治する（Govern）機能を構成する事項はほとんど扱っていません。以下では、これらのCSFの成果が未一致として表示されます。
CSFからCISへの対応では、すべてのCISセーフガードがCSFで定義されたトピックに対応付けられますが、根拠については明確にしておく必要があります。NISTのカタログにあるCIS自身が公開した対応表（Crosswalk）が対応付けているのは、153のセーフガードのうち49件のみです。残りはControlMappingが判断に基づいて配置し、それぞれに理由を付しています（「編集」と表示）。CISはダウンロードフォームの背後により詳細なマッピングを公開しています。編集による関連付けに頼る前に、それと照合してください。
よくあるパターンは、ガバナンスと報告にはCSFを使い、その下の技術的な実装計画としてCIS IG1–IG2を使うことです。
要点
- 小規模な組織の場合：まずCIS IG1を実装し、その後にCSFの用語で説明してください。
- CIS → CSF：統治する（Govern）機能を追加（リスク戦略、ポリシー、役割、監督、サプライチェーン）
- CSF → CIS：セーフガードを具体的なバックログとして活用し、未一致の項目はCIS自身のマッピングで確認してください。
CIS Controls v8.1 の要件 153 件のうち、153 件は NIST CSF 2.0 の何らかの項目にマッピングされ、0 件は緩やかに関連するのみで、0 件は当サイトのデータにマッピングがありません。
CIS独自の公開クロスウォークは153のセーフガードのうち49件を対象としています。残りはControlMappingが編集によりマッピングしており、それぞれに理由を記載しています。そのため、依拠する前にこれらのリンクを確認してください。
マッピング済み (153)
| CIS v8.1 | 要件 | 一致 | NIST CSF 2.0 | 証跡 |
|---|---|---|---|---|
| 1. Inventory and Control of Enterprise Assets · 5 | ||||
| CIS 1.1 | Establish and Maintain Detailed Enterprise Asset Inventory | 対応表 | ID.AM-01ID.AM-02ID.AM-04+1 | 同じトピック： 資産管理 |
| CIS 1.2 | Address Unauthorized Assets | 編集 | ID.AM-01ID.AM-02ID.AM-04+1 | 同じトピック： 資産管理 (編集部のおすすめ) |
| CIS 1.3 | Utilize an Active Discovery Tool | 編集 | ID.AM-01ID.AM-02ID.AM-04+1 | 同じトピック： 資産管理 (編集部のおすすめ) |
| CIS 1.4 | Use Dynamic Host Configuration Protocol (DHCP) Logging to Update Enterprise Asset Inventory | 編集 | ID.AM-01ID.AM-02ID.AM-04+1 | 同じトピック： 資産管理 (編集部のおすすめ) |
| CIS 1.5 | Use a Passive Asset Discovery Tool | 編集 | ID.AM-01ID.AM-02ID.AM-04+1 | 同じトピック： 資産管理 (編集部のおすすめ) |
| 2. Inventory and Control of Software Assets · 7 | ||||
| CIS 2.1 | Establish and Maintain a Software Inventory | 対応表 | ID.AM-01ID.AM-02ID.AM-04+1 | 同じトピック： 資産管理 |
| CIS 2.2 | Ensure Authorized Software is Currently Supported | 対応表 | PR.PS-02 | 同じトピック： パッチ管理 |
| CIS 2.3 | Address Unauthorized Software | 編集 | ID.AM-01ID.AM-02ID.AM-04+1 | 同じトピック： 資産管理 (編集部のおすすめ) |
| CIS 2.4 | Utilize Automated Software Inventory Tools | 編集 | ID.AM-01ID.AM-02ID.AM-04+1 | 同じトピック： 資産管理 (編集部のおすすめ) |
| CIS 2.5 | Allowlist Authorized Software | 対応表 | DE.CM-09PR.PS-05 | 同じトピック： エンドポイント保護 |
| CIS 2.6 | Allowlist Authorized Libraries | 編集 | DE.CM-09PR.PS-05 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| CIS 2.7 | Allowlist Authorized Scripts | 編集 | DE.CM-09PR.PS-05 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| 3. Data Protection · 14 | ||||
| CIS 3.1 | Establish and Maintain a Data Management Process | 編集 | PR.DS-01PR.DS-02PR.DS-10 | 同じトピック： データ保護 (編集部のおすすめ) |
| CIS 3.2 | Establish and Maintain a Data Inventory | 対応表 | ID.AM-05ID.AM-07 | 同じトピック： データ分類 |
| CIS 3.3 | Configure Data Access Control Lists | 対応表 | PR.AA-01PR.AA-05 | 同じトピック： アクセス制御 |
| CIS 3.4 | Enforce Data Retention | 編集 | PR.DS-01PR.DS-02PR.DS-10 | 同じトピック： データ保護 (編集部のおすすめ) |
| CIS 3.5 | Securely Dispose of Data | 編集 | PR.DS-01PR.DS-02PR.DS-10 | 同じトピック： データ保護 (編集部のおすすめ) |
| CIS 3.6 | Encrypt Data on End-User Devices | 編集 | PR.DS-01PR.DS-02 | 同じトピック： 暗号化 (編集部のおすすめ) |
| CIS 3.7 | Establish and Maintain a Data Classification Scheme | 対応表 | ID.AM-05ID.AM-07 | 同じトピック： データ分類 |
| CIS 3.8 | Document Data Flows | 編集 | ID.AM-05ID.AM-07 | 同じトピック： データ分類 (編集部のおすすめ) |
| CIS 3.9 | Encrypt Data on Removable Media | 編集 | PR.DS-01PR.DS-02 | 同じトピック： 暗号化 (編集部のおすすめ) |
| CIS 3.10 | Encrypt Sensitive Data in Transit | 対応表 | PR.DS-01PR.DS-02 | 同じトピック： 暗号化 |
| CIS 3.11 | Encrypt Sensitive Data at Rest | 対応表 | PR.DS-01PR.DS-02PR.DS-10 | 同じトピック： 暗号化, データ保護 |
| CIS 3.12 | Segment Data Processing and Storage Based on Sensitivity | 編集 | PR.DS-01PR.DS-02PR.DS-10 | 同じトピック： データ保護 (編集部のおすすめ) |
| CIS 3.13 | Deploy a Data Loss Prevention Solution | 編集 | PR.DS-01PR.DS-02PR.DS-10 | 同じトピック： DLP (編集部のおすすめ) |
