資産管理
ハードウェア、ソフトウェア、データ、システムを特定し、管理する。
資産管理 は NIST CSF 2.0 のアウトカム ID.AM-01 (Inventories of hardware managed by the organization are maintained); ID.AM-02 (Inventories of software, services, and systems managed by the organization are maintained); ID.AM-04 (Inventories of services provided by suppliers are maintained); ID.AM-08 (Systems, hardware, software, services, and data are managed throughout their life cycles) で定義されています。 対応表 ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53, HIPAA および NIS2 において、公開されたクロスウォークを通じてマッピング済み。 編集 SOC 2, GDPR, Essential Eight, DORA, CPS 234 および Cyber Essentials において編集上マッピング済み。
| フレームワーク | 要件 | タイトル | リンク | 出典／理由 |
|---|---|---|---|---|
| NIST CSF 2.0 | ID.AM-01ID.AM-02ID.AM-04ID.AM-08 | Inventories of hardware managed by the organization are maintained; Inventories of software, services, and systems managed by the organization are maintained; Inventories of services provided by suppliers are maintained… | トピックの定義 | ID.AM-01 ID.AM-02 ID.AM-04 ID.AM-08 |
| ISO 27001 | A.5.9A.5.11A.7.14 | Inventory of information and other associated assets; Return of assets; Secure disposal or re-use of equipment | 対応表 | A.5.9: via ID.AM-01; ID.AM-02; ID.AM-08; NIST 800-53 map: CM-8 A.5.11: via ID.AM-08 A.7.14: via ID.AM-08 |
| CIS v8.1 | CIS 1.1CIS 2.1CIS 1.2CIS 1.3CIS 1.4CIS 1.5CIS 2.3CIS 2.4CIS 16.4 | Establish and Maintain Detailed Enterprise Asset Inventory; Establish and Maintain a Software Inventory; Address Unauthorized Assets… | 対応表 | CIS 1.1: via ID.AM-01; ID.AM-08 CIS 2.1: via ID.AM-02 CIS 1.2: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): deal with unauthorised assets found in the inventory. CIS 1.3: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): active discovery keeps the asset inventory complete. CIS 1.4: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): DHCP logs update the asset inventory. CIS 1.5: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): passive discovery keeps the asset inventory complete. CIS 2.3: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): deal with unauthorised software found in the inventory. CIS 2.4: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): automated tools keep the software inventory current. CIS 16.4: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): an inventory of third-party software components. |
| SOC 2 | CC6.1 | Logical access security over information assets | 編集 | CC6.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.5.16.3.2 | Inventory of in-scope system components; Inventory of custom software and its components | 対応表 | 12.5.1: via ID.AM-01; ID.AM-02 6.3.2: via ID.AM-02 |
| CMMC | CM.L2-3.4.1 | System Baselining | 対応表 | CM.L2-3.4.1: via 800-171r2 Appendix D → CM-8 |
| 800-53 | CM-8PM-5 | System Component Inventory; System Inventory | 対応表 | CM-8: via ID.AM-01; ID.AM-02 PM-5: via ID.AM-01; ID.AM-02 |
| HIPAA | §164.310(d)§164.310(d)(2)(iii) | Device and Media Controls; Accountability | 対応表 | §164.310(d): via NIST HIPAA map: CM-8 §164.310(d)(2)(iii): via NIST HIPAA map: CM-8 |
| GDPR | Art.30(1) | Records of processing activities | 編集 | Art.30(1): No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 12.4 | Asset inventory | 対応表 | 12.4: via ID.AM-01; ID.AM-02; ID.AM-04; ID.AM-08; ENISA ISO map: A.5.9 |
| Essential Eight | ISM-1807 | An automated method of asset discovery is used at least fortnightly to support the… | 編集 | ISM-1807: ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.8(1)Art.8(4)Art.8(6) | Identification; Identification; Identification | 編集 | Art.8(1): Identify, classify and document ICT-supported business functions and the assets that support them. Art.8(4): Identify all information and ICT assets, map the critical ones and their configuration and interdependencies. Art.8(6): Maintain asset inventories and update them on every major change. |
| CPS 234 | Para 20 | Classify information assets by criticality and sensitivity | 編集 | Para 20: The section on information asset identification and classification: identify and classify information assets, including those managed by third parties. |
| Cyber Essentials | CE 3 | Security Update Management | 編集 | CE 3: All in-scope software must be licensed and supported, and unsupported software removed, which needs a software inventory. |
トピックの定義 このトピックを定義するCSF 2.0 のアウトカム · 対応表 公開されたクロスウォークに裏付けられた項目を少なくとも1つ選択 · 編集 ControlMapping の判断（理由付き） · マッピングはされていないが、このトピックのCSFアウトカムを共有しています · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. 方法論.
要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。
マッピングに誤りや欠落がありますか？ 報告する
資産管理について
包括的な資産管理は、ハードウェア機器、ソフトウェアアプリケーション、データストア、クラウドサービスの正確な棚卸しを維持することで、保有する資産を保護するために必要な可視性をもたらします。完全な資産台帳がなければ、組織はセキュリティ管理策を効果的に適用することも、不正な機器を検知することも、パッチの適用範囲を確保することもできません。実装では通常、自動検出ツール、構成管理データベース（CMDB）、そして調達から廃棄までの資産のライフサイクルを追跡するプロセスを用います。