比較
NIST CSF 2.0 対 ISO 27001：成果と認証可能な管理体系の比較
NIST Cybersecurity Framework 2.0 · ISO/IEC 27001:2022 · データ 2026-10-27
Paul Gillet 別 · 更新日 2026-10-17
NIST のサイバーセキュリティフレームワーク2.0は成果を記述するもので、6つの機能（統治、識別、防御、検知、対応、復旧）の下に106のサブカテゴリがあります。任意適用であり認証の対象にはならず、各成果をどう達成するかは意図的に規定していません。ISO/IEC 27001は認証可能な規格であり、情報セキュリティマネジメントシステムの構築と、附属書Aからの管理策の根拠ある選択を求めています。
NIST は CSF 2.0 から ISO 27001 への情報参照の対応表を公開しているため、両者は密接に対応しており、ほぼすべての CSF の成果に ISO の管理策が紐づいています。組織では、CSF を取締役会向けの共通言語として用い、その基盤として ISO 27001 を運用および認証のフレームワークとして使うことがよくあります。
CSF から ISO へ移行する場合、ギャップはセキュリティの成果ではなくマネジメントシステムにあります。CSF の統治（Govern）機能は戦略、方針、役割、監督を扱いますが、ISO が具体的な仕組みを規定し、CSF では触れられていない部分があります。具体的には、ISMS の適用範囲の定義、情報セキュリティ目的、文書化された情報の管理、内部監査プログラム、マネジメントレビューです。これらの箇条は、以下で対応先のないものとして示されています。
ISO から CSF へ移行する場合、対応範囲はほぼ完全です。作業は翻訳に近く、ISMS から CSF の現行プロファイルおよび目標プロファイルを作成し、リスク対応の判断を CSF の成果として表現することになります。
概要一覧
| NIST CSF 2.0 | ISO 27001 | |
|---|---|---|
| 概要 | 成果を示す任意適用のフレームワーク | 認証可能なマネジメントシステム規格 |
| 構成 | 6 機能、22 カテゴリ、106 サブカテゴリ | 箇条4〜10 と附属書Aの93管理策 |
| 認証 | なし | あり（認定認証機関による） |
| 利用コスト | 無料 | 規格は ISO が販売しており、認証には審査費用がかかります |
| 最適な用途 | プログラムの構造化、取締役会への報告、自己評価 | 顧客や規制当局に対して国際的にセキュリティを証明すること |
| 公式の対応関係 | NIST は本サイトで使用している CSF 2.0 ↔ ISO 27001 の参照関係を公開しています | — |
併用する場合
両者は相性がよい組み合わせです。CSF 2.0 は取締役会や規制当局が理解できる成果の語彙を提供し、ISO 27001 はプログラムが実際に運用されていることを証明する認証可能なマネジメントシステムを提供します。一般的なパターンは、CSF の機能に沿って態勢を報告する一方、ISO 27001 に基づいて ISMS を認証することです。
NIST は CSF の各サブカテゴリを ISO の箇条および附属書Aの管理策に紐づけているため、管理策のセットを1つにまとめて、両方の形式で報告できます。以下の要件表は、公開されている参照関係による対応を示し、当サイトのデータで ISO 側に対応先がない CSF の成果も示しています。
CSF 2.0 での変更点
CSF 2.0（2024年2月）では、6つ目の機能として統治（Govern）が追加されました。これは組織の状況、リスク戦略、役割、方針、監督、サプライチェーンリスクを扱います。これらの成果は ISO 27001 の箇条4〜6および9と密接に一致するため、CSF 1.1 と ISO の間よりも両者の重なりが大きくなっています。
利用者の分類
- NIST CSF 2.0 は、あらゆる規模・業種の組織がプログラムの構築、目標の設定、経営層への報告に使っています。米国の重要インフラ、多くの規制当局、サイバー保険会社で共通の言語となっており、無料で利用できます。
- ISO 27001 は、組織が認証書によってセキュリティを第三者に証明する必要がある場合に使われます。たとえば、企業向けに販売するソフトウェア・サービス事業者、規制対象のサプライチェーンのサプライヤー、特に米国外の公共部門の入札に参加する企業などです。
- 両方を併用する組織も多く: 運用と報告には CSF、認証には ISO 27001 を使います。
コストと工数
CSF は導入費用がかからず、審査もないため、コストは現行プロファイルの評価、目標プロファイルの設定、ギャップの解消に要する社内工数です。ISO 27001 では、規格そのものの費用、認証機関の審査費用に加え、何よりもマネジメントシステムを構築・運用するための社内工数が必要になります。具体的には、リスクアセスメント、適用宣言書（SoA）、内部監査、マネジメントレビューです。CSF を適切に運用している組織にとっては、ISO で必要な技術的作業の大部分はすでに完了しています。残る工数は主にマネジメントシステムとその文書化です。
CSF から ISO 27001 認証へ移行する手順
- CSF プロファイルを ISO に対応付けます。 NIST が公開している参照関係では、CSF 2.0 のサブカテゴリが ISO の箇条と附属書Aの管理策に紐づけられています。ギャップ分析では、すべての ISO 要件と、それに対応する CSF の項目が示されています。
- ISMS の適用範囲を定義し、CSF の目標プロファイルを情報セキュリティ目的に置き換えます。
- リスクアセスメントを ISO の要件に合わせて正式化します。（文書化された方法、リスク所有者、受容基準）そのうえで適用宣言書を作成します。
- マネジメントシステムのプロセスを追加します。文書管理、内部監査、マネジメントレビュー、是正処置です。
- ISMS を数か月運用した後、ステージ1およびステージ2の審査を予約します。
CSF のプログラムが成熟している組織の多くは、6〜9か月で認証を取得しています。
事例：地域の医療提供事業者
ある地域の医療グループは、3年間にわたり NIST CSF を用いてプログラムを構築し、取締役会へ報告してきました。新たなパートナー契約では、共有の患者ポータルサービスについて ISO 27001 認証が求められています。
同グループの CSF 現行プロファイルでは、防御（Protect）と検知（Detect）の成果が強いことが示されているため、附属書Aの技術的管理策の多くはすでに存在しています。ギャップ分析では、マネジメントシステムの箇条、適用宣言書、正式なサプライヤー契約、データルームの物理的セキュリティが不足していることが示されました。同グループは、ISMS の適用範囲を患者ポータルサービスとそれを支えるインフラに限定し、既存の CSF リスク登録簿を ISO に準拠した方法で再利用して、約8か月で認証を取得しました。取締役会への報告は引き続き CSF の用語で行い、認証機関への報告は同じ管理策に基づき ISO の用語で行っています。
よくある誤り
- CSF 1.1 への対応付け。 古いスプレッドシートの多くは ISO 27001:2013 を CSF 1.1 に対応付けています。どちらもその後に変更されており、廃止されたサブカテゴリへのリンクは行き先がなくなります。
- CSF のプロファイルを ISMS とみなすこと。 CSF では内部監査、マネジメントレビュー、文書管理は要求されていませんが、ISO の審査員はこれらを確認します。
- 工数を節約するために適用範囲を狭く認証すること。 その後、顧客が購入する対象が認証の範囲に含まれていないことが判明します。
- 異なる2つの状況を報告すること。 取締役会向けの CSF の用語による報告と、監査証跡の ISO の用語による報告は、同じ管理策から作成すべきです。そうしないと両者が乖離していきます。
要点
- 認証が必要な場合は、ISO 27001 で認証を取得できます。CSF では認証は取得できません。
- CSF → ISO：ISMS の仕組み（適用範囲、目的、文書化された情報、内部監査、マネジメントレビュー）を計画してください。
- ISO → CSF：既存の SoA から CSF プロファイルを作成してください。新たな管理策の作業はほとんど必要ありません。
ISO/IEC 27001:2022 の要件 123 件のうち、79 件は NIST CSF 2.0 の何らかの項目にマッピングされ、34 件は緩やかに関連するのみで、10 件は当サイトのデータにマッピングがありません。