| CIS 3.14 | Log Sensitive Data Access | 編集 | DE.AE-03PR.PS-04 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| 4. Secure Configuration of Enterprise Assets and Software · 12 | ||||
| CIS 4.1 | Establish and Maintain a Secure Configuration Process | 対応表 | PR.PS-01 | 同じトピック： 安全な構成 |
| CIS 4.2 | Establish and Maintain a Secure Configuration Process for Network Infrastructure | 対応表 | PR.PS-01 | 同じトピック： 安全な構成 |
| CIS 4.3 | Configure Automatic Session Locking on Enterprise Assets | 編集 | PR.PS-01 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| CIS 4.4 | Implement and Manage a Firewall on Servers | 編集 | ID.AM-03PR.IR-01 | 同じトピック： ファイアウォール / ネットワークセグメンテーション (編集部のおすすめ) |
| CIS 4.5 | Implement and Manage a Firewall on End-User Devices | 編集 | ID.AM-03PR.IR-01 | 同じトピック： ファイアウォール / ネットワークセグメンテーション (編集部のおすすめ) |
| CIS 4.6 | Securely Manage Enterprise Assets and Software | 編集 | PR.PS-01 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| CIS 4.7 | Manage Default Accounts on Enterprise Assets and Software | 編集 | PR.PS-01 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| CIS 4.8 | Uninstall or Disable Unnecessary Services on Enterprise Assets and Software | 編集 | PR.PS-01 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| CIS 4.9 | Configure Trusted DNS Servers on Enterprise Assets | 編集 | DE.CM-01PR.IR-01 | 同じトピック： DNSセキュリティ (編集部のおすすめ) |
| CIS 4.10 | Enforce Automatic Device Lockout on Portable End-User Devices | 編集 | PR.AA-05PR.PS-01 | 同じトピック： モバイルセキュリティ (編集部のおすすめ) |
| CIS 4.11 | Enforce Remote Wipe Capability on Portable End-User Devices | 編集 | PR.AA-05PR.PS-01 | 同じトピック： モバイルセキュリティ (編集部のおすすめ) |
| CIS 4.12 | Separate Enterprise Workspaces on Mobile End-User Devices | 編集 | PR.AA-05PR.PS-01 | 同じトピック： モバイルセキュリティ (編集部のおすすめ) |
| 5. Account Management · 6 | ||||
| CIS 5.1 | Establish and Maintain an Inventory of Accounts | 対応表 | PR.AA-01PR.AA-05 | 同じトピック： アクセス制御 |
| CIS 5.2 | Use Unique Passwords | 編集 | PR.AA-01PR.AA-05 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| CIS 5.3 | Disable Dormant Accounts | 編集 | PR.AA-01PR.AA-05 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| CIS 5.4 | Restrict Administrator Privileges to Dedicated Administrator Accounts | 編集 | PR.AA-05 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| CIS 5.5 | Establish and Maintain an Inventory of Service Accounts | 編集 | PR.AA-01PR.AA-05 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| CIS 5.6 | Centralize Account Management | 対応表 | PR.AA-01PR.AA-05 | 同じトピック： アクセス制御 |
| 6. Access Control Management · 8 | ||||
| CIS 6.1 | Establish an Access Granting Process | 編集 | PR.AA-01PR.AA-05 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| CIS 6.2 | Establish an Access Revoking Process | 編集 | PR.AA-01PR.AA-05 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| CIS 6.3 | Require MFA for Externally-Exposed Applications | 編集 | PR.AA-03 | 同じトピック： 多要素認証 (編集部のおすすめ) |
| CIS 6.4 | Require MFA for Remote Network Access | 編集 | PR.AA-03 | 同じトピック： 多要素認証 (編集部のおすすめ) |
| CIS 6.5 | Require MFA for Administrative Access | 編集 | PR.AA-03 | 同じトピック： 多要素認証 (編集部のおすすめ) |
| CIS 6.6 | Establish and Maintain an Inventory of Authentication and Authorization Systems | 編集 | PR.AA-01PR.AA-05 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| CIS 6.7 | Centralize Access Control | 対応表 | PR.AA-01PR.AA-05 | 同じトピック： アクセス制御 |
| CIS 6.8 | Define and Maintain Role-Based Access Control | 対応表 | PR.AA-01PR.AA-03PR.AA-04+2 | 同じトピック： アクセス制御, ゼロトラスト |
| 7. Continuous Vulnerability Management · 7 | ||||
| CIS 7.1 | Establish and Maintain a Vulnerability Management Process | 対応表 | ID.RA-01ID.RA-08 | 同じトピック： 脆弱性管理 |
| CIS 7.2 | Establish and Maintain a Remediation Process | 対応表 | ID.RA-01ID.RA-08 | 同じトピック： 脆弱性管理 |
