方法論
ControlMapping は、セキュリティ要件を50のトピック（暗号化、多要素認証、インシデント対応、…）にまとめ、各フレームワークのどの要件が各トピックを扱っているかを示します。このページでは、すべてのマッピングの出所を説明しており、その結果、どの程度依拠してよいかを判断できます。
記号の読み方
同じ5つの記号は、どのページでも同じ意味を持ちます。各記号にはラベルが付いており、色は補助的な手がかりにすぎません。
- トピック定義: トピックを定義する NIST CSF 2.0 のアウトカムです。
- 対応表: 公開されている対応表（NIST、ENISA、CIS、PCI SSC）がリンクを示します。
- 編集: 対応表が存在しない場合の ControlMapping の判断です。理由を表示しています。
- : CSF 2.0 のアウトカムを共有しているだけです。確認する価値はありますが、マッピングではありません。
- 当サイトのデータにはマッピングがありません: 当サイトのデータではマッピングされていません。多くは新規の取り組みですが、対象範囲に関する注記を確認してください。
マッピングとは、対応表 または 編集 のいずれかで、2つの要件が同じトピックに編集されて収録されているか、直接リンクされていることを指します。ギャップツール、比較、件数集計では、マッピングのみが対応範囲として扱われます。 は確認すべき手がかりであり、対応範囲としては扱いません。
当サイトのデータにはマッピングがありません は、当サイトのデータではマッピングされていないことを意味します。ほとんどのフレームワークでは新規作業になると思われますが、対応状況にはばらつきがあります。CIS v8.1: CIS のリンクの大半は編集によるものです。CIS が公開している対応表は153のセーフガードのうち49を対象としています。SOC 2: SOC 2 のリンクは編集によるものだけです。GDPR: GDPR のセキュリティ関連条文のみが編集によりマッピングされています。Essential Eight: Essential Eight のリンクは編集によるものだけです。DORA: DORA のリンクは編集によるもので、その技術基準はマッピングされていません。CPS 234: CPS 234 は原則ベースであり、そのリンクは編集によるものです。Cyber Essentials: Cyber Essentials は5つの技術的統制のみを対象としています。これらにおける「マッピングなし」は「未マッピング」として扱い、予算を立てる前に確認してください。
1. NIST CSF 2.0 がハブ
各トピックは、1つ以上の NIST サイバーセキュリティフレームワーク 2.0 のサブカテゴリによって定義されます（例: 暗号化 = PR.DS-01 保存データおよび PR.DS-02 転送中のデータ）。これらのサブカテゴリの選定は当サイトの編集上の判断であり、すべてのトピックページに示しています。
2. 対応表と編集の違い
その他のフレームワークについては、トピックに紐づけられた各要件を、NIST の Online Informative References (OLIR) カタログにある公開対応表と照合しています。
- 対応表: 公開対応表が、その要件をトピックの CSF サブカテゴリのいずれかに、直接または自身がリンクされた SP 800-53 統制を経由して結び付けています。リンクは表示され、例えば「対応表: PR.DS-01」または「NIST HIPAA マップ: SC-13」と示されます。
- 編集: 公開対応表はリンクを示していないものの、当サイトが関連性があると判断したものです。理由を表示しています。すべての GDPR、SOC 2 および Essential Eight のマッピングは編集によるものです。これらについては、オープンライセンスの対応表が存在しないためです。
対応表には信頼性の差があります。NIST またはフレームワーク所有者（CIS Controls の場合は CIS）が作成したものが最も強いとされます。PCI DSS の対応表は PCI SSC 自身によるものです。ISO 27001 から CSF 2.0 への対応表は独立した第三者から提出されたもので、NIST は NIST 以外の提出物の正確性を検証していません。ISO のリンクは、NIST 自身による SP 800-53 から ISO 27001 へのマッピングとも照合しています。下の表で各ソースを明示しています。
SP 800-53 の管理策ファミリー全体を経由するリンク（NIST の旧データでは一部のサブカテゴリをすべてのファミリーにリンクしています）は、根拠とは見なしていません。SP 800-53 統制を経由する CMMC、HIPAA または ISO のリンクは、その 800-53 統制自体がトピックに対応表でリンクされている場合にのみ有効とします。
CSF 2.0 以外の要件マッピング968件のうち、475件は対応表に裏付けられており、493件は編集によるものです。
3. 要件間の関係
要件ページ、比較、ギャップツールおよびダウンロードでは、フレームワークをまたいで要件を関連付けています。2つの要件は次の場合にマッピング済みとされます。
