API セキュリティ
認証、レート制限、入力検証、監視を通じてAPIを保護します。
API セキュリティ は NIST CSF 2.0 のアウトカム PR.PS-06 (Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle); PR.AA-03 (Users, services, and hardware are authenticated); PR.IR-01 (Networks and environments are protected from unauthorized logical access and usage) で定義されています。 対応表 ISO 27001, PCI DSS および 800-53 において、公開されたクロスウォークを通じてマッピング済み。 編集 CIS v8.1 において編集上マッピング済み。 CMMC, HIPAA および NIS2 においては緩やかに関連するのみ。 当サイトのデータにはマッピングがありません 当サイトのデータには SOC 2, GDPR, Essential Eight, DORA, CPS 234 および Cyber Essentials に関するマッピングがありません。
| フレームワーク | 要件 | タイトル | リンク | 出典／理由 |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-06PR.AA-03PR.IR-01 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle; Users, services, and hardware are authenticated; Networks and environments are protected from unauthorized logical access and usage | トピックの定義 | PR.PS-06 PR.AA-03 PR.IR-01 |
| ISO 27001 | A.8.5A.8.26 | Secure authentication; Application security requirements | 対応表 | A.8.5: via PR.AA-03 A.8.26: via PR.PS-06 |
| CIS v8.1 | CIS 16.10CIS 16.12 | Apply Secure Design Principles in Application Architectures; Implement Code-Level Security Checks | 編集 | CIS 16.10: Secure design principles in application architectures, which apply to APIs as much as user interfaces. CIS 16.12: Code-level security checks catch API flaws such as injection and broken authorisation before release. |
| SOC 2 | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている SOC 2 の要件はありません。 |
| PCI DSS | 6.2.36.2.4 | Custom code reviewed before release; Coding techniques prevent common software attacks | 対応表 | 6.2.3: via PR.PS-06 6.2.4: Engineering techniques against common attacks, including API abuse; omitted from NIST's PCI references. |
| CMMC | SC.L2-3.13.2AC.L2-3.1.8AC.L2-3.1.11IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3 | このトピックにはマッピングされていません | これらの要件は、公開されているクロスウォークを通じて、このトピックの CSF アウトカム（PR.PS-06, PR.AA-03, PR.IR-01）を共有しているにすぎません。確認の価値はありますが、マッピングではありません。 | |
| 800-53 | IA-9SC-5SI-10 | Service Identification and Authentication; Denial-of-service Protection; Information Input Validation | 対応表 | IA-9: via PR.AA-03 SC-5: via PR.IR-01 SI-10: Input validation; not linked to these subcategories in NIST's references. |
| HIPAA | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)§164.312(d)§164.308(a)(3)§164.308(a)(3)(ii)(A) | このトピックにはマッピングされていません | これらの要件は、公開されているクロスウォークを通じて、このトピックの CSF アウトカム（PR.PS-06, PR.AA-03, PR.IR-01）を共有しているにすぎません。確認の価値はありますが、マッピングではありません。 | |
| GDPR | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている GDPR の要件はありません。 |
| NIS2 | 6.211.611.76.76.8 | このトピックにはマッピングされていません | これらの要件は、公開されているクロスウォークを通じて、このトピックの CSF アウトカム（PR.PS-06, PR.AA-03, PR.IR-01）を共有しているにすぎません。確認の価値はありますが、マッピングではありません。 | |
| Essential Eight | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている Essential Eight の要件はありません。 |
| DORA | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている DORA の要件はありません。 |
| CPS 234 | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている CPS 234 の要件はありません。 |
| Cyber Essentials | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている Cyber Essentials の要件はありません。 |
トピックの定義 このトピックを定義するCSF 2.0 のアウトカム · 対応表 公開されたクロスウォークに裏付けられた項目を少なくとも1つ選択 · 編集 ControlMapping の判断（理由付き） · マッピングはされていないが、このトピックのCSFアウトカムを共有しています · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. 方法論.
要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。
マッピングに誤りや欠落がありますか？ 報告する
API セキュリティについて
API セキュリティは、組織がシステム連携、モバイルアプリケーション、パートナー接続のためにAPIへの依存を強めるなかで、アプリケーションプログラミングインターフェースを不正利用、不正アクセス、データ露出から保護するものです。主な管理策には、OAuth 2.0またはAPIキー認証の実装、不正利用を防ぐためのレート制限およびスロットリングの適用、インジェクション攻撃を防ぐためのすべての入力の検証、そして監視および フォレンジック目的でのAPI呼び出しのログ記録が含まれます。組織は、すべてのAPIの完全な棚卸しを維持し、OWASP API Security Top 10に沿った定期的なAPIセキュリティテストを実施するとともに、認証、認可、トラフィック管理を一元化するAPIゲートウェイを導入すべきです。