コンプライアンス
適用されるサイバーセキュリティ要件への準拠を確保する。
コンプライアンス は NIST CSF 2.0 のアウトカム GV.OC-03 (Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed); GV.OV-03 (Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed) で定義されています。 対応表 ISO 27001, PCI DSS, 800-53 および NIS2 において、公開されたクロスウォークを通じてマッピング済み。 編集 SOC 2, CMMC, HIPAA, GDPR, DORA および CPS 234 において編集上マッピング済み。 当サイトのデータにはマッピングがありません 当サイトのデータには CIS v8.1, Essential Eight および Cyber Essentials に関するマッピングがありません。
| フレームワーク | 要件 | タイトル | リンク | 出典／理由 |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.OC-03GV.OV-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed; Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | トピックの定義 | GV.OC-03 GV.OV-03 |
| ISO 27001 | A.5.31A.5.36Clause 9.1 | Legal, statutory, regulatory and contractual requirements; Compliance with policies, rules and standards for information security; Monitoring, measurement, analysis and evaluation | 対応表 | A.5.31: via GV.OC-03 A.5.36: Compliance with policies, rules and standards is the Annex A control for checking internal compliance; not linked in the OLIR mapping. Clause 9.1: via GV.OV-03; NIST 800-53 map: PM-6 |
| CIS v8.1 | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている CIS v8.1 の要件はありません。 |
| SOC 2 | CC4.1CC4.2 | Ongoing and/or separate evaluations of controls; Communicating and remediating control deficiencies | 編集 | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.4.2 | Service providers: quarterly reviews of operational tasks | 対応表 | 12.4.2: via GV.OV-03 |
| CMMC | CA.L2-3.12.1 | Security Control Assessment | 編集 | CA.L2-3.12.1: Periodically assess security controls: CMMC's compliance-checking practice; NIST's crosswalk only reaches it via CA-2, itself an editorial pick here. |
| 800-53 | CA-2PM-4PM-6 | Control Assessments; Plan of Action and Milestones Process; Measures of Performance | 対応表 | CA-2: Control assessments are how compliance with requirements is checked; NIST's CSF 2.0 references don't link CA-2 to GV.OC-03/GV.OV-03. PM-4: via GV.OV-03 PM-6: via GV.OV-03 |
| HIPAA | §164.308(a)(8) | Evaluation | 編集 | §164.308(a)(8): Evaluation (periodic technical and non-technical evaluation); NIST maps it to CA-2, itself an editorial pick for this topic. |
| GDPR | Art.5(2) | Principles relating to processing of personal data | 編集 | Art.5(2): No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 2.22.3 | Compliance monitoring; Independent review of information and network security | 対応表 | 2.2: via ENISA ISO map: A.5.31, A.5.36 2.3: Independent review of network and information security; ENISA links it to GV.OV-02. |
| Essential Eight | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている Essential Eight の要件はありません。 |
| DORA | Art.6(6)Art.6(7)Art.5(2)(f) | ICT risk management framework; ICT risk management framework; Governance and organisation | 編集 | Art.6(6): The ICT risk management framework is subject to regular internal audit. Art.6(7): A formal follow-up process to verify and remediate critical ICT audit findings. Art.5(2)(f): The management body approves and reviews ICT internal audit plans. |
| CPS 234 | Para 32Para 33Para 34 | Internal audit reviews control design and effectiveness; Assurance provided by appropriately skilled personnel; Internal audit assesses third-party assurance relied on | 編集 | Para 32: Internal audit reviews the design and operating effectiveness of information security controls. Para 33: Control assurance is provided by appropriately skilled personnel. Para 34: Internal audit assesses the third-party assurance it relies on. |
| Cyber Essentials | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている Cyber Essentials の要件はありません。 |
トピックの定義 このトピックを定義するCSF 2.0 のアウトカム · 対応表 公開されたクロスウォークに裏付けられた項目を少なくとも1つ選択 · 編集 ControlMapping の判断（理由付き） · マッピングはされていないが、このトピックのCSFアウトカムを共有しています · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. 方法論.
要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。
マッピングに誤りや欠落がありますか？ 報告する
コンプライアンスについて
コンプライアンス管理とは、適用されるすべての法的、規制上、契約上、および業界固有のサイバーセキュリティ要件を特定し、それらを満たすための管理策を実装することを指します。これには、GDPR（DSGVOではなく英語の略称を初出時に併記）、HIPAA、PCI DSS、SOX といったフレームワークに基づく義務の追跡、文書化や監査証跡による準拠エビデンスの維持、そして定期的な内部監査やギャップ評価の実施が含まれます。成熟したコンプライアンスプログラムは、事後対応的なチェックリスト作業から、規制要件を日常のセキュリティ運用に積極的に組み込む方向へと移行します。