用語集
- C3PAO
- CMMC 第三者評価機関（CMMC Third-Party Assessment Organization）：防衛契約事業者に対して CMMC Level 2 の認証評価を実施する権限を与えられた組織。
- CIA トライアド
- 情報セキュリティの3つの中核原則：機密性（不正な開示の防止）、完全性（不正な改変の防止）、可用性（必要なときに認可された者がアクセスできることの確保）。
- CSF サブカテゴリ
- NIST サイバーセキュリティフレームワークの最も細分化されたレベル。PR.AA-03（ユーザー、サービス、ハードウェアが認証される）のような成果を指します。CSF 2.0 には、6つの機能、22のカテゴリ、106の有効なサブカテゴリがあります。ControlMapping では、すべてのフレームワークがリンクする中核としてこれらを用いています。
- CUI
- 管理対象非機密情報（Controlled Unclassified Information）：政府が作成または所有し、保護が必要だが機密指定はされていない情報。CUI の保護要件は NIST SP 800-171 で定められ、CMMC を通じて執行されます。
- DLP
- 情報漏えい防止（Data Loss Prevention）：機密データが組織外へ権限なく送信されることを検出し、防止する技術と方針。DLP ソリューションは、メール、Web、エンドポイント、クラウドサービスを監視します。
- EDR
- エンドポイント検知・対応（Endpoint Detection and Response）：エンドポイントに導入され、サイバー脅威を継続的に監視し、対応するセキュリティソリューション。従来のアンチウイルスを超えて、振る舞い分析、脅威ハンティング、フォレンジック機能を提供します。
- ePHI
- 電子保護医療情報（Electronic Protected Health Information）：電子的に作成、保存、送信、または受信される、個人を識別できる医療情報。HIPAA セキュリティルールは、ePHI の保護を特に扱っています。
- FedRAMP
- 連邦リスク認可管理プログラム（Federal Risk and Authorization Management Program）：連邦政府機関が利用するクラウド製品およびサービスについて、標準化されたセキュリティ評価と認可を提供する米国政府のプログラム。NIST SP 800-53 の統制に基づいています。
- FISMA
- 連邦情報セキュリティ近代化法（Federal Information Security Modernization Act）：連邦政府機関に対し、情報セキュリティプログラムの策定、文書化、実施を義務付ける米国の法律。FISMA への準拠は NIST SP 800-53 の統制に照らして測定されます。
- IDS/IPS
- 侵入検知システム／侵入防止システム（Intrusion Detection System / Intrusion Prevention System）：不審な活動がないかトラフィックを監視するネットワークセキュリティ製品。IDS は検知して警告し、IPS は検知して遮断します。ネットワークベース（NIDS/NIPS）またはホストベース（HIDS/HIPS）のいずれの形態もあります。
- ISMS
- 情報セキュリティマネジメントシステム（Information Security Management System）：機密情報が安全な状態を保つように管理するための体系的なアプローチ。ISO 27001 の認証には、ISMS の導入と維持が必要です。
- MFA
- 多要素認証（Multi-Factor Authentication）：アクセスのために、2つ以上の認証要素（本人が知っているもの、持っているもの、本人の身体的特徴）を要求すること。FIDO2 やパスキーなどのフィッシング耐性のある MFA 方式が、SMS によるコードより望ましいとされています。
- MITRE ATT&CK
- 実際の観測に基づく、攻撃者の戦術、技術、手順（TTP）に関する、世界中からアクセス可能なナレッジベース。セキュリティチームが、検知、脅威ハンティング、レッドチーム演習を改善するために用います。
- OLIR
- NIST のオンライン参照情報（Online Informative References）プログラム：NIST フレームワークと他の規格との間の対応表を集めたカタログで、NIST または第三者が提出したもの。NIST が検査するのは、第三者提出物の正確性ではなく、形式です。
