比較
Essential Eight と NIST CSF 2.0 の比較：グローバルな視点で見たオーストラリアの基準
NIST Cybersecurity Framework 2.0 · ASD Essential Eight · データ 2026-10-27
海外の親会社や取締役会に報告するオーストラリアの組織は、自組織の Essential Eight の状況を NIST CSF 2.0 の用語で示す必要がしばしばあります。一方、オーストラリア政府のサプライチェーンに参入する海外組織は、その逆の対応が必要になります。両者は異なる階層に位置しています。CSF はガバナンスからインシデント対応の全ライフサイクルにわたる成果を記述するのに対し、Essential Eight は 8 つの技術的戦略を定めており、それぞれが ASD の ISM 管理策を通じて成熟度レベル 1 から 3 で測定されます。
CSF から Essential Eight へ見ると、すべての E8 管理策は対応付けられているか、緩やかに関連しています。大半はCSFのプラットフォームセキュリティ、アイデンティティ、データ保護の成果を通じたものです。ISO の場合と同様に、多くの対応は緩やかな関連にとどまります。CSF では、インターネット由来の Office マクロをブロックする必要があることや、ML3 ではドライバーもアプリケーション制御の対象に含める必要があることは示されません。
Essential Eight から CSF へ見ると、CSF の成果の大半は対応付けがありません。特に Govern 機能（リスク戦略、ポリシー、監督、サプライチェーンリスク）と、Identify、Detect、Respond、Recover の大部分（ログ取得、インシデント報告、バックアップを除く）がこれに当たります。
ASD は NIST との対応表を公開していないため、この比較のうち Essential Eight 側は、戦略ごとの ControlMapping による編集上のマッピングです。
要点
- Essential Eight の成熟度を CSF プロファイル内で報告する場合、主に Protect 機能に対応付けられます。
- CSF → E8：各戦略の ML2 管理策は、対応する CSF の成果の下にある具体的な実装要件として扱ってください。
- E8 → CSF：ガバナンスと対応に関する成果は新たに取り組むべき作業となります。
ASD Essential Eight の要件 126 件のうち、57 件は NIST CSF 2.0 の何らかの項目にマッピングされ、69 件は緩やかに関連するのみで、0 件は当サイトのデータにマッピングがありません。
ここでいう Essential Eight は、ASD が成熟度レベル1〜3に対して付与している ISM 統制策を指します。各行には該当するレベル（ML1–ML3）を示しています。ASD は他のフレームワークへの対応表を公表していないため、すべての対応付けは ControlMapping による編集上の判断です。
要確認：関連性は緩やかなもののみ（共通するCSFのアウトカムがあるだけで、マッピングではありません） (69)
| Essential Eight | 要件 | 一致 | NIST CSF 2.0 | 証跡 |
|---|---|---|---|---|
| Patch applications · 6 | ||||
| ISM-0304 | ML3 Applications other than office productivity suites, web browsers and their extensions… | ID.RA-01PR.PS-02 | CSF ID.RA-01, PR.PS-02 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1690 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in online services are applied within two weeks of… | ID.RA-01PR.PS-02 | CSF ID.RA-01, PR.PS-02 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1692 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within 48… | ID.RA-01PR.PS-02 | CSF ID.RA-01, PR.PS-02 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1700 | ML2, ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in applications other than office… | ID.RA-01PR.PS-02 | CSF ID.RA-01, PR.PS-02 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1901 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within two weeks of release when… | ID.RA-01PR.PS-02 | CSF ID.RA-01, PR.PS-02 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1905 | ML1, ML2, ML3 Online services that are no longer supported by vendors are removed | ID.RA-01PR.PS-02 | CSF ID.RA-01, PR.PS-02 のみを共有: 関連はあるがマッピングではありません | |
| Patch operating systems · 10 | ||||
| ISM-1407 | ML3 The latest release, or the previous release, of operating systems are used | ID.RA-01PR.PS-02PR.PS-03 | CSF ID.RA-01, PR.PS-02, PR.PS-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1694 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of internet-facing servers and internet-facing network devices are applied within two weeks… | ID.RA-01PR.PS-02PR.PS-03 | CSF ID.RA-01, PR.PS-02, PR.PS-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1696 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of workstations, non-internet-facing servers and non-internet-facing network devices are applied within 48 hours of… | ID.RA-01PR.PS-02PR.PS-03 | CSF ID.RA-01, PR.PS-02, PR.PS-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1697 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in drivers are applied within one month of release… | ID.RA-01PR.PS-02PR.PS-03 | CSF ID.RA-01, PR.PS-02, PR.PS-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1703 | ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in drivers | ID.RA-01PR.PS-02PR.PS-03 | CSF ID.RA-01, PR.PS-02, PR.PS-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1879 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in drivers are applied within 48 hours of release… | ID.RA-01PR.PS-02PR.PS-03 | CSF ID.RA-01, PR.PS-02, PR.PS-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1900 | ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in firmware | ID.RA-01PR.PS-02PR.PS-03 | CSF ID.RA-01, PR.PS-02, PR.PS-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1902 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of