新規対応が必要と見込まれる項目: NIST CSF 2.0 へのマッピングがない ISO 27001 の要件 (10)
| ISO 27001 | 要件 | 一致 | NIST CSF 2.0 | 証跡 |
|---|---|---|---|---|
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.3 | Determining the scope of the ISMS | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには NIST CSF 2.0 へのマッピングがありません。 |
| Clause 5.1 | Leadership and commitment | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには NIST CSF 2.0 へのマッピングがありません。 |
| Clause 6.2 | Information security objectives and planning to achieve them | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには NIST CSF 2.0 へのマッピングがありません。 |
| Clause 6.3 | Planning of changes | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには NIST CSF 2.0 へのマッピングがありません。 |
| Clause 7.5.1 | General | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには NIST CSF 2.0 へのマッピングがありません。 |
| Clause 7.5.2 | Creating and updating | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには NIST CSF 2.0 へのマッピングがありません。 |
| Clause 7.5.3 | Control of documented information | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには NIST CSF 2.0 へのマッピングがありません。 |
| Clause 9.2.1 | General | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには NIST CSF 2.0 へのマッピングがありません。 |
| Clause 9.2.2 | Internal audit programme | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには NIST CSF 2.0 へのマッピングがありません。 |
| Clause 10.2 | Nonconformity and corrective action | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには NIST CSF 2.0 へのマッピングがありません。 |
要確認：関連性は緩やかなもののみ（共通するCSFのアウトカムがあるだけで、マッピングではありません） (34)
| ISO 27001 | 要件 | 一致 | NIST CSF 2.0 | 証跡 |
|---|---|---|---|---|
| A.5 Organizational controls · 8 | ||||
| A.5.3 | Segregation of duties | GV.OC-05GV.RR-02PR.AA-05+3 | CSF GV.OC-05, GV.RR-02, PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| A.5.8 | Information security in project management | GV.OC-05ID.AM-08 | CSF GV.OC-05, ID.AM-08 のみを共有: 関連はあるがマッピングではありません | |
| A.5.10 | Acceptable use of information and other associated assets | PR.DS-01PR.DS-02PR.DS-10 | CSF PR.DS-01, PR.DS-02, PR.DS-10 のみを共有: 関連はあるがマッピングではありません | |
| A.5.17 | Authentication information | PR.AA-03PR.AA-05 | CSF PR.AA-03, PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| A.5.32 | Intellectual property rights | GV.PO-02 | CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません | |
| A.5.33 | Protection of records | PR.DS-01 | CSF PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.5.34 | Privacy and protection of PII | GV.PO-02 | CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません | |
| A.5.35 | Independent review of information security | GV.OV-02 | CSF GV.OV-02 のみを共有: 関連はあるがマッピングではありません | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | GV.PO-01GV.RR-04PR.DS-01+2 | CSF GV.PO-01, GV.RR-04, PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.6.5 | Responsibilities after termination or change of employment | GV.PO-01GV.RR-04PR.DS-01+2 | CSF GV.PO-01, GV.RR-04, PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.6.6 | Confidentiality or non-disclosure agreements | GV.RR-03GV.RR-04 | CSF GV.RR-03, GV.RR-04 のみを共有: 関連はあるがマッピングではありません | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | PR.DS-01PR.IR-02 | CSF PR.DS-01, PR.IR-02 のみを共有: 関連はあるがマッピングではありません | |
| A.7.9 | Security of assets off-premises | PR.DS-01 | CSF PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.7.10 | Storage media | ID.AM-08PR.DS-01 | CSF ID.AM-08, PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.7.13 | Equipment maintenance | ID.AM-08PR.IR-02 | CSF ID.AM-08, PR.IR-02 のみを共有: 関連はあるがマッピングではありません | |
| A.8 Technological controls · 9 | ||||
| A.8.4 | Access to source code | PR.AA-05PR.DS-01PR.DS-02+1 | CSF PR.AA-05, PR.DS-01, PR.DS-02 のみを共有: 関連はあるがマッピングではありません | |
| A.8.6 | Capacity management | DE.CM-09PR.IR-04 | CSF DE.CM-09, PR.IR-04 のみを共有: 関連はあるがマッピングではありません | |
| A.8.23 | Web filtering | PR.IR-01 | CSF PR.IR-01 のみを共有: 関連はあるがマッピングではありません | |