- QSA、ROC、SAQ、AOC
- PCI DSS の評価用語。認定セキュリティ評価機関（QSA）はコンプライアンス報告書（ROC）を作成します。小規模加盟店は、代わりに自己評価質問票（SAQ）を完了することがあります。いずれも最終的にはコンプライアンス証明書（AOC）で締めくくられます。
- SIEM
- セキュリティ情報およびイベント管理（Security Information and Event Management）：IT 環境全体のログデータを集約し、相関分析するプラットフォーム。一元的な可視化、脅威検知、コンプライアンス報告を提供します。
- SOC 2 Type I と Type II
- Type I 報告書は、ある一時点において統制が適切に設計され、整備されていたかどうかを対象とします。Type II 報告書はさらに、一定期間にわたってそれらが有効に運用されていたかどうかも対象とし、多くの顧客が求めるものです。
- SOC（セキュリティ運用センター）
- セキュリティインシデントを監視し、検知し、対応するチーム。多くの場合、専用の施設を備えます。SOC 2（監査報告書）とは混同しないでください。
- WAF
- Web アプリケーションファイアウォール（Web Application Firewall）：Web アプリケーションとの間で送受信される HTTP/HTTPS トラフィックを検査し、SQL インジェクション、XSS、リモートファイルインクルージョンなどの一般的な攻撃を遮断するセキュリティソリューション。
- アクセス制御
- コンピューティング環境内のリソースを、誰が、または何が閲覧または利用できるかを規制するセキュリティ対策。アクセス制御には、認証（ID の検証）、認可（権限の付与）、アカウンティング（アクセスの追跡）が含まれます。
- アテステーション
- 独立した実務家が、ある対象事項について述べる意見のこと。例えば SOC 2 報告書における、CPA 事務所による企業の統制に関する意見がこれにあたります。アテステーションは認証ではありません。証明書も合否基準もありません。
- インシデント対応
- サイバーセキュリティインシデントを検知し、封じ込め、根絶し、復旧するための体系的な取り組み。インシデント対応計画では、役割、手順、連絡プロトコル、エスカレーションの経路を定めます。
- ガバナンス
- サイバーセキュリティ活動が事業目標や規制要件と整合するようにする方針、プロセス、組織構造の仕組み。ガバナンスは、説明責任を確立し、役割を定め、戦略的な方向性を示します。
- ギャップ分析
- 既に実施していること、または既に満たしているフレームワークを、別のフレームワークの要件と比較し、不足している作業を明らかにすること。ControlMapping のギャップ分析は、任意の2つのフレームワーク間で、要件ごとにこれを行います。
- サプライチェーンリスク
- ベンダー、サプライヤー、サービスプロバイダーの脆弱性を通じて、組織のセキュリティが侵害されるリスク。サプライチェーン攻撃は、信頼関係を悪用して直接の防御を回避します。
- システムセキュリティ計画（SSP）
- システムの境界、環境、および各セキュリティ要件がどのように実装されているかを説明する文書。NIST SP 800-171（CMMC Level 2 の慣行 CA.L2-3.12.4）および NIST リスクマネジメントフレームワークで要求されます。
- ゼロトラスト
- 「never trust, always verify」（信頼せず、常に検証する）という原則に基づくセキュリティモデル。ゼロトラストでは、ネットワーク上の位置にかかわらず、すべてのアクセス要求について、ID と認可の継続的な検証が求められます。実装には、マイクロセグメンテーション、ID 認識型プロキシ、デバイスの状態チェックが含まれます。
- データ管理者
- GDPR のもとで、個人データの処理の目的と手段を決定する主体。管理者は、データ保護の原則への準拠について第一義的な責任を負います。
- データ処理者
- GDPR のもとで、データ管理者に代わって個人データを処理する主体。処理者は管理者の指示に従い、適切なセキュリティ対策を実装しなければなりません。
- データ侵害
- 機密性の高い、保護された、または秘密のデータが、権限のない第三者によってアクセス、開示、または窃取されるインシデント。侵害通知の要件は規制によって異なります（GDPR では72時間以内の通知、HIPAA では60日以内の通知が必要）。
- データ分類
- データを機密性レベルおよび不正開示の影響に基づいてカテゴリに分類するプロセス。一般的なレベルには、公開、社内限定、機密、制限付きがあります。
