サプライチェーンリスク
サプライチェーンにおけるサイバーセキュリティリスクを管理する。
サプライチェーンリスク は NIST CSF 2.0 のアウトカム GV.SC-01 (A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders); GV.SC-03 (Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes); GV.SC-05 (Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties); GV.SC-09 (Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle); ID.RA-09 (The authenticity and integrity of hardware and software are assessed prior to acquisition and use) で定義されています。 対応表 ISO 27001, CIS v8.1, PCI DSS, 800-53 および NIS2 において、公開されたクロスウォークを通じてマッピング済み。 編集 SOC 2, GDPR, DORA および CPS 234 において編集上マッピング済み。 CMMC および HIPAA においては緩やかに関連するのみ。 当サイトのデータにはマッピングがありません 当サイトのデータには Essential Eight および Cyber Essentials に関するマッピングがありません。
| フレームワーク | 要件 | タイトル | リンク | 出典／理由 |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.SC-01GV.SC-03GV.SC-05GV.SC-09ID.RA-09 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders; Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes; Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties… | トピックの定義 | GV.SC-01 GV.SC-03 GV.SC-05 GV.SC-09 ID.RA-09 |
| ISO 27001 | A.5.19A.5.21 | Information security in supplier relationships; Managing information security in the ICT supply chain | 対応表 | A.5.19: via GV.SC-01; GV.SC-03; GV.SC-05; GV.SC-09; ID.RA-09; NIST 800-53 map: SR-2 A.5.21: via GV.SC-01; GV.SC-03; GV.SC-09; NIST 800-53 map: SR-2, SR-3 |
| CIS v8.1 | CIS 15.2 | Establish and Maintain a Service Provider Management Policy | 対応表 | CIS 15.2: via GV.SC-01 |
| SOC 2 | CC9.2 | Managing vendor and business partner risk | 編集 | CC9.2: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.3.212.8.1 | Inventory of custom software and its components; List of third-party service providers kept | 対応表 | 6.3.2: via GV.SC-01; GV.SC-03; GV.SC-09 12.8.1: via GV.SC-01; GV.SC-05; GV.SC-09 |
| CMMC | RA.L2-3.11.1 | このトピックにはマッピングされていません | これらの要件は、公開されているクロスウォークを通じて、このトピックの CSF アウトカム（GV.SC-01, GV.SC-03, GV.SC-05, GV.SC-09, ID.RA-09）を共有しているにすぎません。確認の価値はありますが、マッピングではありません。 | |
| 800-53 | PM-30SR-2SR-3SR-11 | Supply Chain Risk Management Strategy; Supply Chain Risk Management Plan; Supply Chain Controls and Processes… | 対応表 | PM-30: via GV.SC-01; GV.SC-03; GV.SC-09 SR-2: via GV.SC-01; GV.SC-03; GV.SC-09 SR-3: via GV.SC-01; GV.SC-03; GV.SC-05; GV.SC-09 SR-11: via ID.RA-09 |
| HIPAA | §164.308(a)(1)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B) | このトピックにはマッピングされていません | これらの要件は、公開されているクロスウォークを通じて、このトピックの CSF アウトカム（GV.SC-01, GV.SC-03, GV.SC-05, GV.SC-09, ID.RA-09）を共有しているにすぎません。確認の価値はありますが、マッピングではありません。 | |
| GDPR | Art.28(1) | Processor | 編集 | Art.28(1): No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 5.16.1 | Supply chain security policy; Security in acquisition of ICT services, ICT systems or ICT products | 対応表 | 5.1: via GV.SC-01; GV.SC-05; GV.SC-09; ENISA ISO map: A.5.19, A.5.21 6.1: via ID.RA-09; ENISA ISO map: A.5.21 |
| Essential Eight | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている Essential Eight の要件はありません。 |
| DORA | Art.28(2)Art.29(1)Art.29(2) | General principles; Preliminary assessment of ICT concentration risk at entity level; Preliminary assessment of ICT concentration risk at entity level | 編集 | Art.28(2): A strategy on ICT third-party risk, with a policy on ICT services supporting critical or important functions. Art.29(1): Assess ICT concentration risk before contracting, such as providers that aren't easily substitutable. Art.29(2): Weigh the risks of subcontracting chains, insolvency law and providers in third countries. |
| CPS 234 | Para 16Para 22 | Assess third parties' information security capability; Evaluate the design of third parties' controls | 編集 | Para 16: Assess the information security capability of related parties and third parties that manage information assets. Para 22: Evaluate the design of third parties' controls that protect the entity's information assets. |
| Cyber Essentials | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている Cyber Essentials の要件はありません。 |
トピックの定義 このトピックを定義するCSF 2.0 のアウトカム · 対応表 公開されたクロスウォークに裏付けられた項目を少なくとも1つ選択 · 編集 ControlMapping の判断（理由付き） · マッピングはされていないが、このトピックのCSFアウトカムを共有しています · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. 方法論.
要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。
マッピングに誤りや欠落がありますか？ 報告する
サプライチェーンリスクについて
サプライチェーンリスク管理は、組織のシステムやデータにアクセスできるサードパーティのハードウェア、ソフトウェア、サービスプロバイダーがもたらすセキュリティ上の脆弱性に対処するものです。組織は、取引を開始する前にサプライヤーのセキュリティ態勢を評価し、契約にセキュリティ要件を盛り込み、質問票、監査、または継続的モニタリングツールを通じて継続的なコンプライアンスを監視すべきです。SolarWinds や MOVEit のような大規模なサプライチェーン攻撃は、十分にセキュリティが確保された組織であっても、信頼された取引先との関係を通じて侵害されうることを明らかにしました。