概要
複数のセキュリティ基準やフレームワークを参照する場合、それぞれで用語や構成、要求事項の粒度が異なるため、単純に項目を並べるだけでは組織内のルールへ反映することは困難です。
本プロジェクトでは、政府機関等のサイバーセキュリティ対策のための統一基準群、ISO/IEC 27001、NIST Cybersecurity Framework（NIST CSF）、CIS Controls、および対象組織が定める既存のセキュリティ基準を対象に比較分析を行いました。
各基準が求める内容の共通点と相違点を整理し、既存基準との対応関係を確認しました。その結果を比較・対応表や解説・検討資料としてまとめるとともに、既存基準で不足している事項や見直しが必要な箇所を整理し、組織内セキュリティ基準の改定案作成まで支援しました。
背景
情報セキュリティに関する基準やフレームワークには、それぞれ異なる目的や構成があります。
同じセキュリティ対策を扱っていても、ある基準では管理上の要求として記載され、別の基準では具体的な実施事項として整理されているなど、表現や粒度が一致するとは限りません。
対象組織においても、複数のセキュリティ基準・フレームワークを踏まえながら、既存の組織内基準との関係を整理し、必要な内容を反映することが求められていました。
そのため、個々の基準を個別に確認するだけではなく、複数の基準を横断的に比較し、それぞれの要求事項がどのように対応しているのかを整理する必要がありました。
課題
今回の作業では、単に複数の基準を一覧化するだけでは不十分でした。
各基準は構成や表現方法が異なるため、似た内容であっても単純に一対一で対応付けられるとは限りません。また、一つの基準では複数の観点に分かれている要求が、別の基準では一つの要求としてまとめられている場合もあります。
そのため、各基準が実質的に何を求めているのかを確認したうえで、
- 複数の基準に共通する要求事項
- 特定の基準で求められている事項
- 対象組織の既存基準ですでに扱われている事項
- 既存基準では不足している、または見直しが必要な事項
を整理する必要がありました。
さらに、比較結果を分析資料としてまとめるだけではなく、その内容を対象組織のセキュリティ基準へどのように反映するかまで具体化することが求められました。
アプローチ
各基準の要求内容を横断的に分析
まず、対象となる各セキュリティ基準・フレームワークについて、どのような対策や管理を求めているのかを確認しました。
対象としたのは、以下の基準・フレームワークです。
- 政府機関等のサイバーセキュリティ対策のための統一基準群
- ISO/IEC 27001
- NIST Cybersecurity Framework（NIST CSF）
- CIS Controls
- 対象組織が定めるセキュリティ基準
名称や項目構成だけを比較するのではなく、それぞれの要求内容を確認し、実質的に同じ目的を持つものや、特定の基準で追加的に求められている内容を整理しました。
共通点・相違点と対応関係を整理
分析結果をもとに、複数の基準に共通する要求事項と、基準ごとに異なる要求事項を整理しました。
あわせて、各基準の要求事項が対象組織の既存基準のどこに対応しているのかを確認し、比較・対応表を作成しました。
これにより、それぞれの基準を個別に参照するだけでは把握しにくかった関係性を、横断的に確認できる形へ整理しました。
また、比較結果だけでは判断しにくい内容については、考え方や検討内容を説明する解説・検討資料を作成しました。
既存基準との差分を確認
次に、外部の各基準・フレームワークと対象組織の既存基準を照らし合わせました。
既存基準ですでに対応している事項だけでなく、要求内容が十分に反映されていない事項や、内容を見直す必要がある箇所を整理しました。
ここでは、外部基準の文言をそのまま組織内基準へ追加するのではなく、複数の基準との関係を踏まえて、どのような内容を組織内基準として整理する必要があるかを検討しました。
比較分析を組織内基準の改定案へ反映
最後に、比較分析と既存基準との差分整理を踏まえ、対象組織のセキュリティ基準の改定案を作成しました。
複数の基準で求められている事項との整合性を確認しながら、既存基準のどの部分を見直す必要があるのかを整理し、改定内容として具体化しました。
これにより、複数のセキュリティ基準を比較する作業と、組織内のルールを見直す作業を分断せず、一連の検討として進めました。
成果
本プロジェクトでは、複数のセキュリティ基準・フレームワークについて、要求事項の共通点、相違点、対応関係を整理し、比較・対応表としてまとめました。
また、分析結果や検討内容を確認できる解説・検討資料を作成しました。
さらに、対象組織の既存基準との比較から、不足している事項や見直しが必要な箇所を整理し、その結果を組織内セキュリティ基準の改定案として具体化しました。
セキュリティ基準への対応では、複数の基準を形式的に並べるだけでは、実際の組織内ルールへ落とし込めないことがあります。
今回の支援では、各基準が何を求めているのかを横断的に確認し、既存基準との関係を整理したうえで、基準改定を検討できる形まで具体化しました。