- 両方が同じ ControlMapping トピックの選定項目である場合（上記のとおり編集・検証済み）。両方の選定項目がそのトピックで対応表に裏付けられている場合はリンクが 対応表 となり、そうでない場合は 編集 となります。または
- 2要件を直接結ぶペアワイズマッピングがある場合: ENISA の NIS2 → ISO 27001 表、NIST の HIPAA → SP 800-53 対応表、NIST の SP 800-53 → ISO 27001 マッピング、または CMMC について NIST の SP 800-171r2 付録 D および SP 800-171r3 → SP 800-53 の参照（いずれも 対応表）。対応表が存在しない場合は、ControlMapping の少数の編集ペア（例: SOC 2 CC4.1 ↔ ISO 27001 Clause 9.2）が明白な欠落を補います。各ペアには理由が付されています（編集）。
それ以外では、同じ NIST CSF 2.0 サブカテゴリにリンクされた2つの要件は、 として表示されます。関連するアウトカムを扱っていますが、一方が他方を満たすものではありません。これらの手がかりは順位付けされ（対応表に裏付けられたものを優先し、次に共有アウトカムの数順）、要件ページではフレームワークごとに最大8件に制限され、折りたたんで表示されます。ノイズとして除外しているリンクは2種類あります。CSF の汎用改善アウトカム（ID.IM）のみを通じて共有されるリンク、および、共有アウトカムがポリシー関連（GV.PO）でない限りの SP 800-53 の「-1」ポリシーおよび手順統制です。
CMMC の実践項目は、SP 800-171 Rev 3 の対応項目または付録 D の 800-53 統制を通じて CSF 2.0 に到達します。HIPAA 要件は、NIST の HIPAA → SP 800-53 対応表を通じて到達します。ダウンロードには、すべての要件 → CSF 2.0 リンクが含まれているため、作業を検証または拡張できます。
4. すべての ID を検証
要件 ID がフレームワークのカタログに存在しない、または廃止されている場合、ビルドは失敗します（例: CSF 2.0 で廃止された CSF 1.1 の ID.BE-01 など）。
5. ソースとバージョン
| フレームワーク | 要件カタログ | 使用した対応表 | マッピング数（対応表） |
|---|---|---|---|
| NIST サイバーセキュリティフレームワーク 2.0 | NIST CPRT による CSF 2.0 のエクスポート（廃止された 1.1 サブカテゴリを含む） | ハブ: すべてのトピックは CSF 2.0 のサブカテゴリによって定義される | — |
| ISO/IEC 27001:2022 | 附属書 A の管理策番号および条項番号と短いタイトル（規格本文は ISO の著作物） | ISO/IEC 27001:2022 から CSF 2.0 へ（OLIR、独立した提出者）、および NIST 自身による SP 800-53 Rev 5 から ISO/IEC 27001:2022 へのマッピング | 105 (99) |
| CIS Controls v8.1 | CIS の題名付き CIS Controls v8.1 セーフガード（CC BY-NC-ND 4.0） | CIS 自身による CIS Controls v8.1 から CSF 2.0 へのマッピング（OLIR）。153のセーフガードのうち49を対象とし、残りは編集 | 163 (40) |
| SOC 2（Trust Services Criteria） | 2017 Trust Services Criteria の ID（2022 年改訂の着眼点を含む）と ControlMapping 独自の一行要約。基準本文は AICPA の著作物 | AICPA は TSC のマッピングを公開している（例: NIST 800-53 および ISO 27001 へ）が、オープンライセンスではないため、ここでの SOC 2 マッピングはすべて ControlMapping の編集 | 66 (0) |
| PCI DSS v4.0.1 | PCI DSS v4.0.1 の要件番号（対応表と照合）と ControlMapping 独自の一行要約。要件本文は PCI SSC の著作物 | PCI SSC 自身による PCI DSS v4.0.1 から CSF 2.0 へのマッピング（Board of Advisors）、NIST の CSF 2.0 参照情報に掲載 | 95 (70) |
| CMMC Level 2 | NIST CPRT による SP 800-171 Rev 2 のエクスポート（CMMC Level 2 の110の実践）と DoD の CMMC Level 2 実践名 | NIST SP 800-171 Rev 2 付録 D（→ SP 800-53、Rev 4 の ID を Rev 5 へ引き継ぎ）、および対応する Rev 3 要件を通じた SP 800-171 Rev 3 → SP 800-53 と CSF 2.0 → 800-171r3 の参照 | 72 (60) |
| NIST SP 800-53 Rev 5.2 | NIST OSCAL カタログ、SP 800-53 Rev 5.2.0（廃止された統制を含む） | NIST CSF 2.0 参照情報（800-53 Rev 5.2.0 および 5.1.1） | 120 (106) |
