Moshiru
会社情報記事一覧無料スキャン

会社のセキュリティ教科書　第6部 6-5

NIST CSF 2.0とは｜統治・識別・防御・検知・対応・復旧の6機能と使い方

公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • 取引先から「NIST CSF」に沿った回答を求められたとき
  • 自社の対策を、抜け漏れなく6つの箱に整理したいとき
  • 支援士・Security+・CISSP・CISMの勉強で、CSFの6つの機能を実務の言葉でつかみたいとき

読み終えたあと、社内でこう言えます

「NIST CSFの6つの機能ごとに、できていることと次の手を並べました」

結論：NIST CSFとは、米国国立標準技術研究所（NIST）が出しているサイバーセキュリティ対策の整理の枠組みです。2024年2月の2.0版で、統治・識別・防御・検知・対応・復旧の6つの機能になりました。CSFは「やることのチェックリスト」ではなく、目指す成果の一覧です。会社の大きさに関係なく使えます。取引先にCSFで答えるときは、6つの機能ごとに「今できていること」と「次にやること」を並べると伝わります。

NIST CSF 2.0は統治を中心に、識別・防御・検知・対応・復旧の機能でサイバーセキュリティの成果を整理する

NIST CSFとは何か？

CSFは、Cybersecurity Framework（サイバーセキュリティフレームワーク）の略です。NISTは米国商務省の機関で、セキュリティの指針を多く出しています。CSF 2.0は2024年2月26日に公開されました。

もとは重要インフラ向けの枠組みでした。1.1版までの正式名は「重要インフラのサイバーセキュリティを改善するためのフレームワーク」です。2.0版ではこの名前をやめ、規模や業種を問わず使えると明記しました。

項目中身
何かサイバーセキュリティで目指す成果を、機能→カテゴリー→サブカテゴリーの3段で並べた一覧
何ではないか実施手順のチェックリストではない。どう達成するかは会社ごとに決める
規模6機能・22カテゴリー・106サブカテゴリー（CSF 2.0本文の付録Aで数えた数）
日本語訳情報処理推進機構（IPA）が本文と主なクイックスタートガイドの日本語訳を公開

CSFの本文も「成果はやることのチェックリストではない」と書いています。ですから、全部に「はい」と答えることは目的ではありません。自社に必要な成果を選び、どこまでできているかを示すための道具です。

CSF 2.0の6つの機能とは？

6つの機能は、セキュリティの仕事を大きく6つの箱に分けたものです。日本語の名前はIPAの翻訳に合わせています。

機能一言で中小企業での例
統治（GV）方針・責任・優先順位を決め、見届ける社長が基本方針を承認し、担当者を任命する。取引先との契約上の要求を把握する
識別（ID）守るものとリスクを知るパソコン・クラウド・データの台帳を作る。リスクを洗い出す
防御（PR）被害を起こりにくくする多要素認証、更新プログラムの適用、社員教育、バックアップ
検知（DE）異常に早く気づくウイルス対策ソフトの警告やログインの通知を、誰かが見る仕組み
対応（RS）起きた事故を広げない感染した端末を切り離す。連絡先と報告の順番を決めておく
復旧（RC）元の業務に戻すバックアップから戻す。取引先に復旧の見通しを伝える

6つは順番ではなく、輪で考える

CSF 2.0では、6つの機能を輪の形で描き、統治をその中心に置いています。統治が、ほかの5つをどう進めるかを方向づけるからです。並び順は、取り組む順番や重要度を表すものではないと本文に書かれています。

カテゴリーの例も見ておきます。統治には次の6つのカテゴリーがあります。

1.1版から2.0版で何が変わった？

1.1版（2018年4月）は、識別・防御・検知・対応・復旧の5つの機能でした。2.0版で一番大きな変化は、統治（Govern）が6つ目の機能として加わったことです。

変わった点1.1版まで2.0版
機能の数5つ統治を加えて6つ
対象重要インフラが中心規模・業種を問わないすべての組織
サプライチェーン識別の中の一部統治のカテゴリー（GV.SC）として独立
使い方の資料本文が中心クイックスタートガイド、実装例、参考情報をオンラインで提供

統治が加わった意味は、セキュリティを経営の判断として扱うことです。誰が責任者か、どこまでのリスクを受け入れるか、取引先や委託先をどう管理するか。これらは技術担当だけでは決められません。社長や役員の判断が必要です。経営と結びつける考え方はセキュリティのガバナンスと戦略の節でくわしく扱います。