| CIS 7.3 | Perform Automated Operating System Patch Management | 編集 | PR.PS-02 | 同じトピック： パッチ管理 (編集部のおすすめ) |
| CIS 7.4 | Perform Automated Application Patch Management | 編集 | PR.PS-02 | 同じトピック： パッチ管理 (編集部のおすすめ) |
| CIS 7.5 | Perform Automated Vulnerability Scans of Internal Enterprise Assets | 編集 | ID.RA-01ID.RA-08 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| CIS 7.6 | Perform Automated Vulnerability Scans of Externally-Exposed Enterprise Assets | 編集 | ID.RA-01ID.RA-08 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| CIS 7.7 | Remediate Detected Vulnerabilities | 編集 | ID.RA-01ID.RA-08 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| 8. Audit Log Management · 12 | ||||
| CIS 8.1 | Establish and Maintain an Audit Log Management Process | 編集 | DE.AE-03PR.PS-04 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| CIS 8.2 | Collect Audit Logs | 対応表 | DE.AE-03PR.PS-04 | 同じトピック： ログ記録と監査 |
| CIS 8.3 | Ensure Adequate Audit Log Storage | 編集 | DE.AE-03PR.PS-04 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| CIS 8.4 | Standardize Time Synchronization | 編集 | DE.AE-03PR.PS-04 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| CIS 8.5 | Collect Detailed Audit Logs | 編集 | DE.AE-03PR.PS-04 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| CIS 8.6 | Collect DNS Query Audit Logs | 編集 | DE.CM-01PR.IR-01 | 同じトピック： DNSセキュリティ (編集部のおすすめ) |
| CIS 8.7 | Collect URL Request Audit Logs | 編集 | DE.AE-03PR.PS-04 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| CIS 8.8 | Collect Command-Line Audit Logs | 編集 | DE.AE-03PR.PS-04 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| CIS 8.9 | Centralize Audit Logs | 編集 | DE.AE-03DE.AE-06DE.AE-08 | 同じトピック： SIEM / SOC (編集部のおすすめ) |
| CIS 8.10 | Retain Audit Logs | 編集 | DE.AE-03PR.PS-04 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| CIS 8.11 | Conduct Audit Log Reviews | 対応表 | DE.AE-02DE.AE-04DE.CM-09 | 同じトピック： 異常検知 |
| CIS 8.12 | Collect Service Provider Logs | 編集 | DE.AE-03PR.PS-04 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| 9. Email and Web Browser Protections · 7 | ||||
| CIS 9.1 | Ensure Use of Only Fully Supported Browsers and Email Clients | 編集 | DE.CM-09PR.DS-02 | 同じトピック： メールセキュリティ (編集部のおすすめ) |
| CIS 9.2 | Use DNS Filtering Services | 編集 | DE.CM-01PR.IR-01 | 同じトピック： DNSセキュリティ (編集部のおすすめ) |
| CIS 9.3 | Maintain and Enforce Network-Based URL Filters | 編集 | PR.IR-01PR.PS-06 | 同じトピック： Web セキュリティ (編集部のおすすめ) |
| CIS 9.4 | Restrict Unnecessary or Unauthorized Browser and Email Client Extensions | 編集 | DE.CM-09PR.DS-02 | 同じトピック： メールセキュリティ (編集部のおすすめ) |
| CIS 9.5 | Implement DMARC | 編集 | DE.CM-09PR.DS-02 | 同じトピック： メールセキュリティ (編集部のおすすめ) |
| CIS 9.6 | Block Unnecessary File Types | 編集 | DE.CM-09PR.DS-02 | 同じトピック： メールセキュリティ (編集部のおすすめ) |
| CIS 9.7 | Deploy and Maintain Email Server Anti-Malware Protections | 編集 | DE.CM-09PR.DS-02 | 同じトピック： メールセキュリティ (編集部のおすすめ) |
| 10. Malware Defenses · 7 | ||||
| CIS 10.1 | Deploy and Maintain Anti-Malware Software | 対応表 | DE.CM-09PR.PS-05 | 同じトピック： エンドポイント保護 |
| CIS 10.2 | Configure Automatic Anti-Malware Signature Updates | 編集 | DE.CM-09PR.PS-05 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| CIS 10.3 | Disable Autorun and Autoplay for Removable Media | 編集 | DE.CM-09PR.PS-05 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| CIS 10.4 | Configure Automatic Anti-Malware Scanning of Removable Media | 編集 | DE.CM-09PR.PS-05 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| CIS 10.5 | Enable Anti-Exploitation Features | 編集 | DE.CM-09PR.PS-05 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| CIS 10.6 | Centrally Manage Anti-Malware Software | 編集 | DE.CM-09PR.PS-05 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| CIS 10.7 | Use Behavior-Based Anti-Malware Software | 編集 | DE.CM-09PR.PS-05 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| 11. Data Recovery · 5 | ||||