| A.8.27 | Secure system architecture and engineering principles | PR.IR-03 | CSF PR.IR-03 のみを共有: 関連はあるがマッピングではありません | |
| A.8.30 | Outsourced development | GV.OV-03 | CSF GV.OV-03 のみを共有: 関連はあるがマッピングではありません | |
| A.8.31 | Separation of development, test and production environments | PR.PS-06 | CSF PR.PS-06 のみを共有: 関連はあるがマッピングではありません | |
| A.8.32 | Change management | GV.OV-03ID.RA-07 | CSF GV.OV-03, ID.RA-07 のみを共有: 関連はあるがマッピングではありません | |
| A.8.33 | Test information | PR.DS-01 | CSF PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.8.34 | Protection of information systems during audit testing | GV.OV-03 | CSF GV.OV-03 のみを共有: 関連はあるがマッピングではありません | |
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.4 | Information security management system | GV.OC-02 | CSF GV.OC-02 のみを共有: 関連はあるがマッピングではありません | |
| Clause 5.3 | Organizational roles, responsibilities and authorities | GV.SC-02 | CSF GV.SC-02 のみを共有: 関連はあるがマッピングではありません | |
| Clause 7.1 | Resources | GV.RR-03 | CSF GV.RR-03 のみを共有: 関連はあるがマッピングではありません | |
| Clause 7.2 | Competence | GV.RR-01GV.RR-02GV.RR-03 | CSF GV.RR-01, GV.RR-02, GV.RR-03 のみを共有: 関連はあるがマッピングではありません | |
| Clause 8.1 | Operational planning and control | GV.OC-01GV.OC-02GV.SC-01+2 | CSF GV.OC-01, GV.OC-02, GV.SC-01 のみを共有: 関連はあるがマッピングではありません | |
| Clause 8.2 | Information security risk assessment | GV.OC-01GV.OC-02 | CSF GV.OC-01, GV.OC-02 のみを共有: 関連はあるがマッピングではありません | |
| Clause 8.3 | Information security risk treatment | GV.OC-01GV.OC-02 | CSF GV.OC-01, GV.OC-02 のみを共有: 関連はあるがマッピングではありません | |
| Clause 9.3.1 | General | PR.PS-01 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| Clause 9.3.2 | Management review inputs | PR.PS-01 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| Clause 9.3.3 | Management review results | PR.PS-01 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
マッピング済み (79)
| ISO 27001 | 要件 | 一致 | NIST CSF 2.0 | 証跡 |
|---|---|---|---|---|
| A.5 Organizational controls · 29 | ||||
| A.5.1 | Policies for information security | 対応表 | GV.PO-01GV.PO-02 | 同じトピック： ガバナンスポリシー |
| A.5.2 | Information security roles and responsibilities | 対応表 | GV.RR-01GV.RR-02GV.RR-03 | 同じトピック： 役割と責任 |
| A.5.4 | Management responsibilities | 対応表 | GV.RR-01GV.RR-02GV.RR-03 | 同じトピック： 役割と責任 |
| A.5.5 | Contact with authorities | 対応表 | RS.CO-02 | 同じトピック： 報告 |
| A.5.6 | Contact with special interest groups | 編集 | RS.CO-03 | 同じトピック： コミュニケーション (編集部のおすすめ) |
| A.5.7 | Threat intelligence | 対応表 | DE.AE-07ID.RA-02ID.RA-03 | 同じトピック： 脅威インテリジェンス |
| A.5.9 | Inventory of information and other associated assets | 対応表 | ID.AM-01ID.AM-02ID.AM-04+1 | 同じトピック： 資産管理 |
| A.5.11 | Return of assets | 対応表 | ID.AM-01ID.AM-02ID.AM-04+1 | 同じトピック： 資産管理 |
| A.5.12 | Classification of information | 対応表 | ID.AM-05ID.AM-07 | 同じトピック： データ分類 |
| A.5.13 | Labelling of information | 対応表 | ID.AM-05ID.AM-07 | 同じトピック： データ分類 |
| A.5.14 | Information transfer | 対応表 | DE.CM-09PR.DS-01PR.DS-02+1 | 同じトピック： メールセキュリティ, データ保護 |
| A.5.15 | Access control | 対応表 | PR.AA-01PR.AA-03PR.AA-04+2 | 同じトピック： アクセス制御, ゼロトラスト |
| A.5.16 | Identity management | 対応表 | PR.AA-01PR.AA-05 | 同じトピック： アクセス制御 |
| A.5.18 | Access rights | 対応表 | PR.AA-01PR.AA-05 | 同じトピック： アクセス制御 |
| A.5.19 | Information security in supplier relationships | 対応表 | DE.CM-06GV.SC-01GV.SC-03+7 | 同じトピック： ベンダーリスク管理, サプライチェーンリスク |
| A.5.20 | Addressing information security within supplier agreements | 対応表 | DE.CM-06GV.SC-04GV.SC-06+2 | 同じトピック： ベンダーリスク管理 |
| A.5.21 | Managing information security in the ICT supply chain | 対応表 | GV.SC-01GV.SC-03GV.SC-05+2 | 同じトピック： サプライチェーンリスク |
| A.5.22 | Monitoring, review and change management of supplier services | 対応表 | DE.CM-06GV.SC-04GV.SC-06+2 | 同じトピック： ベンダーリスク管理 |
| A.5.23 | Information security for use of cloud services | 対応表 | ID.AM-04PR.IR-01PR.PS-01 | 同じトピック： クラウドセキュリティ |
