よくある質問

ControlMappingの使い方

ControlMappingとは?

セキュリティ要件がどの14フレームワーク間で引き継がれるかを示す無料の参照サイトです。対象は NIST CSF 2.0、ISO 27001、SOC 2、PCI DSS、NIS2、CMMC、HIPAA、GDPR、NIST SP 800-53、CIS Controls、Essential Eight です。1,421件の要件を50のセキュリティトピックに分類しており、すべてのリンクには出典が示されています。

ギャップ分析はどのように実施しますか?

ギャップ分析を開き、現在お持ちのフレームワークと必要なフレームワークを選択します。必要なフレームワークのすべての要件が、公開されている対応表に基づくマッピング、当サイトの編集判断によるマッピング、緩やかに関連、または当サイトのデータにはマッピングがありません、のいずれかで一覧表示されます。マッピングがない行は、新たに対応が必要になる可能性の高い項目です。結果は、担当者、ステータス、証跡の各列を空欄にしたCSVでエクスポートし、進捗管理表として使用できます。

記号はそれぞれ何を意味しますか?

対応表（塗りつぶしの四角）：公開されている対応表（NIST、ENISA、CIS、PCI SSC のいずれかによるもの）によって関連付けられていることを示します。編集（枠線のみの四角）：対応表が存在しない場合の当サイトの判断です。理由は常に表示されます。緩やかに関連（琥珀色のリング）：両者が共有するのは NIST CSF 2.0 のアウトカムのみであるため、利用する前に確認してください。当サイトのデータにはマッピングがありません（ダッシュ）：通常は新たな対応が必要な項目ですが、一部のフレームワークについては網羅性が部分的です。ひし形は、トピックを定義するCSFアウトカムを示します。詳細は方法論をご覧ください。

トピックとは何ですか?

暗号化、多要素認証、インシデント対応など、特定のセキュリティテーマを指します。各トピックはNIST CSF 2.0のアウトカムによって定義され、それに対応するすべてのフレームワークの要件を一覧表示します。トピックページは、1つのテーマをすべてのフレームワークにわたって素早く確認する最も簡単な方法です。

データをダウンロードできますか?

はい。ダウンロードページでは、対応表全体をCSV、Excel、JSON形式で入手でき、ライセンスは CC BY 4.0 です。各ファイルには、第三者資料のライセンス情報も記載されています。

ControlMappingは無料ですか?

はい。アカウント登録も有料の壁もありません。データは CC BY 4.0 の下で無料で再利用できます。

正確性と情報源

マッピングはどの程度正確ですか?

サイトのビルド時に、すべての要件IDをフレームワークの公式カタログと照合します。撤回されたIDがあればビルドは失敗します。対応表と表示されたリンクは、公開されている対応表に由来します。編集と表示されたリンクは当サイトの判断によるもので、それぞれ理由を付記しています。対応表は、要件が関連するアウトカムに対応していることを示すものであり、一方の要件を満たせば他方も満たされることを意味しません。サイトは計画の策定に利用し、監査で依拠する前には必ず原典の本文で確認してください。

対応表の出典はどこですか?

NIST（CSF 2.0 の参照情報、SP 800-53 → ISO 27001、HIPAA → SP 800-53、SP 800-171 付録D）、ENISA（NIS2 → ISO 27001 および CSF 2.0）、CIS（CIS Controls → CSF 2.0）、PCI SSC（PCI DSS → CSF 2.0）です。SOC 2、GDPR、Essential Eight にはオープンライセンスの対応表がないため、これらのリンクは編集によるものです。出典とバージョンの詳細は方法論に記載しています。

ISO、PCI、SOC 2 の要件の全文が見られないのはなぜですか?

その本文は ISO、PCI SSC、AICPA の著作物です。当サイトでは、IDと ISO の表題、そして PCI DSS と SOC 2 については当サイト独自の短い要約を掲載しています。NIST、HIPAA、NIS2、Essential Eight の本文は、そのライセンスが許す範囲で表示しています。

誤りを見つけました。どのように報告すればよいですか?

各要件ページの誤り報告リンクをご利用いただくか、概要ページをご覧ください。

フレームワーク

SOC 2 と ISO 27001 の違いは何ですか?

ISO 27001 は、情報セキュリティマネジメントシステムに対する認証書の取得で完結します。認定を受けた認証機関が発行し、有効期間は3年です。SOC 2 は報告書で完結します。CPA事務所が、通常は3か月から12か月の期間（Type II）にわたって、お客様の統制を評価した意見を示すものです。両者のセキュリティ統制は大きく重なります。ISO はマネジメントシステムを加え、SOC 2 は任意で可用性、機密性、処理の完全性、プライバシーの基準を加えます。詳細は ISO 27001 と SOC 2 の比較をご覧ください。

SOC 2 の Type I と Type II のどちらが必要ですか?

多くの取引先は Type II を求めます。これは、統制が一定期間にわたって実際に運用されていたかを検証するものです。Type I は、ある時点での統制の設計のみを対象とします。Type II の評価期間が進行している間の最初のステップとして有用です。詳細は SOC 2 ガイドをご覧ください。

ISO 27001 の認証があれば NIS2 に適合しますか?

それだけでは適合にはなりません。ENISA は、NIS2 実施規則のすべての技術的対策を ISO 27001 にマッピングしているため、認証を取得した組織は作業の大部分を済ませていることになります。ただし NIS2 では、インシデント報告の期限（24時間、72時間、1か月）、経営層の研修と説明責任、そして所管の国家当局への登録が追加で求められます。詳細は NIS2 ガイドをご覧ください。

NIST CSF と NIST SP 800-53 の違いは何ですか?

CSF 2.0 はアウトカム（106のサブカテゴリ）を記述したものであり、多くの組織にとって任意です。SP 800-53 は、それらのアウトカムを達成するための統制の体系であり、米国連邦政府のシステムでは必須です。FedRAMP の基盤でもあります。NIST は両者の公式マッピングを公表しており、当サイトはそれを利用しています。

CMMC Level 2 が必要なのは誰ですか?

管理された非格付け情報（CUI）を取り扱う米国国防総省の請負業者およびその下請業者です。Level 2 は NIST SP 800-171 Rev 2 の110の要件から成ります。評価方法は自己評価、またはほとんどの CUI 契約で求められる認定の第三者評価機関（C3PAO）による評価のいずれかです。

NIST CSF、HIPAA、Essential Eight に認証制度はありますか?

公式な認証制度はありません。NIST CSF と Essential Eight は評価（アセスメント）の対象であり、認証の対象ではありません。HIPAA は米国保健福祉省の公民権局が執行します。3つすべてについて第三者による保証報告は存在しますが、いずれも公式の認証書ではありません。