セキュリティ対策の検討の際
以下がNIST CSF、CIS Controls、ISO 27000シリーズ、COBITの用途の表です。
| 用途 | NIST CSF | CIS Controls | ISO 27000シリーズ | COBIT |
|---|---|---|---|---|
| フレームワークの種類 | セキュリティリスク管理のフレームワーク | セキュリティベストプラクティスのフレームワーク | 情報セキュリティマネジメントシステムの国際標準 | ITガバナンスのフレームワーク |
| 重要な役割 | セキュリティ戦略の構築 | セキュリティコントロールの実施 | 情報セキュリティマネジメントシステムの構築・維持 | ITガバナンスの改善 |
| 適用範囲 | 全体的なセキュリティリスクの管理 | セキュリティコントロールの具体的な実装 | 情報セキュリティマネジメントシステムの設計・構築・運用 | ITプロセスのガバナンスの改善 |
| 主な対象 | あらゆる種類の組織 | 中小企業や中堅企業など | あらゆる種類の組織 | 上場企業や大規模組織など |
| 特徴 | 5つの機能領域（識別、保護、検出、対応、復旧）に基づいたフレームワーク | 20のセキュリティコントロールを備えたリスト形式のフレームワーク | 国際標準に基づく組織の情報セキュリティマネジメントに関する要件を規定 | ITガバナンスの各要素に関するベストプラクティスを規定 |
セキュリティ対策製品の導入を検討
セキュリティ対策製品の導入を検討する場合、どのフレームワークが最も役立つかは、企業のニーズによって異なります。それぞれのフレームワークには異なる特性があり、異なる側面に焦点を当てています。
たとえば、NistのCSFは、情報セキュリティのリスク評価と管理に焦点を当てており、セキュリティ対策の基盤となるフレームワークとして広く利用されています。一方、CIS controlsは、情報セキュリティの実装に焦点を当てており、セキュリティの弱点を特定して、それに対応する具体的な対策を提供します。
NSIT SP 800-171は、米国政府機関のサプライチェーンに関連する企業が、米国政府の要件を満たすために使用されます。ISO27000シリーズは、情報セキュリティマネジメントシステムの設計と実装に焦点を当てています。COBITは、企業のITガバナンスに焦点を当て、セキュリティポリシーや規制への準拠を促進します。
したがって、企業は自社のニーズを分析し、どのフレームワークが最も役立つかを判断する必要があります。また、セキュリティ対策製品の導入に際しては、複数のフレームワークを参考にしながら、企業にとって最適な製品を選定することが望ましいでしょう。
参考：NIST CSFの5つのドメインとGartnerのセキュリティ製品カテゴリ
| NIST CSF ドメイン | Gartner 製品カテゴリ |
|---|---|
| Identify | Security Information and Event Management (SIEM) Identity and Access Management (IAM) Privileged Access Management (PAM) Enterprise Governance Risk and Compliance (eGRC) Data Loss Prevention (DLP) User and Entity Behavior Analytics (UEBA) |
| Protect | Enterprise Network Firewall Web Application Firewall (WAF) Email Security Endpoint Protection Platforms (EPP) Security Awareness Training Cloud Access Security Broker (CASB) Data Encryption and Tokenization Next-Generation Firewalls (NGFW) Web Security Gateway |
| Detect | SIEM Network Traffic Analysis (NTA) Endpoint Detection and Response (EDR) Security Information Management (SIM) User and Entity Behavior Analytics (UEBA) Deception Technologies |
| Respond | Security Orchestration, Automation and Response (SOAR) Incident Response Platform (IRP) |
| Recover | Disaster Recovery as a Service (DRaaS) Backup as a Service (BaaS) Cloud Storage and Backup Business Continuity Management (BCM) |
コメント