workstations, non-internet-facing servers and non-internet-facing network devices are applied within one month of… | ID.RA-01PR.PS-02PR.PS-03 | CSF ID.RA-01, PR.PS-02, PR.PS-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1903 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in firmware are applied within 48 hours of release… | ID.RA-01PR.PS-02PR.PS-03 | CSF ID.RA-01, PR.PS-02, PR.PS-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1904 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in firmware are applied within one month of release… | ID.RA-01PR.PS-02PR.PS-03 | CSF ID.RA-01, PR.PS-02, PR.PS-03 のみを共有: 関連はあるがマッピングではありません | |
| Multi-factor authentication · 9 | ||||
| ISM-1505 | ML3 Multi-factor authentication is used to authenticate human users of data repositories | PR.AA-03 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1680 | ML1, ML2, ML3 Multi-factor authentication (where available) is used to authenticate human users to… | PR.AA-03 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1681 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate customers to online customer… | PR.AA-03 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1682 | ML2, ML3 Multi-factor authentication used for authenticating human users of systems is… | PR.AA-03 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1873 | ML2 Multi-factor authentication used for authenticating customers of online customer services provides a… | PR.AA-03 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1874 | ML3 Multi-factor authentication used for authenticating customers of online customer services is phishing-resistant | PR.AA-03 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1892 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to their organisation’s online customer services that… | PR.AA-03 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1893 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to third-party online customer services that process… | PR.AA-03 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1894 | ML3 Multi-factor authentication used for authenticating human users of data repositories is… | PR.AA-03 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| Restrict administrative privileges · 11 | ||||
| ISM-1649 | ML3 Just-in-time administration is used for the administration of systems and their resources | PR.AA-05 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1650 | ML2, ML3 Privileged user account and security group management events are centrally logged | PR.AA-05 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1685 | ML2, ML3 Credentials for break glass accounts, local administrator accounts and service accounts… | PR.AA-05 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1686 | ML3 Credential Guard functionality is enabled | PR.AA-05 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1687 | ML2, ML3 Privileged operating environments are not virtualised within unprivileged operating… | PR.AA-05 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1688 | ML1, ML2, ML3 Unprivileged user accounts cannot be used to log on to privileged operating environments | PR.AA-05 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1689 | ML1, ML2, ML3 Privileged user accounts (excluding local administrator accounts) cannot be used to log… | PR.AA-05 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1861 | ML3 Local Security Authority protection functionality is enabled | PR.AA-05 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1883 | ML1, ML2, ML3 Privileged user accounts explicitly authorised to access online services are strictly… | PR.AA-05 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1897 | ML3 Remote Credential Guard functionality is enabled | PR.AA-05 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1898 | ML3 Secure Admin Workstations are used in the performance of administrative activities | PR.AA-05 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| Application control · 5 | ||||
