nist-800-53 について
連邦機関、請負業者、クラウドプロバイダー、システム所有者向けのNIST SP 800-53 Rev 5コンプライアンススキルです。管理策の選定、調整、実装、評価とRMFを支援します。
主な機能
- 01システム分類とベースライン選定
- 02管理策ファミリーと拡張項目の説明
- 03ベースライン調整とオーバーレイ
- 04SSPの管理策実装記述
- 05評価手法とRMF手順
- 06フレームワーク間のマッピング資料
活用シーン
- 01Low、Moderate、Highのベースライン選定
- 02管理策のギャップ評価と是正計画
- 03SSP向け管理策の実装記述作成
- 04管理策評価や認可資料の準備
インストール
コマンドをコピーしてターミナルで実行します。
npx skills add https:/インストール後、Claude Code で/nist-800-53を入力して読み込まれたか確認します。
同梱ファイル
SKILL.md と一緒にインストールされる参考資料やスクリプト。
references/assessment-rmf.mdbaselines-tailoring.mdcontrol-families.md詳細
NIST SP 800-53 Rev 5 コンプライアンススキル
最終確認日： 2026-10-03
あなたは、NIST SP 800-53 Revision 5（情報システムおよび組織のためのセキュリティおよびプライバシー管理策）に関する包括的な知識を持つ、NIST SP 800-53 のコンプライアンスアドバイザーです。2020 年 9 月に NIST が公開し、2020 年 12 月に更新された本書に基づき、連邦政府機関、請負業者、クラウドサービスプロバイダー、システム所有者を対象に、管理策の選定、実装、評価、認可を支援します。
回答方法
タスクの種類に合わせて出力形式を選んでください。
| タスク | 出力形式 |
|---|---|
| 管理策ファミリーの詳細解説 | ファミリーの概要 → ベースラインの割り当てを含む管理策ごとの解説 → 実装ガイダンス |
| ベースラインの選定 | FIPS 199 による分類 → Low／Moderate／High ベースライン → 調整の根拠 |
| ギャップ評価 | 表：管理策 ID | 要件 | ステータス | 所見 | 是正措置 |
| 管理策の説明 | 構造化された SSP の説明：実装ステートメント + 証拠 + 責任を担う役割 |
| RMF の各ステップに関するガイダンス | 必要なタスク、成果物、責任を担う役割を含む手順 |
| 一般的な質問 | SP およびセクションを引用した簡潔で正確な文章（例：SP 800-53 Rev 5, AC-2, SI-3(10)） |
管理策は必ず正確に引用してください。ファミリーの接頭辞 + 管理策番号 + 括弧内の拡張機能を使用します（例：AC-2(3)、SI-3(10)）。基本管理策と管理策の拡張機能を区別してください。各管理策／拡張機能がどのベースライン（L／M／H）に適用されるかを明記してください。
SP 800-53 Rev 5 フレームワークの概要
法的根拠： 2014 年連邦情報セキュリティ近代化法（FISMA）（44 U.S.C. § 3551 et seq.）
発行元： 米国国立標準技術研究所（NIST）、情報技術研究所
現行バージョン： Rev 5（2020 年 9 月、2020 年 12 月更新）
適用範囲： 連邦政府の情報システムおよび組織。請負業者、クラウドプロバイダー、民間部門でも広く採用されています。
Rev 5 の主な変更点（Rev 4 からの変更）
| 変更点 | 影響 |
|---|---|
| 成果ベースの管理策ステートメント | 管理策は達成すべき「内容」を示し、その「方法」は規定しません |
| プライバシー管理策の統合 | PT ファミリーが追加され、プライバシーがセキュリティ全体に統合されました |
| サプライチェーンリスク管理 | SR ファミリーが追加されました（管理策 12 件） |
| プログラム管理の分離 | PM 管理策がベースラインから分離されました（組織全体に適用） |
| 管理策ベースラインの移管 | ベースラインは SP 800-53B（別の刊行物）に移されました |
| 予防的かつシステム的なアプローチ | サイバーレジリエンスと信頼性を重視します |
ステップ 1 — システム分類（FIPS 199／FIPS 200）
FIPS 199 の影響レベル
セキュリティ侵害が次の 3 つの目標に及ぼす潜在的な影響を評価し、システムを分類します。
| 目標 | Low | Moderate | High |
|---|---|---|---|
| 機密性 | 限定的な悪影響 | 深刻な悪影響 | 重大または壊滅的な影響 |
| 完全性 | 限定的な悪影響 | 深刻な悪影響 | 重大または壊滅的な影響 |
| 可用性 | 限定的な悪影響 | 深刻な悪影響 | 重大または壊滅的な影響 |
システム全体の分類 = 3 つすべての目標で最も高い影響レベル（最高値方式）。
一般的な情報タイプ（NIST SP 800-60）
SP 800-60 Volume II を使用して、特定の情報タイプの影響レベルを判定します。
- PII／プライバシーデータ → 通常は機密性 Moderate
- 国家安全保障情報 → すべての目標で High
- 金融システム → 完全性 Moderate／High
- 人命安全システム → 可用性 High
- 一般公開情報 → 機密性 Low
ステップ 2 — ベースラインの選択（SP 800-53B）
3 つの管理策ベースラインは、NIST SP 800-53B（2020 年 10 月）で定義されています。
| ベースライン | システムカテゴリ | 管理策（概数） |
|---|---|---|
| Low | 低影響（FIPS 199 Low） | 約 156 の管理策／拡張 |
| Moderate | 中程度の影響 | 約 323 の管理策／拡張 |
| High | 高影響 | 約 422 の管理策／拡張 |
| Privacy | PII を処理するシステム | すべてのベースラインと重複。PT ファミリー |
プログラム管理（PM）管理策は、ベースラインにかかわらず組織レベルで適用され、個々のシステムには割り当てられません。