| A.5.24 | Information security incident management planning and preparation | 対応表 | ID.IM-04RS.MA-01RS.MA-02+2 | 同じトピック： インシデント対応 |
| A.5.25 | Assessment and decision on information security events | 対応表 | DE.AE-03DE.AE-06DE.AE-08+5 | 同じトピック： SIEM / SOC |
| A.5.26 | Response to information security incidents | 対応表 | ID.IM-04RC.CO-03RC.CO-04+7 | 同じトピック： インシデント対応, 連絡と復旧 |
| A.5.27 | Learning from information security incidents | 対応表 | ID.IM-03RC.RP-06 | 同じトピック： 教訓の反映 |
| A.5.28 | Collection of evidence | 対応表 | RS.AN-03RS.AN-06RS.AN-07 | 同じトピック： フォレンジック |
| A.5.29 | Information security during disruption | 対応表 | GV.OC-04ID.IM-04PR.IR-03+3 | 同じトピック： 事業継続, 復旧計画 |
| A.5.30 | ICT readiness for business continuity | 対応表 | GV.OC-04ID.IM-04PR.IR-03+4 | 同じトピック： 事業継続, 復旧計画, ディザスタリカバリ |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | 対応表 | GV.OC-03GV.OV-03 | 同じトピック： コンプライアンス |
| A.5.36 | Compliance with policies, rules and standards for information security | 編集 | GV.OC-03GV.OV-03 | 同じトピック： コンプライアンス (編集部のおすすめ) |
| A.5.37 | Documented operating procedures | 対応表 | GV.PO-01GV.PO-02 | 同じトピック： ガバナンスポリシー |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | 対応表 | DE.CM-03GV.RR-04 | 同じトピック： 内部脅威 |
| A.6.3 | Information security awareness, education and training | 対応表 | PR.AT-01PR.AT-02 | 同じトピック： 意識向上とトレーニング |
| A.6.4 | Disciplinary process | 対応表 | DE.CM-03GV.RR-04 | 同じトピック： 内部脅威 |
| A.6.7 | Remote working | 編集 | PR.AA-05PR.PS-01 | 同じトピック： モバイルセキュリティ (編集部のおすすめ) |
| A.6.8 | Information security event reporting | 対応表 | RS.CO-02 | 同じトピック： 報告 |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | 対応表 | DE.CM-02PR.AA-06PR.IR-02 | 同じトピック： 物理的セキュリティ |
| A.7.2 | Physical entry | 対応表 | DE.CM-02PR.AA-06PR.IR-02 | 同じトピック： 物理的セキュリティ |
| A.7.3 | Securing offices, rooms and facilities | 対応表 | DE.CM-02PR.AA-06PR.IR-02 | 同じトピック： 物理的セキュリティ |
| A.7.4 | Physical security monitoring | 対応表 | DE.CM-02PR.AA-06PR.IR-02 | 同じトピック： 物理的セキュリティ |
| A.7.5 | Protecting against physical and environmental threats | 対応表 | DE.CM-02PR.AA-06PR.IR-02 | 同じトピック： 物理的セキュリティ |
| A.7.6 | Working in secure areas | 対応表 | DE.CM-02PR.AA-06PR.IR-02 | 同じトピック： 物理的セキュリティ |
| A.7.8 | Equipment siting and protection | 対応表 | DE.CM-02PR.AA-06PR.IR-02 | 同じトピック： 物理的セキュリティ |
| A.7.11 | Supporting utilities | 対応表 | DE.CM-02PR.AA-06PR.IR-02 | 同じトピック： 物理的セキュリティ |
| A.7.12 | Cabling security | 対応表 | DE.CM-02PR.AA-06PR.IR-02 | 同じトピック： 物理的セキュリティ |
| A.7.14 | Secure disposal or re-use of equipment | 対応表 | ID.AM-01ID.AM-02ID.AM-04+1 | 同じトピック： 資産管理 |
| A.8 Technological controls · 25 | ||||
| A.8.1 | User endpoint devices | 対応表 | PR.AA-05PR.PS-01DE.CM-09+1 | 同じトピック： モバイルセキュリティ, エンドポイント保護 |
| A.8.2 | Privileged access rights | 対応表 | PR.AA-05 | 同じトピック： 特権アクセス |
| A.8.3 | Information access restriction | 対応表 | PR.AA-01PR.AA-05 | 同じトピック： アクセス制御 |
| A.8.5 | Secure authentication | 対応表 | PR.AA-03PR.AA-04PR.AA-05+2 | 同じトピック： 多要素認証, ゼロトラスト, API セキュリティ |
| A.8.7 | Protection against malware | 編集 | DE.CM-09PR.PS-05 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| A.8.8 | Management of technical vulnerabilities | 対応表 | ID.RA-01ID.RA-08PR.PS-02 | 同じトピック： 脆弱性管理, パッチ管理 |
| A.8.9 | Configuration management | 対応表 | PR.PS-01 | 同じトピック： 安全な構成 |
| A.8.10 | Information deletion | 対応表 | PR.DS-01PR.DS-02PR.DS-10 | 同じトピック： データ保護 |
| A.8.11 | Data masking | 対応表 | PR.DS-01PR.DS-02PR.DS-10 | 同じトピック： データ保護 |
| A.8.12 | Data leakage prevention | 対応表 | PR.DS-01PR.DS-02PR.DS-10 | 同じトピック： DLP |
| A.8.13 | Information backup | 対応表 | PR.DS-11RC.RP-03 | 同じトピック： バックアップと復旧 |
| A.8.14 | Redundancy of information processing facilities | 対応表 | GV.OC-04PR.IR-03RC.RP-02+2 | 同じトピック： 事業継続, ディザスタリカバリ |
| A.8.15 | Logging | 対応表 | DE.AE-03PR.PS-04 | 同じトピック： ログ記録と監査 |
| A.8.16 | Monitoring activities | 対応表 | DE.AE-02DE.AE-03DE.AE-04+6 | 同じトピック： 侵入検知, 異常検知, SIEM / SOC |