自社にCSFを当てはめる手順は？

CSFでは、自社の状態を「組織プロファイル」という形で書き出します。今の状態が現状プロファイル、目指す状態が目標プロファイルです。CSF 2.0本文は、次の5つの手順を示しています。

  1. 範囲を決める：会社全体か、受注システムだけか、などを決める
  2. 材料を集める：方針、台帳、取引先から求められている要件、使っている対策を集める
  3. プロファイルを作る：成果ごとに、今の状態と目指す状態を書く
  4. 差を分析し、行動計画を作る：差の大きい所から優先順位をつける
  5. 計画を実行し、プロファイルを更新する：必要なだけ繰り返す

たとえば社員30人の卸売業では（架空の例）

総務の1人が情報システムを兼務している会社を考えます。大口の取引先から、CSFの機能ごとに対策の状況を書いてほしいと頼まれました。106項目すべてに答える必要はありません。まず機能ごとに1〜2個、大事な成果を選んで表にします。

機能現状目標（半年後）
統治基本方針なし。担当は暗黙に総務方針を社長が承認。責任者を文書で任命
識別パソコンの一覧だけあるクラウドとデータも台帳に入れる
防御メールは多要素認証済み。更新は社員任せ更新を一括管理し、適用状況を毎月確認
検知警告は各自のパソコンに出るだけ警告が総務に届くようにする
対応手順なし連絡先と最初の1時間の手順を1枚にまとめる
復旧バックアップはあるが戻したことがない年2回、戻せるかを試す

この表がそのまま現状と目標のプロファイルになります。台帳の作り方は情報資産台帳のつくり方、優先順位のつけ方はリスクアセスメントの手順にまとめています。

ティアは「取り組みの成熟度」の目安

CSFには、取り組みの厳格さを4段階で表す「ティア」もあります。点数や合否ではなく、自社の今と目標を話し合うための目安です。

ティアおおまかな姿
1：部分的（Partial）場当たり的。組織としてのリスクの認識が弱い
2：リスク情報を活用（Risk Informed）経営が承認した対策はあるが、全社の方針にはなっていない
3：反復可能（Repeatable）方針が正式に承認され、全社で同じやり方で回っている
4：適応（Adaptive）過去の事故や兆候から学び、やり方を継続的に変えている

中小企業がいきなりティア4を目指す必要はありません。まずティア2の姿、つまり社長が承認した対策が文書になっている状態を目標にすると現実的です。

取引先に「CSFに沿って」と言われたらどう答える？

取引先がCSFを使うのは、委託先の対策を同じ物差しで比べたいからです。答えるときは、次の3点を押さえます。

  1. 6つの機能すべてに触れる：防御だけ厚く書き、検知・対応・復旧が空白だと、手薄に見えます
  2. できていないことは予定を添える：「未実施。〇月までに手順書を作成予定」のように書きます
  3. 証拠を示せることだけ書く：方針、台帳、訓練記録など、求められたら出せるものを根拠にします

CSFの番号（例：PR.AA-01）で聞かれた場合も、考え方は同じです。番号が何の成果を指すかは、IPAの日本語訳の付録で確かめられます。ISMSの認証がない会社の答え方はISMSがないときのチェックシートの答え方も参考になります。対策の分け方は管理策の分け方の節とあわせて読むと整理しやすくなります。

チェックシートではこう聞かれる

よくある設問答え方の例
NIST CSFなどの枠組みに沿って対策を整理していますか。はい。CSF 2.0の6つの機能ごとに現状と目標を一覧にし、年1回見直しています。
セキュリティの責任者と役割を定めていますか（GV.RR）。はい。社長が総務部長を責任者に任命し、役割を社内規程に書いています。
不審な事象を検知し、対応する体制はありますか（DE・RS）。はい。ウイルス対策ソフトの警告は責任者に届き、手順書に沿って端末を切り離します。
事故からの復旧計画を定め、試験していますか（RC）。いいえ。バックアップは毎日取得していますが、戻す試験は未実施です。〇月に初回を行う予定です。