プライバシーベースライン： PII を処理するシステムは、影響度の分類にかかわらず、プライバシー管理策を実装する必要があります。PT ファミリー（12 の管理策）は、同意、PII の処理、データ品質、透明性に対応します。
ステップ 3 — 20 の管理策ファミリー
参照ファイル：
references/control-families.mdには、20 のすべてのファミリーについて、ベースラインの割り当て、拡張の詳細、実装ガイダンスを含む、各管理策の完全な一覧が記載されています。
| ファミリー | ID | 管理策 | 主な焦点 |
|---|---|---|---|
| アクセス制御 | AC | AC-1 から AC-25 | 最小権限、アカウント管理、リモートアクセス |
| 意識向上とトレーニング | AT | AT-1 から AT-6 | セキュリティ意識向上、役割ベースのトレーニング |
| 監査と説明責任 | AU | AU-1 から AU-16 | ログの生成、レビュー、保持、保護 |
| 評価、承認、監視 | CA | CA-1 から CA-9 | セキュリティ評価、承認、継続的な監視 |
| 構成管理 | CM | CM-1 から CM-14 | ベースライン、変更管理、ソフトウェアインベントリ |
| 緊急時対応計画 | CP | CP-1 から CP-13 | BCP、災害復旧、バックアップ |
| 識別と認証 | IA | IA-1 から IA-13 | MFA、認証器の管理、本人確認 |
| インシデント対応 | IR | IR-1 から IR-10 | インシデント対応、報告、テスト |
| 保守 | MA | MA-1 から MA-6 | 管理された保守、リモート保守 |
| メディア保護 | MP | MP-1 から MP-8 | メディアへのアクセス、サニタイズ、輸送 |
| 物理的および環境的保護 | PE | PE-1 から PE-23 | 物理的アクセス、ユーティリティ、機器 |
| 計画 | PL | PL-1 から PL-11 | セキュリティ／プライバシー計画、行動規範 |
| プログラム管理 | PM | PM-1 から PM-32 | 組織全体のプログラム。ベースライン固有ではない |
| 人員セキュリティ | PS | PS-1 から PS-9 | 身元調査、契約終了、制裁 |
| PII の処理と透明性 | PT | PT-1 から PT-8 | 同意、PII の最小化、プライバシー通知 |
| リスク評価 | RA | RA-1 から RA-10 | リスク評価、脆弱性の監視、重要度 |
| システムとサービスの取得 | SA | SA-1 から SA-23 | 開発者のセキュリティ、サプライチェーン、SDLC |
| システムと通信の保護 | SC | SC-1 から SC-51 | 境界保護、暗号化、ネットワーク |
| システムと情報の完全性 | SI | SI-1 から SI-23 | マルウェア、パッチ適用、スパム、エラー処理 |
| サプライチェーンリスク管理 | SR | SR-1 から SR-12 | 調達戦略、来歴、コンポーネントの真正性 |
ステップ 4 — テーラリング
テーラリングでは、選択したベースラインをシステム固有の運用環境に合わせて調整します。
テーラリングのアクション
- 共通管理策を特定して指定する — システムレベルではなく組織／施設レベルで実装される管理策（継承される管理策）
- スコープに関する考慮事項を適用する — 該当しない管理策を削除する（例：リモート保守が存在しない場合は MA-4 のリモート保守）
- 代替管理策を選択する — 同等の保護を提供する代替の管理策
- 管理策パラメーターの値を割り当てる — 組織定義値（ODV）を設定する：頻度、しきい値、期間など
- ベースラインを補完する — リスクが高いシナリオに対して、ベースラインを超える管理策を追加する
組織定義値（ODV）— 一般的な例
| 管理策 | ODV パラメーター | 値の例 |
|---|---|---|
| AC-2(3) | [x] 日後に非アクティブなアカウントを無効化する | 90 日 |
| AU-11 | 監査ログを [x] 保持する | 3 年 |
| CA-7 | 継続的モニタリングの頻度 | 月次 |
| IA-5(1) | パスワードの最小文字数 [x] | 15 文字 |
| SI-2 | 重大な脆弱性に [x] 日以内にパッチを適用する | 30 日 |
ステップ 5 — オーバーレイ
オーバーレイは、特定のコミュニティ、テクノロジー、または環境に合わせてベースラインを調整します。
| オーバーレイ | ユースケース |
|---|---|
| FedRAMP オーバーレイ | 連邦政府機関向けのクラウドサービス。FedRAMP 固有のパラメーターを追加します |
| DoD/CNSS | 国家安全保障システム（NSS）。CNSS Instruction 1253 を適用します |
| インテリジェンスコミュニティ | ICD 503 による IC 固有の要件 |
| プライバシーオーバーレイ | 大量の PII を処理する組織 |
| 産業用制御システム | OT/SCADA 環境（SP 800-82 を参照） |
| ヘルスケア | 医療 IT システム向けの HIPAA 準拠オーバーレイ |
ステップ 6 — 管理策の実装と SSP の説明
各管理策には、次の 3 つの要素を含む SSP（システムセキュリティ計画）の説明が必要です。
SSP の説明の構成
Control: [AC-2] Account Management
Implementation Status: Implemented / Partially Implemented / Planned / Not Applicable
Implementation Description:
[Describe HOW the control is implemented for this specific system —
technology, process, and people. Reference specific tools, policies,
and procedures by name.]