| A.8.17 | Clock synchronization | 対応表 | DE.AE-03PR.PS-04 | 同じトピック： ログ記録と監査 |
| A.8.18 | Use of privileged utility programs | 対応表 | PR.AA-05 | 同じトピック： 特権アクセス |
| A.8.19 | Installation of software on operational systems | 対応表 | DE.CM-09PR.PS-05 | 同じトピック： エンドポイント保護 |
| A.8.20 | Networks security | 対応表 | DE.CM-01ID.AM-03PR.IR-01 | 同じトピック： DNSセキュリティ, WAF, ファイアウォール / ネットワークセグメンテーション |
| A.8.21 | Security of network services | 対応表 | DE.CM-01ID.AM-03PR.IR-01 | 同じトピック： DNSセキュリティ, ファイアウォール / ネットワークセグメンテーション |
| A.8.22 | Segregation of networks | 対応表 | ID.AM-03PR.AA-03PR.AA-04+2 | 同じトピック： ファイアウォール / ネットワークセグメンテーション, ゼロトラスト |
| A.8.24 | Use of cryptography | 対応表 | PR.DS-01PR.DS-02 | 同じトピック： 暗号化 |
| A.8.25 | Secure development life cycle | 対応表 | PR.PS-06 | 同じトピック： セキュア開発 |
| A.8.26 | Application security requirements | 対応表 | PR.AA-03PR.IR-01PR.PS-06 | 同じトピック： API セキュリティ, Web セキュリティ, セキュア開発 |
| A.8.28 | Secure coding | 対応表 | PR.PS-06 | 同じトピック： セキュア開発 |
| A.8.29 | Security testing in development and acceptance | 対応表 | PR.PS-06 | 同じトピック： セキュア開発 |
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.1 | Understanding the organization and its context | 対応表 | GV.OC-01GV.OC-04GV.OC-05 | 同じトピック： 事業環境 |
| Clause 4.2 | Understanding the needs and expectations of interested parties | 対応表 | GV.OC-01GV.OC-04GV.OC-05 | 同じトピック： 事業環境 |
| Clause 5.2 | Policy | 対応表 | GV.PO-01GV.PO-02 | 同じトピック： ガバナンスポリシー |
| Clause 6.1.1 | General | 対応表 | GV.RM-01GV.RM-02GV.RM-03+1 | 同じトピック： リスクマネジメント |
| Clause 6.1.2 | Information security risk assessment | 対応表 | ID.RA-03ID.RA-04ID.RA-05+1 | 同じトピック： リスクアセスメント |
| Clause 6.1.3 | Information security risk treatment | 対応表 | GV.RM-01GV.RM-02GV.RM-03+5 | 同じトピック： リスクマネジメント |
| Clause 7.3 | Awareness | 対応表 | PR.AT-01PR.AT-02 | 同じトピック： 意識向上とトレーニング |
| Clause 7.4 | Communication | 対応表 | RC.CO-03RC.CO-04RC.RP-05+1 | 同じトピック： 連絡と復旧 |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | 対応表 | GV.OC-03GV.OV-03 | 同じトピック： コンプライアンス |
| Clause 10.1 | Continual improvement | 編集 | ID.IM-03RC.RP-06 | 同じトピック： 教訓の反映 (編集部のおすすめ) |
NIST Cybersecurity Framework 2.0 の要件 106 件のうち、89 件は ISO 27001 の何らかの項目にマッピングされ、15 件は緩やかに関連するのみで、2 件は当サイトのデータにマッピングがありません。
新規対応が必要と見込まれる項目: ISO 27001 へのマッピングがない NIST CSF 2.0 の要件 (2)
| NIST CSF 2.0 | 要件 | 一致 | ISO 27001 | 証跡 |
|---|---|---|---|---|
| Identify (ID) · 2 | ||||
| ID.IM-01 | Improvements are identified from evaluations | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには ISO 27001 へのマッピングがありません。 |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには ISO 27001 へのマッピングがありません。 |
要確認：関連性は緩やかなもののみ（共通するCSFのアウトカムがあるだけで、マッピングではありません） (15)
| NIST CSF 2.0 | 要件 | 一致 | ISO 27001 | 証跡 |
|---|---|---|---|---|
| Govern (GV) · 9 | ||||
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | Clause 4.1Clause 4.2Clause 4.4+4 | CSF GV.OC-02 のみを共有: 関連はあるがマッピングではありません | |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | A.5.1A.5.5A.5.6+3 | CSF GV.OV-01 のみを共有: 関連はあるがマッピングではありません | |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | A.5.1A.5.19A.5.27+3 | CSF GV.OV-02 のみを共有: 関連はあるがマッピングではありません | |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | A.5.1Clause 6.1.3 | CSF GV.RM-04 のみを共有: 関連はあるがマッピングではありません | |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | A.5.1A.5.19Clause 6.1.1+1 | CSF GV.RM-05 のみを共有: 関連はあるがマッピングではありません | |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | Clause 6.1.1 | CSF GV.RM-07 のみを共有: 関連はあるがマッピングではありません | |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | A.5.2A.5.4Clause 5.3 | CSF GV.SC-02 のみを共有: 関連はあるがマッピングではありません | |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | A.5.26 | CSF GV.SC-08 のみを共有: 関連はあるがマッピングではありません | |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | A.5.19A.5.20A.5.21+4 | CSF GV.SC-10 のみを共有: 関連はあるがマッピングではありません | |
| Identify (ID) · 1 | ||||