| ISM-1582 | ML2, ML3 Application control rulesets are validated at least annually | PR.PS-05 | CSF PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1656 | ML3 Application control is implemented on non-internet-facing servers | PR.PS-05 | CSF PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1658 | ML3 Application control restricts the execution of drivers to an organisation-approved set | PR.PS-05 | CSF PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1659 | ML3 Microsoft’s vulnerable driver blocklist is implemented | PR.PS-05 | CSF PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1871 | ML2, ML3 Application control is applied to all locations other than user profiles and temporary… | PR.PS-05 | CSF PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| Restrict Microsoft Office macros · 10 | ||||
| ISM-1487 | ML3 Only privileged human users responsible for checking that Microsoft Office macros are… | PR.PS-01PR.PS-05 | CSF PR.PS-01, PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1489 | ML1, ML2, ML3 Microsoft Office macro security settings cannot be changed by human users | PR.PS-01PR.PS-05 | CSF PR.PS-01, PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1671 | ML1, ML2, ML3 Microsoft Office macros are disabled for human users that do not have a demonstrated… | PR.PS-01PR.PS-05 | CSF PR.PS-01, PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1672 | ML1, ML2, ML3 Microsoft Office macro antivirus scanning is enabled | PR.PS-01PR.PS-05 | CSF PR.PS-01, PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1673 | ML2, ML3 Microsoft Office macros are blocked from making Win32 API calls | PR.PS-01PR.PS-05 | CSF PR.PS-01, PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1674 | ML3 Only Microsoft Office macros running from within a sandboxed environment, a Trusted… | PR.PS-01PR.PS-05 | CSF PR.PS-01, PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1675 | ML3 Microsoft Office macros digitally signed by an untrusted publisher cannot be enabled… | PR.PS-01PR.PS-05 | CSF PR.PS-01, PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1676 | ML3 Microsoft Office’s list of trusted publishers is validated at least annually | PR.PS-01PR.PS-05 | CSF PR.PS-01, PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1890 | ML3 Microsoft Office macros are checked to ensure they are free of malicious code before… | PR.PS-01PR.PS-05 | CSF PR.PS-01, PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1891 | ML3 Microsoft Office macros digitally signed by signatures other than V3 signatures cannot… | PR.PS-01PR.PS-05 | CSF PR.PS-01, PR.PS-05 のみを共有: 関連はあるがマッピングではありません | |
| User application hardening · 13 | ||||
| ISM-1485 | ML1, ML2, ML3 Web browsers do not process web advertisements from the internet | PR.PS-01 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1486 | ML1, ML2, ML3 Web browsers do not process Java from the internet | PR.PS-01 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1542 | ML2, ML3 Microsoft Office is configured to prevent activation of Object Linking and Embedding… | PR.PS-01 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1622 | ML3 PowerShell is configured to use Constrained Language Mode | PR.PS-01 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1655 | ML3 .NET Framework 3.5 (includes .NET 2.0 and 3.0) is disabled or removed | PR.PS-01 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1667 | ML2, ML3 Microsoft Office is blocked from creating child processes | PR.PS-01 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1668 | ML2, ML3 Microsoft Office is blocked from creating executable content | PR.PS-01 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1669 | ML2, ML3 Microsoft Office is blocked from injecting code into other processes | PR.PS-01 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1670 | ML2, ML3 PDF applications are blocked from creating child processes | PR.PS-01 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1823 | ML2, ML3 Office productivity suite security settings cannot be changed by human users | PR.PS-01 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1824 | ML2, ML3 PDF application security settings cannot be changed by human users | PR.PS-01 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1889 | ML2, ML3 Command line process creation events are centrally logged | PR.PS-01 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1896 | ML3 Memory integrity functionality is enabled | PR.PS-01 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| Regular backups · 5 | ||||