| CIS 11.1 | Establish and Maintain a Data Recovery Process | 編集 | ID.IM-04PR.IR-03RC.RP-01+2 | 同じトピック： 復旧計画, ディザスタリカバリ (編集部のおすすめ) |
| CIS 11.2 | Perform Automated Backups | 対応表 | PR.DS-11RC.RP-03 | 同じトピック： バックアップと復旧 |
| CIS 11.3 | Protect Recovery Data | 対応表 | PR.DS-11RC.RP-03 | 同じトピック： バックアップと復旧 |
| CIS 11.4 | Establish and Maintain an Isolated Instance of Recovery Data | 編集 | PR.DS-11RC.RP-03 | 同じトピック： バックアップと復旧 (編集部のおすすめ) |
| CIS 11.5 | Test Data Recovery | 対応表 | PR.DS-11RC.RP-03 | 同じトピック： バックアップと復旧 |
| 12. Network Infrastructure Management · 8 | ||||
| CIS 12.1 | Ensure Network Infrastructure is Up-to-Date | 編集 | PR.PS-02 | 同じトピック： パッチ管理 (編集部のおすすめ) |
| CIS 12.2 | Establish and Maintain a Secure Network Architecture | 対応表 | ID.AM-03PR.AA-03PR.AA-04+2 | 同じトピック： ファイアウォール / ネットワークセグメンテーション, ゼロトラスト |
| CIS 12.3 | Securely Manage Network Infrastructure | 編集 | ID.AM-03PR.IR-01 | 同じトピック： ファイアウォール / ネットワークセグメンテーション (編集部のおすすめ) |
| CIS 12.4 | Establish and Maintain Architecture Diagram(s) | 編集 | ID.AM-03PR.IR-01 | 同じトピック： ファイアウォール / ネットワークセグメンテーション (編集部のおすすめ) |
| CIS 12.5 | Centralize Network Authentication, Authorization, and Auditing (AAA) | 編集 | PR.AA-01PR.AA-05 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| CIS 12.6 | Use of Secure Network Management and Communication Protocols | 編集 | ID.AM-03PR.IR-01 | 同じトピック： ファイアウォール / ネットワークセグメンテーション (編集部のおすすめ) |
| CIS 12.7 | Ensure Remote Devices Utilize a VPN and are Connecting to an Enterprise's AAA Infrastructure | 編集 | PR.AA-03PR.AA-04PR.AA-05+1 | 同じトピック： ゼロトラスト (編集部のおすすめ) |
| CIS 12.8 | Establish and Maintain Dedicated Computing Resources for All Administrative Work | 編集 | PR.AA-05 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| 13. Network Monitoring and Defense · 11 | ||||
| CIS 13.1 | Centralize Security Event Alerting | 対応表 | DE.CM-01DE.CM-03DE.CM-09+3 | 同じトピック： 継続的モニタリング |
| CIS 13.2 | Deploy a Host-Based Intrusion Detection Solution | 編集 | DE.AE-02DE.CM-01 | 同じトピック： 侵入検知 (編集部のおすすめ) |
| CIS 13.3 | Deploy a Network Intrusion Detection Solution | 編集 | DE.AE-02DE.CM-01 | 同じトピック： 侵入検知 (編集部のおすすめ) |
| CIS 13.4 | Perform Traffic Filtering Between Network Segments | 編集 | ID.AM-03PR.IR-01 | 同じトピック： ファイアウォール / ネットワークセグメンテーション (編集部のおすすめ) |
| CIS 13.5 | Manage Access Control for Remote Assets | 編集 | PR.AA-03PR.AA-04PR.AA-05+1 | 同じトピック： ゼロトラスト (編集部のおすすめ) |
| CIS 13.6 | Collect Network Traffic Flow Logs | 編集 | DE.CM-01DE.CM-03DE.CM-09 | 同じトピック： 継続的モニタリング (編集部のおすすめ) |
| CIS 13.7 | Deploy a Host-Based Intrusion Prevention Solution | 編集 | DE.AE-02DE.CM-01 | 同じトピック： 侵入検知 (編集部のおすすめ) |
| CIS 13.8 | Deploy a Network Intrusion Prevention Solution | 編集 | DE.AE-02DE.CM-01 | 同じトピック： 侵入検知 (編集部のおすすめ) |
| CIS 13.9 | Deploy Port-Level Access Control | 編集 | ID.AM-03PR.IR-01 | 同じトピック： ファイアウォール / ネットワークセグメンテーション (編集部のおすすめ) |
| CIS 13.10 | Perform Application Layer Filtering | 編集 | DE.CM-01PR.IR-01PR.PS-06 | 同じトピック： WAF, Web セキュリティ (編集部のおすすめ) |
| CIS 13.11 | Tune Security Event Alerting Thresholds | 編集 | DE.AE-03DE.AE-06DE.AE-08 | 同じトピック： SIEM / SOC (編集部のおすすめ) |
| 14. Security Awareness and Skills Training · 9 | ||||
| CIS 14.1 | Establish and Maintain a Security Awareness Program | 対応表 | PR.AT-01PR.AT-02 | 同じトピック： 意識向上とトレーニング |
| CIS 14.2 | Train Workforce Members to Recognize Social Engineering Attacks | 編集 | PR.AT-01PR.AT-02 | 同じトピック： 意識向上とトレーニング (編集部のおすすめ) |
| CIS 14.3 | Train Workforce Members on Authentication Best Practices | 編集 | PR.AT-01PR.AT-02 | 同じトピック： 意識向上とトレーニング (編集部のおすすめ) |