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | A.8.32Clause 6.1.3 | CSF ID.RA-07 のみを共有: 関連はあるがマッピングではありません | |
| Protect (PR) · 3 | ||||
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | A.8.2A.8.3A.8.5 | CSF PR.AA-02 のみを共有: 関連はあるがマッピングではありません | |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | A.8.6 | CSF PR.IR-04 のみを共有: 関連はあるがマッピングではありません | |
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | A.5.9A.8.1 | CSF PR.PS-03 のみを共有: 関連はあるがマッピングではありません | |
| Respond (RS) · 2 | ||||
| RS.AN-08 | An incident's magnitude is estimated and validated | A.5.25 | CSF RS.AN-08 のみを共有: 関連はあるがマッピングではありません | |
| RS.MA-05 | The criteria for initiating incident recovery are applied | A.5.25 | CSF RS.MA-05 のみを共有: 関連はあるがマッピングではありません | |
マッピング済み (89)
| NIST CSF 2.0 | 要件 | 一致 | ISO 27001 | 証跡 |
|---|---|---|---|---|
| Detect (DE) · 11 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | 対応表 | A.8.16 | 同じトピック： 侵入検知, 異常検知 |
| DE.AE-03 | Information is correlated from multiple sources | 対応表 | A.5.25A.8.15A.8.16+1 | 同じトピック： SIEM / SOC, ログ記録と監査 |
| DE.AE-04 | The estimated impact and scope of adverse events are understood | 対応表 | A.8.16 | 同じトピック： 異常検知 |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | 対応表 | A.5.25A.8.16 | 同じトピック： SIEM / SOC |
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | 対応表 | A.5.7 | 同じトピック： 脅威インテリジェンス |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | 対応表 | A.5.25A.8.16 | 同じトピック： SIEM / SOC |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | 対応表 | A.8.16A.8.20A.8.21 | 同じトピック： 継続的モニタリング, 侵入検知, DNSセキュリティ, WAF |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | 対応表 | A.7.1A.7.2A.7.3+6 | 同じトピック： 物理的セキュリティ |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | 対応表 | A.6.1A.6.4A.8.16 | 同じトピック： 内部脅威, 継続的モニタリング |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | 対応表 | A.5.19A.5.20A.5.22 | 同じトピック： ベンダーリスク管理 |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | 対応表 | A.5.14A.8.16A.8.19+2 | 同じトピック： メールセキュリティ, 継続的モニタリング, 異常検知, エンドポイント保護 |
| Govern (GV) · 22 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | 対応表 | Clause 4.1Clause 4.2 | 同じトピック： 事業環境 |
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | 対応表 | A.5.31Clause 9.1A.5.36 | 同じトピック： コンプライアンス |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | 対応表 | A.5.29A.5.30A.8.14+2 | 同じトピック： 事業継続 |
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | 対応表 | Clause 4.1Clause 4.2 | 同じトピック： 事業環境 |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | 対応表 | A.5.31Clause 9.1A.5.36 | 同じトピック： コンプライアンス |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | 対応表 | A.5.1A.5.37Clause 5.2 | 同じトピック： ガバナンスポリシー |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | 対応表 | A.5.1A.5.37Clause 5.2 | 同じトピック： ガバナンスポリシー |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | 対応表 | Clause 6.1.1Clause 6.1.3 | 同じトピック： リスクマネジメント |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | 対応表 | Clause 6.1.1Clause 6.1.3 | 同じトピック： リスクマネジメント |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | 対応表 | Clause 6.1.1Clause 6.1.3 | 同じトピック： リスクマネジメント |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | 対応表 | Clause 6.1.1Clause 6.1.3 | 同じトピック： リスクマネジメント |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | 対応表 | A.5.2A.5.4 | 同じトピック： 役割と責任 |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | 対応表 | A.5.2A.5.4 | 同じトピック： 役割と責任 |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | 対応表 | A.5.2A.5.4 | 同じトピック： 役割と責任 |
| GV.RR-04 | Cybersecurity is included in human resources practices | 対応表 | A.6.1A.6.4A.8.16 | 同じトピック： 内部脅威 |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | 対応表 | A.5.19A.5.21 | 同じトピック： サプライチェーンリスク |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | 対応表 | A.5.19A.5.21 | 同じトピック： サプライチェーンリスク |