| ISM-1705 | ML2, ML3 Privileged user accounts (excluding backup administrator accounts) cannot access… | PR.DS-11RC.RP-03 | CSF PR.DS-11, RC.RP-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1706 | ML3 Privileged user accounts (excluding backup administrator accounts) cannot access their… | PR.DS-11RC.RP-03 | CSF PR.DS-11, RC.RP-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1708 | ML3 Backup administrator accounts are prevented from modifying and deleting backups during… | PR.DS-11RC.RP-03 | CSF PR.DS-11, RC.RP-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1812 | ML1, ML2, ML3 Unprivileged user accounts cannot access backups belonging to other user accounts | PR.DS-11RC.RP-03 | CSF PR.DS-11, RC.RP-03 のみを共有: 関連はあるがマッピングではありません | |
| ISM-1813 | ML3 Unprivileged user accounts cannot access their own backups | PR.DS-11RC.RP-03 | CSF PR.DS-11, RC.RP-03 のみを共有: 関連はあるがマッピングではありません | |
マッピング済み (57)
| Essential Eight | 要件 | 一致 | NIST CSF 2.0 | 証跡 |
|---|---|---|---|---|
| Patch applications · 6 | ||||
| ISM-1691 | ML1, ML2 Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within two weeks of release | 編集 | PR.PS-02 | 同じトピック： パッチ管理 (編集部のおすすめ) |
| ISM-1693 | ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in applications other… | 編集 | PR.PS-02 | 同じトピック： パッチ管理 (編集部のおすすめ) |
| ISM-1698 | ML1, ML2, ML3 A vulnerability scanner is used at least daily to identify missing patches or updates for vulnerabilities in online… | 編集 | ID.RA-01ID.RA-08 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| ISM-1699 | ML1, ML2, ML3 A vulnerability scanner is used at least weekly to identify missing patches or updates… | 編集 | ID.RA-01ID.RA-08 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| ISM-1704 | ML1, ML2, ML3 Office productivity suites, web browsers and their extensions, email clients, PDF… | 編集 | PR.PS-02 | 同じトピック： パッチ管理 (編集部のおすすめ) |
| ISM-1876 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in online services are applied within 48 hours of… | 編集 | PR.PS-02 | 同じトピック： パッチ管理 (編集部のおすすめ) |
| Patch applications & Patch operating systems · 2 | ||||
| ISM-1807 | ML1, ML2, ML3 An automated method of asset discovery is used at least fortnightly to support the… | 編集 | ID.AM-01ID.AM-02ID.AM-04+3 | 同じトピック： 資産管理 (編集部のおすすめ) |
| ISM-1808 | ML1, ML2, ML3 A vulnerability scanner with an up-to-date vulnerability database is used for… | 編集 | ID.RA-01ID.RA-08 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| Patch operating systems · 5 | ||||
| ISM-1501 | ML1, ML2, ML3 Operating systems that are no longer supported by vendors are replaced | 編集 | PR.PS-02 | 同じトピック： パッチ管理 (編集部のおすすめ) |
| ISM-1695 | ML1, ML2 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of workstations, non-internet-facing servers and non-internet-facing network devices are applied within one month of release | 編集 | PR.PS-02 | 同じトピック： パッチ管理 (編集部のおすすめ) |
| ISM-1701 | ML1, ML2, ML3 A vulnerability scanner is used at least daily to identify missing patches or updates for vulnerabilities in… | 編集 | ID.RA-01ID.RA-08 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| ISM-1702 | ML1, ML2, ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in operating systems of… | 編集 | ID.RA-01ID.RA-08 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| ISM-1877 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of internet-facing servers and internet-facing network devices are applied within 48 hours… | 編集 | PR.PS-02 | 同じトピック： パッチ管理 (編集部のおすすめ) |
| Multi-factor authentication · 7 | ||||
| ISM-0974 | ML2, ML3 Multi-factor authentication is used to authenticate unprivileged human users of systems | 編集 | PR.AA-03 | 同じトピック： 多要素認証 (編集部のおすすめ) |
| ISM-1173 | ML2, ML3 Multi-factor authentication is used to authenticate privileged human users of systems | 編集 | PR.AA-03 | 同じトピック： 多要素認証 (編集部のおすすめ) |
| ISM-1401 | ML1, ML2, ML3 Multi-factor authentication uses either: something people have and something people… | 編集 | PR.AA-03 | 同じトピック： 多要素認証 (編集部のおすすめ) |
| ISM-1504 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to their organisation’s online services that process… | 編集 | PR.AA-03 | 同じトピック： 多要素認証 (編集部のおすすめ) |
| ISM-1679 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to third-party online services that process, store or… | 編集 | PR.AA-03 | 同じトピック： 多要素認証 (編集部のおすすめ) |