- データ保護影響評価（DPIA）
- GDPR 第35条で求められるプロセスで、個人の権利と自由に高いリスクをもたらす可能性のあるプロジェクトまたはシステムについて、データ保護上のリスクを特定し、最小化するためのもの。
- パッチ管理
- セキュリティ脆弱性を修正するために、ソフトウェア更新を特定、テスト、展開するプロセス。効果的なパッチ管理には、正確な資産台帳、リスクに基づく優先順位付け、修正期限の SLA の定義が必要です。
- ビジネスアソシエイト
- HIPAA のもとで、対象事業体（covered entity）に代わって、保護対象の医療情報を作成、受領、保管、または送信する個人または組織（クラウドプロバイダーや請求代行業者など）。ビジネスアソシエイトはセキュリティルールに準拠し、ビジネスアソシエイト契約を締結しなければなりません。
- フレームワーク
- セキュリティ要件または成果の体系化された集合。法律によるもの（HIPAA、GDPR、NIS2）、契約によるもの（カードブランドとの契約による PCI DSS、防衛契約による CMMC）、任意のもの（NIST CSF、CIS Controls）、そして認証の対象となるもの（ISO 27001）があります。
- ペネトレーションテスト
- システムのセキュリティを評価するために、権限を得て行う攻撃の模擬実施。ペネトレーションテストでは、攻撃者に悪用されうる脆弱性を特定し、既存の統制が有効であることを検証します。
- リスクアセスメント
- 脅威と脆弱性を特定し、その発生可能性と潜在的影響を分析し、適切な低減策を決定する体系的なプロセス。リスクアセスメントは定期的に、また重要な変更が生じるたびに実施すべきです。
- リスク登録簿
- 特定されたリスクの文書化された一覧で、発生可能性、影響、現在の統制、リスク所有者、対応計画を含みます。リスク登録簿は継続的に更新される文書であり、継続的なリスク管理を支えます。
- 暗号化
- データを符号化された形式（暗号文）に変換し、権限のないアクセスを防ぐプロセス。データは、保存時（at rest）、転送時（ネットワーク上を移動中、in transit）、そして近年ではさらに処理中（in use）にも暗号化すべきです。
- 監査証跡
- システム上の活動を時系列で記録したもので、事象の順序を文書で裏付ける証拠を提供します。監査証跡は、セキュリティ侵害、性能上の問題、アプリケーションの欠陥を検出するために用いられます。
- 観察期間
- SOC 2 Type II 報告書が対象とする期間。通常は3か月から12か月で、この期間中に監査人が統制が有効に機能したかどうかを検証します。
- 脅威インテリジェンス
- 複数の情報源（ISAC、政府のフィード、商用プラットフォーム、OSINT）から収集された、現在および新たに出現するサイバー脅威に関する情報。脅威インテリジェンスは、検知ルール、脆弱性の優先順位付け、インシデント対応に役立ちます。
- 個人データ
- GDPR のもとで、識別された、または識別可能な自然人に関するあらゆる情報。氏名、メールアドレス、IP アドレス、位置情報、オンライン識別子などが含まれます。
- 再委託先組織
- SOC 2 報告書にとって統制が重要となるベンダーで、例えばサービスをホストするクラウドプロバイダーなどが該当します。除外方式（carve-out method）の下では、報告書はそのベンダーの統制を対象から除外し、ベンダー自身の保証報告書に依拠します。
- 最小権限
- ユーザー、システム、プロセスには、認可された機能を実行するために必要な最小限のアクセス権限のみを付与すべきとする原則。攻撃対象領域を減らし、侵害されたアカウントの影響範囲を限定します。
- 事業継続
- 障害インシデントの発生後も、製品またはサービスの提供を、あらかじめ定めた許容可能なレベルで継続できる組織の能力。事業継続計画（BCP）では、脅威を特定し、レジリエンスを確保するための手順を定めます。
- 実施規則（EU）2024/2690
- 欧州委員会の規則で、DNS、クラウド、データセンター、マネージドサービス、その他のデジタルプロバイダー向けに、NIS2 第21条のリスク管理措置を詳細に定めるもの。ControlMapping の NIS2 要件は、その附属書の各項目に対応しています。
- 重要事業者および重要組織
- NIS2 の2つの区分。どちらも同じリスク管理と報告の義務を満たさなければなりません。重要事業者は事前の監督と高額な最高罰金の対象となり、重要組織は事後的に監督されます。