| GV.SC-04 | Suppliers are known and prioritized by criticality | 対応表 | A.5.19A.5.20A.5.22 | 同じトピック： ベンダーリスク管理 |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | 対応表 | A.5.19A.5.21 | 同じトピック： サプライチェーンリスク |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | 対応表 | A.5.19A.5.20A.5.22 | 同じトピック： ベンダーリスク管理 |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | 対応表 | A.5.19A.5.20A.5.22 | 同じトピック： ベンダーリスク管理 |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | 対応表 | A.5.19A.5.21 | 同じトピック： サプライチェーンリスク |
| Identify (ID) · 18 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | 対応表 | A.5.9A.5.11A.7.14 | 同じトピック： 資産管理 |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | 対応表 | A.5.9A.5.11A.7.14 | 同じトピック： 資産管理 |
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | 対応表 | A.8.20A.8.21A.8.22 | 同じトピック： ファイアウォール / ネットワークセグメンテーション |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | 対応表 | A.5.9A.5.11A.5.23+1 | 同じトピック： 資産管理, クラウドセキュリティ |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | 対応表 | A.5.12A.5.13 | 同じトピック： データ分類 |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | 対応表 | A.5.12A.5.13 | 同じトピック： データ分類 |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | 対応表 | A.5.9A.5.11A.7.14 | 同じトピック： 資産管理 |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | 対応表 | A.5.27Clause 10.1 | 同じトピック： 教訓の反映 |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | 対応表 | A.5.24A.5.25A.5.26+2 | 同じトピック： インシデント対応 |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | 対応表 | A.8.8 | 同じトピック： 脆弱性管理 |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | 対応表 | A.5.7 | 同じトピック： 脅威インテリジェンス |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | 対応表 | A.5.7Clause 6.1.2Clause 6.1.3 | 同じトピック： 脅威インテリジェンス, リスクアセスメント |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | 対応表 | Clause 6.1.2Clause 6.1.3 | 同じトピック： リスクアセスメント |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | 対応表 | Clause 6.1.2Clause 6.1.3 | 同じトピック： リスクアセスメント |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | 対応表 | Clause 6.1.2Clause 6.1.3 | 同じトピック： リスクアセスメント |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | 対応表 | A.8.8 | 同じトピック： 脆弱性管理 |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | 対応表 | A.5.19A.5.21 | 同じトピック： サプライチェーンリスク |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | 対応表 | A.5.19A.5.20A.5.22 | 同じトピック： ベンダーリスク管理 |
| Protect (PR) · 19 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | 対応表 | A.5.15A.5.16A.5.18+1 | 同じトピック： アクセス制御 |
| PR.AA-03 | Users, services, and hardware are authenticated | 対応表 | A.5.15A.8.5A.8.22+1 | 同じトピック： ゼロトラスト, 多要素認証, API セキュリティ |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | 対応表 | A.5.15A.8.5A.8.22 | 同じトピック： ゼロトラスト |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | 対応表 | A.5.15A.5.16A.5.18+7 | 同じトピック： アクセス制御, ゼロトラスト |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | 対応表 | A.7.1A.7.2A.7.3+6 | 同じトピック： 物理的セキュリティ |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | 対応表 | A.6.3Clause 7.3 | 同じトピック： 意識向上とトレーニング |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | 対応表 | A.6.3Clause 7.3 | 同じトピック： 意識向上とトレーニング |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | 対応表 | A.5.14A.8.10A.8.11+2 | 同じトピック： データ保護 |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | 対応表 | A.5.14A.8.10A.8.11+2 | 同じトピック： データ保護, メールセキュリティ |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | 対応表 | A.5.14A.8.10A.8.11+1 | 同じトピック： データ保護 |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | 対応表 | A.8.13 | 同じトピック： バックアップと復旧 |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | 対応表 | A.5.15A.5.23A.8.5+4 | 同じトピック： ゼロトラスト, クラウドセキュリティ, API セキュリティ |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | 対応表 | A.7.1A.7.2A.7.3+6 | 同じトピック： 物理的セキュリティ |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | 対応表 | A.5.29A.5.30A.8.14 | 同じトピック： 事業継続, ディザスタリカバリ |