| ISM-1683 | ML2, ML3 Successful and unsuccessful multi-factor authentication events are centrally logged | 編集 | DE.AE-03PR.PS-04 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| ISM-1872 | ML2, ML3 Multi-factor authentication used for authenticating human users of online services is… | 編集 | PR.AA-03 | 同じトピック： 多要素認証 (編集部のおすすめ) |
| Restrict administrative privileges · 9 | ||||
| ISM-0445 | ML1, ML2, ML3 Privileged human users are assigned a dedicated privileged user account to be used… | 編集 | PR.AA-05 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| ISM-1175 | ML1, ML2, ML3 Privileged user accounts (excluding those explicitly authorised to access online… | 編集 | PR.AA-05 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| ISM-1380 | ML1, ML2, ML3 Privileged human users use separate privileged and unprivileged operating environments | 編集 | PR.AA-05 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| ISM-1387 | ML2, ML3 Administrative activities are conducted through jump servers | 編集 | PR.AA-05 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| ISM-1507 | ML1, ML2, ML3 Requests for privileged access to systems and their resources are validated when first… | 編集 | PR.AA-05 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| ISM-1508 | ML3 Privileged access to systems and their resources is limited to only what is required… | 編集 | PR.AA-05 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| ISM-1509 | ML2, ML3 Privileged access events are centrally logged | 編集 | DE.AE-03PR.PS-04 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| ISM-1647 | ML2, ML3 Privileged access to systems and their resources are disabled after 12 months unless… | 編集 | PR.AA-05 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| ISM-1648 | ML2, ML3 Privileged access to systems and their resources are disabled after 45 days of inactivity | 編集 | PR.AA-05 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| Application control · 6 | ||||
| ISM-0843 | ML1, ML2, ML3 Application control is implemented on workstations | 編集 | DE.CM-09PR.PS-05 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| ISM-1490 | ML2, ML3 Application control is implemented on internet-facing servers | 編集 | DE.CM-09PR.PS-05 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| ISM-1544 | ML2, ML3 Microsoft’s recommended application blocklist is implemented | 編集 | DE.CM-09PR.PS-05 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| ISM-1657 | ML1, ML2, ML3 Application control restricts the execution of executables, libraries, scripts… | 編集 | DE.CM-09PR.PS-05 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| ISM-1660 | ML2, ML3 Allowed and blocked application control events are centrally logged | 編集 | DE.AE-03PR.PS-04 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| ISM-1870 | ML1, ML2, ML3 Application control is applied to user profiles and temporary folders used by operating… | 編集 | DE.CM-09PR.PS-05 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| Restrict Microsoft Office macros · 1 | ||||
| ISM-1488 | ML1, ML2, ML3 Microsoft Office macros in files originating from the internet are blocked | 編集 | DE.CM-09PR.DS-02PR.PS-05 | 同じトピック： エンドポイント保護, メールセキュリティ (編集部のおすすめ) |
| User application hardening · 7 | ||||
| ISM-1412 | ML2, ML3 Web browsers are hardened using ASD and vendor hardening guidance, with the most… | 編集 | PR.PS-01 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| ISM-1585 | ML1, ML2, ML3 Web browser security settings cannot be changed by human users | 編集 | PR.PS-01 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| ISM-1621 | ML3 Windows PowerShell 2.0 is disabled or removed | 編集 | PR.PS-01 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| ISM-1623 | ML2, ML3 PowerShell module logging, script block logging and transcription events are centrally… | 編集 | DE.AE-03PR.PS-04 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| ISM-1654 | ML1, ML2, ML3 Internet Explorer 11 is disabled or removed | 編集 | PR.PS-01 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| ISM-1859 | ML2, ML3 Office productivity suites are hardened using ASD and vendor hardening guidance, with… | 編集 | PR.PS-01 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| ISM-1860 | ML2, ML3 PDF applications are hardened using ASD and vendor hardening guidance, with the most… | 編集 | PR.PS-01 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| Regular backups · 6 | ||||