| CIS 14.4 | Train Workforce on Data Handling Best Practices | 編集 | PR.AT-01PR.AT-02 | 同じトピック： 意識向上とトレーニング (編集部のおすすめ) |
| CIS 14.5 | Train Workforce Members on Causes of Unintentional Data Exposure | 編集 | PR.AT-01PR.AT-02 | 同じトピック： 意識向上とトレーニング (編集部のおすすめ) |
| CIS 14.6 | Train Workforce Members on Recognizing and Reporting Security Incidents | 編集 | PR.AT-01PR.AT-02 | 同じトピック： 意識向上とトレーニング (編集部のおすすめ) |
| CIS 14.7 | Train Workforce on How to Identify and Report if Their Enterprise Assets are Missing Security Updates | 編集 | PR.AT-01PR.AT-02 | 同じトピック： 意識向上とトレーニング (編集部のおすすめ) |
| CIS 14.8 | Train Workforce on the Dangers of Connecting to and Transmitting Enterprise Data Over Insecure Networks | 編集 | PR.AT-01PR.AT-02 | 同じトピック： 意識向上とトレーニング (編集部のおすすめ) |
| CIS 14.9 | Conduct Role-Specific Security Awareness and Skills Training | 対応表 | PR.AT-01PR.AT-02 | 同じトピック： 意識向上とトレーニング |
| 15. Service Provider Management · 7 | ||||
| CIS 15.1 | Establish and Maintain an Inventory of Service Providers | 対応表 | DE.CM-06GV.SC-04GV.SC-06+5 | 同じトピック： ベンダーリスク管理 |
| CIS 15.2 | Establish and Maintain a Service Provider Management Policy | 対応表 | GV.SC-01GV.SC-03GV.SC-05+2 | 同じトピック： サプライチェーンリスク |
| CIS 15.3 | Classify Service Providers | 対応表 | DE.CM-06GV.SC-04GV.SC-06+2 | 同じトピック： ベンダーリスク管理 |
| CIS 15.4 | Ensure Service Provider Contracts Include Security Requirements | 編集 | DE.CM-06GV.SC-04GV.SC-06+2 | 同じトピック： ベンダーリスク管理 (編集部のおすすめ) |
| CIS 15.5 | Assess Service Providers | 対応表 | DE.CM-06GV.SC-04GV.SC-06+2 | 同じトピック： ベンダーリスク管理 |
| CIS 15.6 | Monitor Service Providers | 対応表 | DE.CM-06GV.SC-04GV.SC-06+2 | 同じトピック： ベンダーリスク管理 |
| CIS 15.7 | Securely Decommission Service Providers | 編集 | DE.CM-06GV.SC-04GV.SC-06+2 | 同じトピック： ベンダーリスク管理 (編集部のおすすめ) |
| 16. Application Software Security · 14 | ||||
| CIS 16.1 | Establish and Maintain a Secure Application Development Process | 対応表 | PR.PS-06 | 同じトピック： セキュア開発 |
| CIS 16.2 | Establish and Maintain a Process to Accept and Address Software Vulnerabilities | 編集 | PR.PS-06 | 同じトピック： セキュア開発 (編集部のおすすめ) |
| CIS 16.3 | Perform Root Cause Analysis on Security Vulnerabilities | 編集 | PR.PS-06 | 同じトピック： セキュア開発 (編集部のおすすめ) |
| CIS 16.4 | Establish and Manage an Inventory of Third-Party Software Components | 編集 | ID.AM-01ID.AM-02ID.AM-04+1 | 同じトピック： 資産管理 (編集部のおすすめ) |
| CIS 16.5 | Use Up-to-Date and Trusted Third-Party Software Components | 編集 | PR.PS-06 | 同じトピック： セキュア開発 (編集部のおすすめ) |
| CIS 16.6 | Establish and Maintain a Severity Rating System and Process for Application Vulnerabilities | 編集 | ID.RA-01ID.RA-08 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| CIS 16.7 | Use Standard Hardening Configuration Templates for Application Infrastructure | 編集 | PR.PS-01 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| CIS 16.8 | Separate Production and Non-Production Systems | 編集 | PR.PS-06 | 同じトピック： セキュア開発 (編集部のおすすめ) |
| CIS 16.9 | Train Developers in Application Security Concepts and Secure Coding | 編集 | PR.PS-06 | 同じトピック： セキュア開発 (編集部のおすすめ) |
| CIS 16.10 | Apply Secure Design Principles in Application Architectures | 編集 | PR.AA-03PR.IR-01PR.PS-06 | 同じトピック： API セキュリティ, Web セキュリティ (編集部のおすすめ) |
| CIS 16.11 | Leverage Vetted Modules or Services for Application Security Components | 編集 | PR.PS-06 | 同じトピック： セキュア開発 (編集部のおすすめ) |
| CIS 16.12 | Implement Code-Level Security Checks | 編集 | PR.AA-03PR.IR-01PR.PS-06 | 同じトピック： API セキュリティ, セキュア開発 (編集部のおすすめ) |
| CIS 16.13 | Conduct Application Penetration Testing | 編集 | PR.PS-06 | 同じトピック： セキュア開発 (編集部のおすすめ) |
| CIS 16.14 | Conduct Threat Modeling | 編集 | PR.PS-06 | 同じトピック： セキュア開発 (編集部のおすすめ) |
| 17. Incident Response Management · 9 | ||||
| CIS 17.1 | Designate Personnel to Manage Incident Handling | 編集 | ID.IM-04RS.MA-01RS.MA-02+2 | 同じトピック： インシデント対応 (編集部のおすすめ) |
