内部脅威
内部の関係者による脅威を、監視と振る舞い分析によって検知し、軽減します。
内部脅威 は NIST CSF 2.0 のアウトカム DE.CM-03 (Personnel activity and technology usage are monitored to find potentially adverse events); GV.RR-04 (Cybersecurity is included in human resources practices) で定義されています。 対応表 ISO 27001, PCI DSS, 800-53, HIPAA および NIS2 において、公開されたクロスウォークを通じてマッピング済み。 編集 CMMC, GDPR および DORA において編集上マッピング済み。 CIS v8.1 においては緩やかに関連するのみ。 当サイトのデータにはマッピングがありません 当サイトのデータには SOC 2, Essential Eight, CPS 234 および Cyber Essentials に関するマッピングがありません。
| フレームワーク | 要件 | タイトル | リンク | 出典／理由 |
|---|---|---|---|---|
| NIST CSF 2.0 | DE.CM-03GV.RR-04 | Personnel activity and technology usage are monitored to find potentially adverse events; Cybersecurity is included in human resources practices | トピックの定義 | DE.CM-03 GV.RR-04 |
| ISO 27001 | A.6.1A.6.4A.8.16 | Screening; Disciplinary process; Monitoring activities | 対応表 | A.6.1: via GV.RR-04 A.6.4: via GV.RR-04 A.8.16: via DE.CM-03; NIST 800-53 map: AC-2, AU-13 |
| CIS v8.1 | CIS 10.7CIS 6.1CIS 6.2 | このトピックにはマッピングされていません | これらの要件は、公開されているクロスウォークを通じて、このトピックの CSF アウトカム（DE.CM-03, GV.RR-04）を共有しているにすぎません。確認の価値はありますが、マッピングではありません。 | |
| SOC 2 | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている SOC 2 の要件はありません。 |
| PCI DSS | 10.2.112.7.1 | Audit logs enabled and active; Personnel screened before hire | 対応表 | 10.2.1: via DE.CM-03 12.7.1: via GV.RR-04 |
| CMMC | AT.L2-3.2.3AU.L2-3.3.2PS.L2-3.9.1 | Insider Threat Awareness; User Accountability; Screen Individuals | 編集 | AT.L2-3.2.3: Insider-threat awareness training: the one CMMC practice that names insider threat. AU.L2-3.3.2: Actions traceable to individual users, which underpins insider monitoring. PS.L2-3.9.1: Screen individuals before authorizing access to CUI. |
| 800-53 | AC-2(12)AU-13PM-12 | Account Monitoring for Atypical Usage; Monitoring for Information Disclosure; Insider Threat Program | 対応表 | AC-2(12): via DE.CM-03 AU-13: via DE.CM-03 PM-12: Insider threat program; NIST's CSF 2.0 references don't link PM-12 to DE.CM-03/GV.RR-04. |
| HIPAA | §164.308(a)(1)(ii)(C)§164.308(a)(3)(ii)(B) | Sanction Policy; Workforce Clearance Procedure | 対応表 | §164.308(a)(1)(ii)(C): Sanction policy for workforce members who violate security policy; NIST maps it to PS-8 (personnel sanctions). §164.308(a)(3)(ii)(B): via NIST HIPAA map: AC-2 |
| GDPR | Art.29Art.32(4) | Processing under the authority of the controller or processor; Security of processing | 編集 | No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 10.210.4 | Verification of Background; Disciplinary process | 対応表 | 10.2: via GV.RR-04; ENISA ISO map: A.6.1 10.4: via ENISA ISO map: A.6.4 |
| Essential Eight | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている Essential Eight の要件はありません。 |
| DORA | Art.10(3) | Detection | 編集 | Art.10(3): Monitoring user activity also covers misuse by insiders, although the regulation's own text doesn't name insider threat. |
| CPS 234 | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている CPS 234 の要件はありません。 |
| Cyber Essentials | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている Cyber Essentials の要件はありません。 |
トピックの定義 このトピックを定義するCSF 2.0 のアウトカム · 対応表 公開されたクロスウォークに裏付けられた項目を少なくとも1つ選択 · 編集 ControlMapping の判断（理由付き） · マッピングはされていないが、このトピックのCSFアウトカムを共有しています · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. 方法論.
要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。
マッピングに誤りや欠落がありますか？ 報告する
内部脅威について
内部脅威対策プログラムは、組織のシステムへの正当なアクセス権を持つ従業員、委託先担当者、ビジネスパートナーがもたらすリスクに対処します。これらの関係者は、故意または過失によって組織に損害を与える可能性があります。検知の手法には、ユーザーおよびエンティティの振る舞い分析（UEBA）、通常と異なるデータアクセスパターンの監視、大容量ファイルのダウンロードや転送の追跡、物理アクセスログと論理アクセスの活動の相関分析などがあります。包括的な内部脅威対策プログラムでは、悪意のある内部者と過失による内部者の双方のリスクを低減するため、身元調査、職務分離、退職時面談、退職時のアクセス権の速やかな取り消しといった人事プロセスも組み込まれます。