役割と責任
サイバーセキュリティに関する役割、責任、権限を定義する。
役割と責任 は NIST CSF 2.0 のアウトカム GV.RR-01 (Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving); GV.RR-02 (Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced); GV.RR-03 (Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies) で定義されています。 対応表 ISO 27001, PCI DSS, 800-53, HIPAA および NIS2 において、公開されたクロスウォークを通じてマッピング済み。 編集 SOC 2, GDPR, DORA および CPS 234 において編集上マッピング済み。 CIS v8.1 においては緩やかに関連するのみ。 当サイトのデータにはマッピングがありません 当サイトのデータには CMMC, Essential Eight および Cyber Essentials に関するマッピングがありません。
| フレームワーク | 要件 | タイトル | リンク | 出典／理由 |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.RR-01GV.RR-02GV.RR-03 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving; Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced; Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | トピックの定義 | GV.RR-01 GV.RR-02 GV.RR-03 |
| ISO 27001 | A.5.2A.5.4 | Information security roles and responsibilities; Management responsibilities | 対応表 | A.5.2: via GV.RR-02; NIST 800-53 map: PM-2, PM-29 A.5.4: via GV.RR-01 |
| CIS v8.1 | CIS 14.1CIS 14.9 | このトピックにはマッピングされていません | これらの要件は、公開されているクロスウォークを通じて、このトピックの CSF アウトカム（GV.RR-01, GV.RR-02, GV.RR-03）を共有しているにすぎません。確認の価値はありますが、マッピングではありません。 | |
| SOC 2 | CC1.3CC1.2CC1.5 | Structures, reporting lines, authorities and responsibilities; Board independence and oversight of internal control; Accountability for internal control responsibilities | 編集 | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.1.312.1.4 | Security roles and responsibilities defined; Executive responsibility for information security assigned | 対応表 | 12.1.3: via GV.RR-01; GV.RR-02 12.1.4: via GV.RR-01; GV.RR-03 |
| CMMC | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている CMMC の要件はありません。 |
| 800-53 | PM-2PS-9PM-29 | Information Security Program Leadership Role; Position Descriptions; Risk Management Program Leadership Roles | 対応表 | PM-2: via GV.RR-01; GV.RR-02 PS-9: Position descriptions must state security and privacy roles and responsibilities; NIST links PS-9 only to GV.RR-04 (HR practices), but it is the 800-53 control that writes roles down. PM-29: via GV.RR-01; GV.RR-02 |
| HIPAA | §164.308(a)(2) | Assigned Security Responsibility | 対応表 | §164.308(a)(2): via NIST HIPAA map: PM-2 |
| GDPR | Art.37(1)Art.39(1) | Designation of the data protection officer; Tasks of the data protection officer | 編集 | No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 1.2 | Roles, responsibilities and authorities | 対応表 | 1.2: via GV.RR-02; ENISA ISO map: A.5.2, A.5.4 |
| Essential Eight | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている Essential Eight の要件はありません。 |
| DORA | Art.5(2)(c)Art.6(4)Art.5(3) | Governance and organisation; ICT risk management framework; Governance and organisation | 編集 | Art.5(2)(c): The management body sets clear roles and responsibilities for all ICT-related functions. Art.6(4): An independent control function manages and oversees ICT risk, with segregated risk, control and audit functions. Art.5(3): A role, or a senior manager, monitors arrangements with ICT third-party service providers. |
| CPS 234 | Para 13Para 14 | Board ultimately responsible for information security; Define information security roles and responsibilities | 編集 | Para 13: The Board is ultimately responsible for information security. Para 14: Clearly define information security roles and responsibilities, from the Board to operations. |
| Cyber Essentials | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている Cyber Essentials の要件はありません。 |
トピックの定義 このトピックを定義するCSF 2.0 のアウトカム · 対応表 公開されたクロスウォークに裏付けられた項目を少なくとも1つ選択 · 編集 ControlMapping の判断（理由付き） · マッピングはされていないが、このトピックのCSFアウトカムを共有しています · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. 方法論.
要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。
マッピングに誤りや欠落がありますか？ 報告する
役割と責任について
サイバーセキュリティの役割と責任を明確に定義することは、説明責任を確保し、組織全体でセキュリティ対策の抜け漏れを防ぐうえで不可欠です。これには、CISOまたはそれに相当する責任者の任命、システム所有者へのセキュリティ責任の定義、セキュリティ委員会の設置、およびセキュリティに関する判断のエスカレーション経路の文書化が含まれます。役割の明確さは、インシデント発生時に特に重要です。権限の所在が曖昧だと対応が遅れ、被害の範囲が拡大するおそれがあるためです。