| CIS 17.2 | Establish and Maintain Contact Information for Reporting Security Incidents | 対応表 | RS.CO-03 | 同じトピック： コミュニケーション |
| CIS 17.3 | Establish and Maintain an Enterprise Process for Reporting Incidents | 編集 | RS.CO-02 | 同じトピック： 報告 (編集部のおすすめ) |
| CIS 17.4 | Establish and Maintain an Incident Response Process | 対応表 | ID.IM-04RS.MA-01RS.MA-02+2 | 同じトピック： インシデント対応 |
| CIS 17.5 | Assign Key Roles and Responsibilities | 編集 | ID.IM-04RS.MA-01RS.MA-02+2 | 同じトピック： インシデント対応 (編集部のおすすめ) |
| CIS 17.6 | Define Mechanisms for Communicating During Incident Response | 対応表 | RC.CO-03RC.CO-04RC.RP-05+1 | 同じトピック： 連絡と復旧 |
| CIS 17.7 | Conduct Routine Incident Response Exercises | 編集 | ID.IM-04RS.MA-01RS.MA-02+2 | 同じトピック： インシデント対応 (編集部のおすすめ) |
| CIS 17.8 | Conduct Post-Incident Reviews | 編集 | ID.IM-03RC.RP-06 | 同じトピック： 教訓の反映 (編集部のおすすめ) |
| CIS 17.9 | Establish and Maintain Security Incident Thresholds | 編集 | ID.IM-04RS.MA-01RS.MA-02+2 | 同じトピック： インシデント対応 (編集部のおすすめ) |
| 18. Penetration Testing · 5 | ||||
| CIS 18.1 | Establish and Maintain a Penetration Testing Program | 編集 | ID.RA-01ID.RA-08 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| CIS 18.2 | Perform Periodic External Penetration Tests | 編集 | ID.RA-01ID.RA-08 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| CIS 18.3 | Remediate Penetration Test Findings | 編集 | ID.RA-01ID.RA-08 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| CIS 18.4 | Validate Security Measures | 編集 | ID.RA-01ID.RA-08 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| CIS 18.5 | Perform Periodic Internal Penetration Tests | 編集 | ID.RA-01ID.RA-08 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
NIST Cybersecurity Framework 2.0 の要件 106 件のうち、59 件は CIS v8.1 の何らかの項目にマッピングされ、9 件は緩やかに関連するのみで、38 件は当サイトのデータにマッピングがありません。
新規対応が必要と見込まれる項目: CIS v8.1 へのマッピングがない NIST CSF 2.0 の要件 (38)
| NIST CSF 2.0 | 要件 | 一致 | CIS v8.1 | 証跡 |
|---|---|---|---|---|
| Detect (DE) · 2 | ||||
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| Govern (GV) · 18 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| Identify (ID) · 8 | ||||
| ID.IM-01 | Improvements are identified from evaluations | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| Protect (PR) · 4 | ||||
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| Recover (RC) · 1 | ||||
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| Respond (RS) · 5 | ||||
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| RS.AN-08 | An incident's magnitude is estimated and validated | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| RS.MI-01 | Incidents are contained | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| RS.MI-02 | Incidents are eradicated | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
要確認：関連性は緩やかなもののみ（共通するCSFのアウトカムがあるだけで、マッピングではありません） (9)
| NIST CSF 2.0 | 要件 | 一致 | CIS v8.1 | 証跡 |
|---|---|---|---|---|
| Govern (GV) · 6 | ||||
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | CIS 14.1 | CSF GV.RR-01 のみを共有: 関連はあるがマッピングではありません | |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | CIS 14.9 | CSF GV.RR-02 のみを共有: 関連はあるがマッピングではありません | |
| GV.RR-04 | Cybersecurity is included in human resources practices | CIS 6.1CIS 6.2 | CSF GV.RR-04 のみを共有: 関連はあるがマッピングではありません | |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | CIS 15.4 | CSF GV.SC-02 のみを共有: 関連はあるがマッピングではありません | |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | CIS 15.4 | CSF GV.SC-08 のみを共有: 関連はあるがマッピングではありません | |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | CIS 15.7 | CSF GV.SC-10 のみを共有: 関連はあるがマッピングではありません | |
| Protect (PR) · 1 | ||||
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | CIS 1.2 | CSF PR.PS-03 のみを共有: 関連はあるがマッピングではありません | |
