ガバナンスポリシー
サイバーセキュリティのガバナンスに関するポリシーと手順を策定し、維持する。
ガバナンスポリシー は NIST CSF 2.0 のアウトカム GV.PO-01 (Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced); GV.PO-02 (Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission) で定義されています。 対応表 ISO 27001, PCI DSS, 800-53, HIPAA および NIS2 において、公開されたクロスウォークを通じてマッピング済み。 編集 SOC 2, GDPR, DORA および CPS 234 において編集上マッピング済み。 当サイトのデータにはマッピングがありません 当サイトのデータには CIS v8.1, CMMC, Essential Eight および Cyber Essentials に関するマッピングがありません。
| フレームワーク | 要件 | タイトル | リンク | 出典／理由 |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.PO-01GV.PO-02 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced; Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | トピックの定義 | GV.PO-01 GV.PO-02 |
| ISO 27001 | A.5.1A.5.37Clause 5.2 | Policies for information security; Documented operating procedures; Policy | 対応表 | A.5.1: via GV.PO-01; GV.PO-02; NIST 800-53 map: PL-1, PM-1 A.5.37: via GV.PO-01; NIST 800-53 map: PL-1 Clause 5.2: via GV.PO-01; GV.PO-02; NIST 800-53 map: PL-1, PM-1 |
| CIS v8.1 | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている CIS v8.1 の要件はありません。 |
| SOC 2 | CC5.3CC1.1 | Control activities deployed through policies and procedures; Commitment to integrity and ethical values | 編集 | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.1.112.1.2 | Information security policy established and published; Security policy reviewed at least annually | 対応表 | 12.1.1: via GV.PO-01 12.1.2: via GV.PO-01; GV.PO-02 |
| CMMC | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている CMMC の要件はありません。 |
| 800-53 | PM-1PL-1 | Information Security Program Plan; Policy and Procedures | 対応表 | PM-1: via GV.PO-01; GV.PO-02 PL-1: via GV.PO-01; GV.PO-02 |
| HIPAA | §164.316(a)§164.316(b)(2)(iii) | Policies and Procedures; Updates | 対応表 | §164.316(a): via NIST HIPAA map: PL-1 §164.316(b)(2)(iii): via NIST HIPAA map: PL-1, PM-1 |
| GDPR | Art.24(2) | Responsibility of the controller | 編集 | Art.24(2): No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 1.1 | Policy on the security of network and information systems | 対応表 | 1.1: via GV.PO-01; GV.PO-02; ENISA ISO map: Clause 5.2, A.5.1 |
| Essential Eight | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている Essential Eight の要件はありません。 |
| DORA | Art.5(2)(b)Art.9(4)(a)Art.6(5) | Governance and organisation; Protection and prevention; ICT risk management framework | 編集 | Art.5(2)(b): The management body puts in place policies for the availability, authenticity, integrity and confidentiality of data. Art.9(4)(a): Develop and document an information security policy. Art.6(5): The ICT risk management framework is documented and reviewed at least once a year. |
| CPS 234 | Para 18Para 19 | Maintain an information security policy framework; Policies direct everyone with security obligations | 編集 | Para 18: Maintain an information security policy framework commensurate with exposures to vulnerabilities and threats. Para 19: The policy framework directs everyone with an obligation to maintain information security. |
| Cyber Essentials | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている Cyber Essentials の要件はありません。 |
トピックの定義 このトピックを定義するCSF 2.0 のアウトカム · 対応表 公開されたクロスウォークに裏付けられた項目を少なくとも1つ選択 · 編集 ControlMapping の判断（理由付き） · マッピングはされていないが、このトピックのCSFアウトカムを共有しています · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. 方法論.
要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。
マッピングに誤りや欠落がありますか？ 報告する
ガバナンスポリシーについて
サイバーセキュリティのガバナンスポリシーは、組織のセキュリティプログラムの基盤となるものであり、サイバーセキュリティリスクをどのように管理するかについてのルール、基準、および期待事項を定めます。効果的なガバナンスには、明確な責任の所在の確立、許容される利用に関するポリシーの定義、そしてセキュリティ目標を事業目標に合致させる意思決定のためのフレームワークの作成が含まれます。フレームワークでは、ポリシーを定期的に、また重大な変更の後に見直すことが求められています。たとえば PCI DSS では、セキュリティポリシーの年次レビューが求められています（12.1.2）。