「いいえ」にも代わりの対策と予定を添えると、誠実な回答になります。書き方はチェックシートの回答の書き方にまとめています。

試験ではここが問われる

SG・支援士・Security+ 5・CISSP 1・CISM 1

  • 6つの機能と順番：Govern・Identify・Protect・Detect・Respond・Recover。2.0で統治（Govern）が加わり、輪の中心に置かれました。
  • 機能と対策の対応：資産台帳やリスク評価は識別、アクセス制御や教育は防御、監視は検知、封じ込めは対応、バックアップからの復元は復旧です。
  • 3つの構成要素：CSFコア（成果の一覧）、組織プロファイル（現状と目標）、ティア（厳格さの4段階）。
  • ティアは成熟度の目安：Partial・Risk Informed・Repeatable・Adaptive。合否の判定ではありません。
  • チェックリストではない：CSFは成果を示し、達成の方法は定めません。ISO/IEC 27001のような認証の基準とは性格が違います。

確認問題

問1 NIST CSF 2.0で新たに加わり、ほかの5つの機能の進め方を方向づけるとされる機能はどれですか。

  1. ア 識別（Identify）
  2. イ 検知（Detect）
  3. ウ 統治（Govern）
  4. エ 復旧（Recover）
答えと解説
正解：ウ　統治は2.0で加わり、6つの機能の輪の中心に置かれています。ア・イ・エは1.1版からある機能です。

問2 社員25人の印刷会社（架空）で、ランサムウェアの被害を受けた後、バックアップからデータを戻し、取引先に再開の見通しを連絡しました。この活動が主に当たるCSFの機能はどれですか。

  1. ア 防御
  2. イ 検知
  3. ウ 識別
  4. エ 復旧
答えと解説
正解：エ　影響を受けた資産と業務を元に戻し、その状況を関係者に伝える活動は復旧です。アは被害を起こりにくくする活動、イは異常に気づく活動、ウは資産とリスクを把握する活動です。

問3 CSFの「組織プロファイル」の説明として、最も適切なものはどれですか。

  1. ア 第三者が組織の対策を審査し、合格を認める証明書
  2. イ CSFの成果に照らして、組織の現状や目標を書き表したもの
  3. ウ 取り組みの厳格さを4段階で表した目安
  4. エ 各成果を達成するための具体的な製品の一覧
答えと解説
正解：イ　組織プロファイルは、現状プロファイルと目標プロファイルで今と目指す姿を表します。ウはティアの説明です。CSFは認証の制度ではなく、特定の製品も定めていません。

よくある質問

NIST CSFは日本の中小企業でも使えますか？
はい、使えます。CSF 2.0は規模や業種を問わず使えるよう作られています。NISTは中小企業向けのクイックスタートガイドも出しており、IPAが日本語訳を公開しています。
NIST CSFとISO/IEC 27001の違いは何ですか？
ISO/IEC 27001は認証を受けるための要求事項で、CSFは成果を整理する任意の枠組みです。CSFは達成の方法を定めず、どこまでやるかを会社が選びます。両方を対応させる資料（参考情報）もNISTが公開しています。
CSFの106項目すべてに対応しないといけませんか？
いいえ、すべてに対応する必要はありません。CSFは、自社に必要な成果を選び、優先順位をつけて使う前提です。取引先から全項目の回答を求められた場合も、未対応の項目に予定を添えて答えれば足ります。

この記事のまとめ

CSFの機能ごとの回答案は任せて、確認だけに

Moshiruは、打合せなしでテキストだけでお受けします。取引先から届いたチェックシートを、御社の実態に合わせてCSFの機能ごとに整理し、回答案を作ってお返しします。「いいえ」の項目には、代わりの対策と予定の書き方も添えます。

回答代行を見る20問まで1.5万円・打合せなしメニューにないことを頼む文面で合意するまで料金はかかりません

参考にした資料

  1. NIST「The NIST Cybersecurity Framework (CSF) 2.0」NIST CSWP 29（2024年2月）
  2. IPA「NIST サイバーセキュリティフレームワーク（CSF）2.0」日本語訳（2024年2月版の翻訳）
  3. IPA「NIST SP 1300 CSF 2.0 スモールビジネス クイックスタートガイド」日本語訳（原文2024年2月）
  4. IPA「NIST SP 1299 CSF 2.0 リソース＆概要ガイド」日本語訳（原文2024年2月）
  5. IPA「NIST文書の翻訳」一覧ページ（CSF 2.0関連の翻訳を掲載）
  6. NIST「Cybersecurity Framework」公式ページ（CSF 2.0資料と1.1版のアーカイブ）