| Respond (RS) · 2 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | CIS 17.8 | CSF RS.AN-03 のみを共有: 関連はあるがマッピングではありません | |
| RS.MA-05 | The criteria for initiating incident recovery are applied | CIS 17.9 | CSF RS.MA-05 のみを共有: 関連はあるがマッピングではありません | |
マッピング済み (59)
| NIST CSF 2.0 | 要件 | 一致 | CIS v8.1 | 証跡 |
|---|---|---|---|---|
| Detect (DE) · 9 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | 対応表 | CIS 8.11CIS 13.2CIS 13.3+2 | 同じトピック： 異常検知, 侵入検知 |
| DE.AE-03 | Information is correlated from multiple sources | 対応表 | CIS 8.2CIS 3.14CIS 8.1+10 | 同じトピック： ログ記録と監査 |
| DE.AE-04 | The estimated impact and scope of adverse events are understood | 対応表 | CIS 8.11 | 同じトピック： 異常検知 |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | 編集 | CIS 8.9CIS 13.1CIS 13.11 | 同じトピック： SIEM / SOC (編集部のおすすめ) |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | 編集 | CIS 8.9CIS 13.1CIS 13.11 | 同じトピック： SIEM / SOC (編集部のおすすめ) |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | 対応表 | CIS 13.1CIS 4.9CIS 8.6+7 | 同じトピック： 継続的モニタリング, DNSセキュリティ |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | 対応表 | CIS 13.1CIS 13.6 | 同じトピック： 継続的モニタリング |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | 対応表 | CIS 15.1CIS 15.3CIS 15.5+3 | 同じトピック： ベンダーリスク管理 |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | 対応表 | CIS 2.5CIS 8.11CIS 10.1+15 | 同じトピック： エンドポイント保護, 異常検知 |
| Govern (GV) · 7 | ||||
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | 対応表 | CIS 15.2 | 同じトピック： サプライチェーンリスク |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | 対応表 | CIS 15.2 | 同じトピック： サプライチェーンリスク |
| GV.SC-04 | Suppliers are known and prioritized by criticality | 対応表 | CIS 15.1CIS 15.3CIS 15.5+3 | 同じトピック： ベンダーリスク管理 |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | 対応表 | CIS 15.2 | 同じトピック： サプライチェーンリスク |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | 対応表 | CIS 15.1CIS 15.3CIS 15.5+3 | 同じトピック： ベンダーリスク管理 |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | 対応表 | CIS 15.1CIS 15.3CIS 15.5+3 | 同じトピック： ベンダーリスク管理 |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | 対応表 | CIS 15.2 | 同じトピック： サプライチェーンリスク |
| Identify (ID) · 13 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | 対応表 | CIS 1.1CIS 2.1CIS 1.2+6 | 同じトピック： 資産管理 |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | 対応表 | CIS 1.1CIS 2.1CIS 1.2+6 | 同じトピック： 資産管理 |
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | 対応表 | CIS 12.2CIS 4.4CIS 4.5+5 | 同じトピック： ファイアウォール / ネットワークセグメンテーション |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | 対応表 | CIS 1.1CIS 2.1CIS 15.1+7 | 同じトピック： 資産管理, クラウドセキュリティ |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | 対応表 | CIS 3.2CIS 3.7CIS 3.8 | 同じトピック： データ分類 |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | 対応表 | CIS 3.2CIS 3.7CIS 3.8 | 同じトピック： データ分類 |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | 対応表 | CIS 1.1CIS 2.1CIS 1.2+6 | 同じトピック： 資産管理 |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | 編集 | CIS 17.8 | 同じトピック： 教訓の反映 (編集部のおすすめ) |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | 対応表 | CIS 17.4CIS 11.1CIS 17.1+3 | 同じトピック： インシデント対応, 復旧計画 |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | 対応表 | CIS 7.1CIS 7.2CIS 7.5+8 | 同じトピック： 脆弱性管理 |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | 対応表 | CIS 7.1CIS 7.2CIS 7.5+8 | 同じトピック： 脆弱性管理 |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | 対応表 | CIS 15.2 | 同じトピック： サプライチェーンリスク |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | 対応表 | CIS 15.1CIS 15.3CIS 15.5+3 | 同じトピック： ベンダーリスク管理 |
| Protect (PR) · 17 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | 対応表 | CIS 3.3CIS 5.1CIS 5.6+9 | 同じトピック： アクセス制御 |