- 情報セキュリティマニュアル（ISM）
- オーストラリア信号局（ASD）のサイバーセキュリティフレームワークで、統制の集合です。CC BY 4.0 のもとで公開されています。Essential Eight の要件は、成熟度レベルが付与された ISM の統制です。
- 信頼サービス規準
- SOC 2 報告書で用いられる AICPA の規準で、5つのカテゴリからなります：セキュリティ（常に含まれる）、可用性、機密性、処理の完全性、プライバシー。
- 是正計画およびマイルストーン（POA&M）
- セキュリティ上の弱点、およびそれを是正するための措置と期限の記録。NIST SP 800-53、SP 800-171、CMMC の評価で使用されます。
- 成熟度レベル
- ASD の Essential Eight における3つのレベル（レベル1～3）のいずれか。段階的に高度化する攻撃者に対して、段階的に高い防御を示します。ある戦略がそのレベルに達するのは、そのレベル以下のすべての要件を満たした場合のみです。
- 脆弱性
- システム、アプリケーション、プロセスにおける弱点で、脅威アクターに悪用され、権限のないアクセスや損害を引き起こす可能性があるもの。脆弱性は CVSS（共通脆弱性評価システム）を用いて採点されます。
- 選択的実施仕様
- HIPAA セキュリティルールの仕様のうち、組織が合理的かつ適切と判断する場合に評価して実装しなければならないもの、または実装しない理由を文書化したうえで同等の対策を採用しなければならないもの。任意という意味ではありません。「必須」と表示された仕様は必ず実装しなければなりません。
- 多層防御
- IT システム全体に複数層の統制を配置するセキュリティ戦略。ある層が破られても、他の層が引き続き防御を提供します。階層化セキュリティとも呼ばれます。
- 対応表
- 2つのフレームワークの要件間の対応関係を示す公開済みのマッピング。例えば、NIST が公表する SP 800-53 から ISO 27001 へのマッピングなど。対応表は、要件同士が関連する成果を扱っていることを示すものであり、一方を満たせば他方も満たされることを意味しません。当サイトでは、対応表に基づくリンクには「対応表」と表示され、塗りつぶしの四角で示されます。
- 対象事業体
- HIPAA のもとで、プライバシールールおよびセキュリティルールへの準拠が義務付けられる組織：医療保険者、医療データ清算機関、および医療情報を電子的に送信する医療提供者。
- 代替統制
- 主要な統制を実装できない場合に採用される代替のセキュリティ対策。代替統制は、元の要件の趣旨を満たし、同等レベルの防御を提供し、文書化されていなければなりません。
- 適用宣言書（SoA）
- ISO 27001 の文書で、附属書 A のすべての管理策について、適用するかどうかとその理由を一覧にしたもの。リスク対応と実施中の管理策とを結びつけるものです。監査人は詳細に審査します。
- 統制
- 情報システムとデータの機密性、完全性、可用性を保護するために設計された安全策または対抗措置。統制は、技術的（ファイアウォール、暗号化）、管理的（方針、教育）、物理的（施錠、入館証）のいずれの場合もあります。
- 認可
- 認証済みのユーザーが、特定のリソースへのアクセスや特定の操作を行う権限を持つかどうかを判断するプロセス。通常は、ロールベースアクセス制御（RBAC）または属性ベースアクセス制御（ABAC）によって実装されます。
- 認証
- ユーザー、デバイス、またはシステムの身元を検証するプロセス。一般的な方式には、パスワード、多要素認証（MFA）、生体認証、デジタル証明書があります。
- 認証機関
- ISO 27001 などの規格に照らしてマネジメントシステムを監査し、認証書を発行する組織。顧客は通常、その機関が認定を受けていることを求めます。
- 認定
- 認証機関が規格に基づく認証を行う能力があることを、正式に認めること。ISO 27001 については、国際認定フォーラム（IAF）に加盟する国内認定機関から認定を受けた認証機関を選んでください。
- 編集マッピング
- 公開済みの対応表が存在しない場合に、ControlMapping が短い理由を添えて設定するリンク。枠線の四角で示されます。当サイトの SOC 2、GDPR、Essential Eight のリンクはすべて編集マッピングです。
- 補完的ユーザー企業統制（CUECs）
- SOC 2 報告書において、記述された統制が機能するために、サービス提供組織の顧客自身が運用しなければならないとされる統制。例えば、顧客自身のユーザーアカウントの管理などが該当します。