| PR.PS-01 | Configuration management practices are established and applied | 対応表 | A.5.23A.8.1A.8.9+1 | 同じトピック： クラウドセキュリティ, モバイルセキュリティ, 安全な構成 |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | 対応表 | A.8.8 | 同じトピック： パッチ管理 |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | 対応表 | A.8.15A.8.17 | 同じトピック： ログ記録と監査 |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | 対応表 | A.8.19A.8.1A.8.7 | 同じトピック： エンドポイント保護 |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | 対応表 | A.8.5A.8.25A.8.26+2 | 同じトピック： API セキュリティ, セキュア開発, Web セキュリティ |
| Recover (RC) · 8 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | 対応表 | A.5.26Clause 7.4 | 同じトピック： 連絡と復旧 |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | 対応表 | A.5.26Clause 7.4 | 同じトピック： 連絡と復旧 |
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | 対応表 | A.5.29A.5.30 | 同じトピック： 復旧計画 |
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | 対応表 | A.5.29A.5.30A.8.14 | 同じトピック： 復旧計画, ディザスタリカバリ |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | 対応表 | A.8.13 | 同じトピック： バックアップと復旧 |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | 対応表 | A.5.29A.5.30A.8.14 | 同じトピック： 事業継続 |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | 対応表 | A.5.26A.5.30A.8.14+1 | 同じトピック： 連絡と復旧, ディザスタリカバリ |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | 対応表 | A.5.27Clause 10.1 | 同じトピック： 教訓の反映 |
| Respond (RS) · 11 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | 対応表 | A.5.28 | 同じトピック： フォレンジック |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | 対応表 | A.5.28 | 同じトピック： フォレンジック |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | 対応表 | A.5.28 | 同じトピック： フォレンジック |
| RS.CO-02 | Internal and external stakeholders are notified of incidents | 対応表 | A.5.5A.6.8 | 同じトピック： 報告 |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | 対応表 | Clause 7.4A.5.6 | 同じトピック： コミュニケーション |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | 対応表 | A.5.24A.5.25A.5.26 | 同じトピック： インシデント対応 |
| RS.MA-02 | Incident reports are triaged and validated | 対応表 | A.5.24A.5.25A.5.26 | 同じトピック： インシデント対応 |
| RS.MA-03 | Incidents are categorized and prioritized | 対応表 | A.5.24A.5.25A.5.26 | 同じトピック： インシデント対応 |
| RS.MA-04 | Incidents are escalated or elevated as needed | 対応表 | A.5.24A.5.25A.5.26 | 同じトピック： インシデント対応 |
| RS.MI-01 | Incidents are contained | 対応表 | A.5.26 | 同じトピック： 緩和策 |
| RS.MI-02 | Incidents are eradicated | 対応表 | A.5.26 | 同じトピック： 緩和策 |
トピック別
両方でカバー（50）：
ガバナンスポリシー意識向上とトレーニングリスクマネジメントサプライチェーンリスク役割と責任コンプライアンス資産管理リスクアセスメント事業環境データ分類脆弱性管理脅威インテリジェンスアクセス制御多要素認証暗号化データ保護バックアップと復旧特権アクセスファイアウォール / ネットワークセグメンテーションエンドポイント保護パッチ管理安全な構成セキュア開発メールセキュリティWeb セキュリティゼロトラストモバイルセキュリティクラウドセキュリティDNSセキュリティWAFDLP継続的モニタリングログ記録と監査侵入検知異常検知SIEM / SOCインシデント対応フォレンジックコミュニケーション緩和策報告復旧計画事業継続教訓の反映連絡と復旧ディザスタリカバリAPI セキュリティ内部脅威ベンダーリスク管理物理的セキュリティ
よくある質問
NIST CSF に対して認証を取得できますか？
いいえ。NIST は認証を提供していません。組織は自己評価を行うか、独立した第三者による評価を依頼します。認証可能な選択肢は ISO 27001 です。
NIST CSF は ISO 27001 より導入が容易ですか？
規範性が低く、審査もないため、導入は容易です。ただし内容が軽いわけではありません。CSF 2.0 のすべての成果を満たすには、成熟したプログラムが必要です。
対応関係はどこから得られたものですか？
NIST 自身の CSF 2.0 情報参照と、NIST SP 800-53 から ISO 27001 への対応関係によるものです。方法論をご覧ください。
ISO 27001 は NIST CSF より厳格ですか？
厳格さの性質が異なります。ISO 27001 は監査を受け、認証の対象となり、マネジメントシステムを求めます。NIST CSF は範囲が広く（特に 2.0 以降はガバナンスとサプライチェーンリスクの面で）、ただし監査はありません。どちらも厳格さは実装の仕方によります。
NIST CSF と ISO 27001 で1つのリスクアセスメントを共有できますか？
はい。ISO 27001 の要件である文書化された方法、リスク所有者、受容基準を満たすリスクアセスメントは、CSF のリスクマネジメントの成果も支えます。
米国政府は ISO 27001 を要求していますか？
一般的には要求していません。米国連邦政府のシステムは NIST SP 800-53 とリスクマネジメントフレームワーク（RMF）を使用しています。CSF は民間部門で広く使われています。ISO 27001 は、国際的な顧客から要求されることがより多くなっています。
利用するために ISO 27001 を購入する必要はありますか？
はい。規格は ISO および各国の標準化団体が販売しています。NIST CSF とその参照情報は無料でダウンロードできます。
中小企業にとってはどちらが適していますか？
NIST CSF は無料で、導入も容易です。ISO 27001 は、顧客や入札で認証が求められる場合に取得する価値があります。多くの中小企業は CSF から始め、後で認証を取得しています。
要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。
対応表 公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集 対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. マッピング済み = ControlMapping のトピックで一緒にまとめられているか、直接リンクされている状態。クロスウォークは準拠の証明にはなりません。 方法論 · データをダウンロード · 誤りを報告.