| ISM-1511 | ML1, ML2, ML3 Backups of data, applications and settings are performed and retained in accordance… | 編集 | PR.DS-11RC.RP-03 | 同じトピック： バックアップと復旧 (編集部のおすすめ) |
| ISM-1515 | ML1, ML2, ML3 Restoration of data, applications and settings from backups to a common point in time… | 編集 | PR.DS-11PR.IR-03RC.RP-02+2 | 同じトピック： バックアップと復旧, ディザスタリカバリ (編集部のおすすめ) |
| ISM-1707 | ML2, ML3 Privileged user accounts (excluding backup administrator accounts) are prevented from… | 編集 | PR.DS-11RC.RP-03 | 同じトピック： バックアップと復旧 (編集部のおすすめ) |
| ISM-1810 | ML1, ML2, ML3 Backups of data, applications and settings are synchronised to enable restoration to a… | 編集 | PR.DS-11RC.RP-03 | 同じトピック： バックアップと復旧 (編集部のおすすめ) |
| ISM-1811 | ML1, ML2, ML3 Backups of data, applications and settings are retained in a secure and resilient manner | 編集 | PR.DS-11RC.RP-03 | 同じトピック： バックアップと復旧 (編集部のおすすめ) |
| ISM-1814 | ML1, ML2, ML3 Unprivileged user accounts are prevented from modifying and deleting backups | 編集 | PR.DS-11RC.RP-03 | 同じトピック： バックアップと復旧 (編集部のおすすめ) |
| Logging and incident response (all strategies) · 8 | ||||
| ISM-0109 | ML3 Event logs from workstations are analysed in a timely manner to detect cyber security… | 編集 | DE.CM-01DE.CM-03DE.CM-09 | 同じトピック： 継続的モニタリング (編集部のおすすめ) |
| ISM-0123 | ML2, ML3 Cyber security incidents are reported to the chief information security officer, or one… | 編集 | RS.CO-02 | 同じトピック： 報告 (編集部のおすすめ) |
| ISM-0140 | ML2, ML3 Cyber security incidents are reported to ASD as soon as possible after they occur or… | 編集 | RS.CO-02 | 同じトピック： 報告 (編集部のおすすめ) |
| ISM-1228 | ML2, ML3 Cyber security events are analysed in a timely manner to identify cyber security incidents | 編集 | DE.AE-02DE.AE-03DE.AE-04+3 | 同じトピック： 異常検知, SIEM / SOC (編集部のおすすめ) |
| ISM-1815 | ML2, ML3 Event logs are protected from unauthorised modification and deletion | 編集 | DE.AE-03PR.PS-04 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| ISM-1819 | ML2, ML3 Following the identification of a cyber security incident, the cyber security incident… | 編集 | ID.IM-04RS.MA-01RS.MA-02+2 | 同じトピック： インシデント対応 (編集部のおすすめ) |
| ISM-1906 | ML2, ML3 Event logs from internet-facing servers are analysed in a timely manner to detect cyber… | 編集 | DE.AE-03DE.AE-06DE.AE-08+3 | 同じトピック： SIEM / SOC (編集部のおすすめ) |
| ISM-1907 | ML3 Event logs from non-internet-facing servers are analysed in a timely manner to detect… | 編集 | DE.CM-01DE.CM-03DE.CM-09 | 同じトピック： 継続的モニタリング (編集部のおすすめ) |
NIST Cybersecurity Framework 2.0 の要件 106 件のうち、32 件は Essential Eight の何らかの項目にマッピングされ、1 件は緩やかに関連するのみで、73 件は当サイトのデータにマッピングがありません。
新規対応が必要と見込まれる項目: Essential Eight へのマッピングがない NIST CSF 2.0 の要件 (73)
| NIST CSF 2.0 | 要件 | 一致 | Essential Eight | 証跡 |
|---|---|---|---|---|
| Detect (DE) · 3 | ||||
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Govern (GV) · 31 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.RR-04 | Cybersecurity is included in human resources practices | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.SC-04 | Suppliers are known and prioritized by criticality | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Identify (ID) · 14 | ||||
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| ID.IM-01 | Improvements are identified from evaluations | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Protect (PR) · 12 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Recover (RC) · 5 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| Respond (RS) · 8 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| RS.AN-08 | An incident's magnitude is estimated and validated | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| RS.MA-05 | The criteria for initiating incident recovery are applied | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| RS.MI-01 | Incidents are contained | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
| RS.MI-02 | Incidents are eradicated | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには Essential Eight へのマッピングがありません。 |
要確認：関連性は緩やかなもののみ（共通するCSFのアウトカムがあるだけで、マッピングではありません） (1)
| NIST CSF 2.0 | 要件 | 一致 | Essential Eight | 証跡 |
|---|---|---|---|---|