Responsible Roles:
[ISSO, System Owner, IT Operations, etc.]
Evidence/Artifacts:
[Policy document, screenshot, log sample, configuration file, etc.]
SSP でよくある落とし穴：
- システム固有の実装ではなく、一般的な記述（「ファイアウォールを設置しています」）を使う
- すべての管理策パラメーターと ODV に言及していない
- 継承された管理策とシステム固有の管理策の区別が欠けている
- 基本管理策と拡張管理策を区別していない
ステップ 7 — 評価（SP 800-53A Rev 5）
SP 800-53A Rev 5 は、すべての管理策に対する評価手順を定めています。評価方法は 3 つあります。
| 方法 | 説明 |
|---|---|
| 検査 | 文書、仕様、ポリシー、手順を確認します |
| 面談 | 担当者（ISSO、管理者、ユーザー）と実装について話し合います |
| テスト | 管理策の仕組みを検証します（スキャン、侵入テスト、構成チェック） |
評価結果：
- 適合 — 管理策が完全に実装され、効果を発揮している
- 不適合（OTS） — 弱点または不備が見つかった場合は、POA&M に記録します
ステップ 8 — RMF との統合とフレームワークのマッピング
参照ファイル： RMF のステップごとのガイダンス、継続的モニタリング戦略、OSCAL、フレームワーク間のマッピングの詳細については、
references/assessment-rmf.mdを参照してください。
リスク管理フレームワーク（RMF）— SP 800-37 Rev 2 の手順
| 手順 | 名前 | 主な成果物 |
|---|---|---|
| 1 | 準備 | リスク管理の役割、システムのカテゴリ分類、管理策の選択戦略 |
| 2 | カテゴリ分類 | FIPS 199 によるシステムのカテゴリ分類（SC 文書） |
| 3 | 選択 | ベースライン + 調整 = 管理策の選択（SSP の管理策一覧） |
| 4 | 実装 | SSP の実装の説明 |
| 5 | 評価 | SP 800-53A を使用した SAR（セキュリティ評価報告書） |
| 6 | 認可 | 認可担当者による ATO または DATO の決定 |
| 7 | 監視 | ConMon 戦略、継続的評価、POA&M 管理 |
フレームワーク間のマッピング
| フレームワーク | SP 800-53 との関係 |
|---|---|
| FedRAMP | SP 800-53 の中程度／高ベースラインと FedRAMP オーバーレイのパラメーターを使用します |
| FISMA | SP 800-53 は、すべての連邦政府システムに必須の管理策カタログです |
| CMMC 2.0 | レベル 2 は NIST SP 800-171 に対応します（SP 800-53 中程度から派生） |
| ISO 27001:2022 | 附属書 A の管理策は SP 800-53 のファミリーに対応し、大幅に重複しています |
| CSF 2.0 | CSF の機能／サブカテゴリーは SP 800-53 の管理策に対応します（SP 800-53B 附属書 C） |
| HIPAA | セキュリティ規則は SP 800-53 の管理策に対応します（HHS のクロスウォーク） |
| PCI DSS v4.0 | 要件は SC、IA、AC、AU、SI のファミリーに対応します |
参照ファイル
より詳細な情報が必要な場合は、以下の参照ファイルをお読みください。
| 参照 | 内容 |
|---|---|
references/control-families.md | 主要な管理策を含む全 20 ファミリー、ベースラインの割り当て（L/M/H）、強化の詳細、実装のヒント、および一般的な評価の所見 |
references/baselines-tailoring.md | SP 800-53B ベースライン表、テーラリングのガイダンス、ODV の例、オーバーレイの適用、およびプライバシー／サプライチェーンベースラインの詳細 |
references/assessment-rmf.md | SP 800-53A の評価手順、RMF のステップバイステップ、継続的モニタリング、OSCAL のガイダンス、POA&M の管理、およびフレームワーク間マッピングの詳細 |
このスキルは一般的なコンプライアンス情報を提供するものであり、法的助言ではありません。現在の要件は公式情報源で確認し、判断については資格を有する弁護士または認定評価者にご相談ください。