| PR.AA-03 | Users, services, and hardware are authenticated | 対応表 | CIS 6.8CIS 12.2CIS 6.3+6 | 同じトピック： ゼロトラスト, 多要素認証 |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | 対応表 | CIS 6.8CIS 12.2CIS 12.7+1 | 同じトピック： ゼロトラスト |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | 対応表 | CIS 3.3CIS 5.1CIS 5.6+17 | 同じトピック： アクセス制御 |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | 対応表 | CIS 14.1CIS 14.9CIS 14.2+6 | 同じトピック： 意識向上とトレーニング |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | 対応表 | CIS 14.1CIS 14.9CIS 14.2+6 | 同じトピック： 意識向上とトレーニング |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | 対応表 | CIS 3.10CIS 3.11CIS 3.1+6 | 同じトピック： 暗号化, データ保護 |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | 対応表 | CIS 3.10CIS 3.11CIS 3.1+11 | 同じトピック： 暗号化, データ保護 |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | 対応表 | CIS 3.11CIS 3.1CIS 3.4+3 | 同じトピック： データ保護 |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | 対応表 | CIS 11.2CIS 11.3CIS 11.5+1 | 同じトピック： バックアップと復旧 |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | 対応表 | CIS 6.8CIS 12.2CIS 15.1+16 | 同じトピック： ゼロトラスト, ファイアウォール / ネットワークセグメンテーション, クラウドセキュリティ |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | 編集 | CIS 11.1 | 同じトピック： ディザスタリカバリ (編集部のおすすめ) |
| PR.PS-01 | Configuration management practices are established and applied | 対応表 | CIS 4.1CIS 4.2CIS 15.1+8 | 同じトピック： 安全な構成, クラウドセキュリティ |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | 対応表 | CIS 2.2CIS 7.3CIS 7.4+1 | 同じトピック： パッチ管理 |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | 対応表 | CIS 8.2CIS 3.14CIS 8.1+7 | 同じトピック： ログ記録と監査 |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | 対応表 | CIS 2.5CIS 10.1CIS 2.6+7 | 同じトピック： エンドポイント保護 |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | 対応表 | CIS 16.1CIS 9.3CIS 13.10+10 | 同じトピック： セキュア開発, Web セキュリティ |
| Recover (RC) · 7 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | 対応表 | CIS 17.6 | 同じトピック： 連絡と復旧 |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | 対応表 | CIS 17.6 | 同じトピック： 連絡と復旧 |
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | 編集 | CIS 11.1 | 同じトピック： 復旧計画 (編集部のおすすめ) |
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | 編集 | CIS 11.1 | 同じトピック： 復旧計画, ディザスタリカバリ (編集部のおすすめ) |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | 対応表 | CIS 11.2CIS 11.3CIS 11.5+1 | 同じトピック： バックアップと復旧 |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | 対応表 | CIS 17.6CIS 11.1 | 同じトピック： 連絡と復旧, ディザスタリカバリ |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | 編集 | CIS 17.8 | 同じトピック： 教訓の反映 (編集部のおすすめ) |
| Respond (RS) · 6 | ||||
| RS.CO-02 | Internal and external stakeholders are notified of incidents | 編集 | CIS 17.3 | 同じトピック： 報告 (編集部のおすすめ) |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | 対応表 | CIS 17.2CIS 17.6 | 同じトピック： コミュニケーション |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | 対応表 | CIS 17.4CIS 17.1CIS 17.5+2 | 同じトピック： インシデント対応 |
| RS.MA-02 | Incident reports are triaged and validated | 対応表 | CIS 17.4CIS 17.1CIS 17.5+2 | 同じトピック： インシデント対応 |
| RS.MA-03 | Incidents are categorized and prioritized | 対応表 | CIS 17.4CIS 17.1CIS 17.5+2 | 同じトピック： インシデント対応 |
| RS.MA-04 | Incidents are escalated or elevated as needed | 対応表 | CIS 17.4CIS 17.1CIS 17.5+2 | 同じトピック： インシデント対応 |
トピック別
両方でカバー（38）：
意識向上とトレーニングサプライチェーンリスク資産管理データ分類脆弱性管理アクセス制御多要素認証暗号化データ保護バックアップと復旧特権アクセスファイアウォール / ネットワークセグメンテーションエンドポイント保護パッチ管理安全な構成セキュア開発メールセキュリティWeb セキュリティゼロトラストモバイルセキュリティクラウドセキュリティDNSセキュリティWAFDLP継続的モニタリングログ記録と監査侵入検知異常検知SIEM / SOCインシデント対応コミュニケーション報告復旧計画教訓の反映連絡と復旧ディザスタリカバリAPI セキュリティベンダーリスク管理
NIST CSF 2.0 のみ（12）:
要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。
対応表 公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集 対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. マッピング済み = ControlMapping のトピックで一緒にまとめられているか、直接リンクされている状態。クロスウォークは準拠の証明にはなりません。 方法論 · データをダウンロード · 誤りを報告.