| Protect (PR) · 1 | ||||
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | ISM-1407ISM-1501ISM-1694+5 | CSF PR.PS-03 のみを共有: 関連はあるがマッピングではありません | |
マッピング済み (32)
| NIST CSF 2.0 | 要件 | 一致 | Essential Eight | 証跡 |
|---|---|---|---|---|
| Detect (DE) · 8 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | 編集 | ISM-1228 | 同じトピック： 異常検知 (編集部のおすすめ) |
| DE.AE-03 | Information is correlated from multiple sources | 編集 | ISM-1228ISM-1509ISM-1623+4 | 同じトピック： SIEM / SOC, ログ記録と監査 (編集部のおすすめ) |
| DE.AE-04 | The estimated impact and scope of adverse events are understood | 編集 | ISM-1228 | 同じトピック： 異常検知 (編集部のおすすめ) |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | 編集 | ISM-1228ISM-1906 | 同じトピック： SIEM / SOC (編集部のおすすめ) |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | 編集 | ISM-1228ISM-1906 | 同じトピック： SIEM / SOC (編集部のおすすめ) |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | 編集 | ISM-0109ISM-1906ISM-1907 | 同じトピック： 継続的モニタリング (編集部のおすすめ) |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | 編集 | ISM-0109ISM-1906ISM-1907 | 同じトピック： 継続的モニタリング (編集部のおすすめ) |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | 編集 | ISM-0109ISM-0843ISM-1228+7 | 同じトピック： 継続的モニタリング, エンドポイント保護, 異常検知 (編集部のおすすめ) |
| Identify (ID) · 7 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | 編集 | ISM-1807 | 同じトピック： 資産管理 (編集部のおすすめ) |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | 編集 | ISM-1807 | 同じトピック： 資産管理 (編集部のおすすめ) |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | 編集 | ISM-1807 | 同じトピック： 資産管理 (編集部のおすすめ) |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | 編集 | ISM-1807 | 同じトピック： 資産管理 (編集部のおすすめ) |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | 編集 | ISM-1819 | 同じトピック： インシデント対応 (編集部のおすすめ) |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | 編集 | ISM-1698ISM-1699ISM-1701+3 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | 編集 | ISM-1698ISM-1699ISM-1701+3 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| Protect (PR) · 9 | ||||
| PR.AA-03 | Users, services, and hardware are authenticated | 編集 | ISM-0974ISM-1173ISM-1401+3 | 同じトピック： 多要素認証 (編集部のおすすめ) |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | 編集 | ISM-0445ISM-1175ISM-1380+5 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | 編集 | ISM-1488 | 同じトピック： メールセキュリティ (編集部のおすすめ) |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | 編集 | ISM-1511ISM-1515ISM-1707+3 | 同じトピック： バックアップと復旧 (編集部のおすすめ) |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | 編集 | ISM-1515 | 同じトピック： ディザスタリカバリ (編集部のおすすめ) |
| PR.PS-01 | Configuration management practices are established and applied | 編集 | ISM-1412ISM-1585ISM-1621+3 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | 編集 | ISM-1501ISM-1691ISM-1693+4 | 同じトピック： パッチ管理 (編集部のおすすめ) |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | 編集 | ISM-1509ISM-1623ISM-1660+2 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | 編集 | ISM-0843ISM-1488ISM-1490+3 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| Recover (RC) · 3 | ||||
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | 編集 | ISM-1515 | 同じトピック： ディザスタリカバリ (編集部のおすすめ) |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | 編集 | ISM-1511ISM-1515ISM-1707+3 | 同じトピック： バックアップと復旧 (編集部のおすすめ) |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | 編集 | ISM-1515 | 同じトピック： ディザスタリカバリ (編集部のおすすめ) |
| Respond (RS) · 5 | ||||
| RS.CO-02 | Internal and external stakeholders are notified of incidents | 編集 | ISM-0123ISM-0140 | 同じトピック： 報告 (編集部のおすすめ) |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | 編集 | ISM-1819 | 同じトピック： インシデント対応 (編集部のおすすめ) |
| RS.MA-02 | Incident reports are triaged and validated | 編集 | ISM-1819 | 同じトピック： インシデント対応 (編集部のおすすめ) |
| RS.MA-03 | Incidents are categorized and prioritized | 編集 | ISM-1819 | 同じトピック： インシデント対応 (編集部のおすすめ) |
| RS.MA-04 | Incidents are escalated or elevated as needed | 編集 | ISM-1819 | 同じトピック： インシデント対応 (編集部のおすすめ) |
トピック別
両方でカバー（16）：
資産管理脆弱性管理多要素認証バックアップと復旧特権アクセスエンドポイント保護パッチ管理安全な構成メールセキュリティ継続的モニタリングログ記録と監査異常検知SIEM / SOCインシデント対応報告ディザスタリカバリ
NIST CSF 2.0 のみ（34）:
要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。
対応表 公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集 対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. マッピング済み = ControlMapping のトピックで一緒にまとめられているか、直接リンクされている状態。クロスウォークは準拠の証明にはなりません。 方法論 · データをダウンロード · 誤りを報告.