NISTサイバーセキュリティフレームワーク（CSF）とは？

NISTサイバーセキュリティフレームワーク（CSF）の意味

米国の標準化機関が公表した、組織のセキュリティ対策を機能別に整理する枠組み。識別、防御、検知、対応、復旧を柱とし、近年は統治の機能が加わった。現状と目標の水準を同じ物差しで示せるため、経営層との対話や取引先との共通言語に使える。

NISTサイバーセキュリティフレームワーク（CSF）の具体例

自社の現状を各機能で4段階評価し、防御は高いが検知と対応が低いという偏りを図示する。3年後の目標水準との差を埋める投資として、監視基盤と対応体制に予算を重点配分する計画を作り、取締役会へ提示して承認を得る。

NISTサイバーセキュリティフレームワーク（CSF）は試験でどう引っ掛けられる？

認証制度ではなく、順守を証明するものでもない。到達水準の階層は成熟度の目安であって、最上位を目指すことが常に正解ではない。事業の性質に応じて目標水準を選ぶという考え方が前提になる。

NISTサイバーセキュリティフレームワーク（CSF）と関連する用語

• サイバーセキュリティ経営ガイドライン
• ISMS（ISO/IEC 27001）
• CISO・情報セキュリティガバナンス

NISTサイバーセキュリティフレームワーク（CSF）が出た過去問

• 経営戦略に用いるCSF分析で明らかになるものはどれか。

  正解：成功するための重要な機能や特性

  要点：CSF分析は目標達成に不可欠な重要成功要因を明らかにする

  CSF（重要成功要因）分析は、目標を達成するために特に重要となる要因を絞り込む手法である。事業や業務が成功するために欠かせない機能や特性を明らかにし、そこへ経営資源を重点配分したり、達成度を測るKPIを設定したりする土台となる。

  出典：平成28年度 秋期 ITストラテジスト試験 am2 問13（IPA）