| HIPAA セキュリティ規則 | NIST SP 800-66r2（CPRT）: セキュリティ規則の基準と実装仕様。ID は NIST の形式に従い、基準については CFR 末尾の (1) を省略。ここでは §164.310(a) が §164.310(a)(1) に相当 | NIST の HIPAA セキュリティ規則から SP 800-53 Rev 5.1.1 への対応表（OLIR）。トピックの対応表で裏付けられた 800-53 統制を経由 | 47 (36) |
| GDPR | セキュリティ義務を含む GDPR の条文（第5条、第24–25条、第28–30条、第32–35条、第37–39条） | 存在しない（GDPR はプライバシー法）ため、GDPR のマッピングはすべて編集 | 34 (0) |
| NIS2 実施規則 (EU) 2024/2690 | 欧州委員会実施規則 (EU) 2024/2690 附属書の49の要件項目（ENISA の題名付き） | ENISA の公式マッピング表（v1.2）による各項目から NIST CSF 2.0 および ISO/IEC 27001:2022 へのマッピング。正規化（例: 廃止された CSF 1.1 の ID を NIST のデータ経由で移行）。汎用の ID.IM 改善リンクは他に何もマッピングされない場合のみ使用 | 65 (64) |
| ASD Essential Eight | ASD が Essential Eight の成熟度レベルを付与する情報セキュリティマニュアルの126の統制（ISM 2026年9月版、CC BY 4.0）。ASD の8つの戦略別に分類 | なし: ASD は NIST または ISO への Essential Eight/ISM の対応表を公開していないため、戦略から CSF 2.0 へのリンクおよびトピックのマッピングは ControlMapping の編集。統制から戦略への割り当ては ASD の Essential Eight 成熟度モデルに従う | 62 (0) |
| DORA（規則 (EU) 2022/2554） | 公式官報（Publications Office）に掲載された規則 (EU) 2022/2554: 金融事業者を拘束する22の条文を、その項および号の本文とともに | 存在しないため、DORA のマッピングはすべて編集。項または号のレベルで行い、それぞれに理由を付す | 93 (0) |
| APRA CPS 234 情報セキュリティ | 連邦法制登録簿（F2018L01745、CC BY 4.0）に登録された APRA 健全性基準 CPS 234: 運用条項の13から36まで、ControlMapping の短いタイトルを付与 | 存在しないため、CPS 234 のマッピングはすべて編集 | 35 (0) |
| 英国 Cyber Essentials（NCSC） | NCSC Cyber Essentials IT インフラ要件 v3.3（2026年4月）: 5つの技術的統制テーマ（英国王室著作権: 名称のみ） | 存在しないため、Cyber Essentials のマッピングはすべて編集。それぞれ具体的な要件を明示 | 11 (0) |
ソースデータは 2026-10-16 に取得。マッピングは 2026-10-27 に作成。
6. 既知のギャップ
- PCI SSC の CSF マッピングには、MFA 要件（8.4.x）や要件1のネットワークセキュリティ統制の大半など、いくつかの中核要件が含まれていません。当サイトがそれらを含める場合は、編集としてマークしています。
- CIS の OLIR 対応表は、153の CIS v8.1 セーフガードのうち49のみを対象としているため、多くの CIS マッピングは編集によるものです。CIS はダウンロードフォームの背後により完全なマッピングを公開していますが、これは取り込んでいません。
- NIST の HIPAA 対応表は SP 800-53 へのマッピングであるため、HIPAA 要件は、トピックの対応表でリンクされた 800-53 統制のいずれかに到達する場合にのみ、対応表に裏付けられたものとみなされます。
- CMMC Level 2 は SP 800-171 Rev 2 です。その公式リンクは、Rev 2 自身の付録 D（SP 800-53 Rev 4 統制を指定。Rev 5 で廃止された7件は NIST の組み込み先リンクに従い、VoIP の SC-19 には後継がない）と、対応する Rev 3 要件に由来します。Rev 3 では一部の要件が書き直されているため、Rev 3 のリンクは同じトピックの証拠であり、文言が同一であることを意味しません。
- 一部のトピックには、あるフレームワークに対応する要件がありません。例えば、CMMC Level 2 には復旧計画の実践がなく、CIS v8.1 にはガバナンスのセーフガードがありません。これらのギャップは省略ではなく、実際に存在するものです。
7. コンプライアンス上の助言ではありません
対応表は、フレームワークが類似のアウトカムをどこで扱っているかを示すものです。ある要件を満たすことで別の要件も満たされる、という証明にはなりません。各フレームワークの公式本文と照らし合わせ、評価者または監査人に確認してください。