nist-csf-specialist

NIST CSF 2.0 スペシャリスト

NIST Cybersecurity Framework 2.0 に沿ったサイバーセキュリティプログラムを導入、評価、管理します。これは、組織のサイバーセキュリティリスク管理に関する決定的な標準です。CSF 2.0（2024年2月）はすべての組織に適用され、IDENTIFY、PROTECT、DETECT、RESPOND、RECOVER に加えて、最上位の第6の機能として GOVERN が追加されました。

主な機能

• 成熟度評価 — 6つの機能にまたがる22のカテゴリーすべてを、証拠に基づくギャップ分析とともに、1～4のティア尺度（Partial → Risk Informed → Repeatable → Adaptive）で評価します
• プロファイルとギャップ分析 — 現状プロファイルと目標プロファイルを作成し、優先順位を付けた段階的な是正ロードマップを策定します
• フレームワーク間のマッピング — CSFのカテゴリーをISO 27001:2022、SOC 2 TSC、HIPAA Security Rule、PCI-DSS v4.0に対応付け、重複監査の負担を軽減します
• プログラムの導入 — ガバナンス、中核となる保護策、検知と対応、レジリエンスを網羅する12か月の段階的なロードマップを作成します

使用するタイミング

「NISTサイバーセキュリティフレームワーク」「CSF 2.0」「NISTコンプライアンス」「サイバーセキュリティリスク管理」「NIST管理策」「NIST評価」「サイバーセキュリティ成熟度」「NIST CSFプロファイル」「サイバーセキュリティガバナンス」「サイバーセキュリティプログラム評価」「CSFギャップ分析」「フレームワーク間のコンプライアンスマッピング」といった言葉が出た場合に、このスキルを使用してください。

まず確認すること

評価を始める前に、以下の入力内容を確認してください。不足している、または曖昧な情報によって結果が変わる場合は質問し、結果に影響しない場合は妥当な既定値を使用して、その内容を明示してください。

• 目標ティア： 目標とする Partial、Risk Informed、Repeatable、または Adaptive（ギャップ分析と是正ロードマップに影響します）。
• 現状データ： 6つの機能／22のカテゴリーにおける現在の成熟度スコア（評価はこのデータに基づきます）。
• タスク： 成熟度評価、プロファイル／ギャップ分析、またはフレームワーク間のマッピング（スクリプトと対象フレームワークを選択します）。

リクエスト全体に関わる項目をすべて聞くのではなく、このリクエストで特に重要な2～3項目を確認してください。ユーザーがすぐに結果を求める場合は、結果を提示し、冒頭で前提を明記してください。

クイックスタート

# Assess cybersecurity maturity against a target tier
python scripts/csf_maturity_assessor.py --input assessment.json --target-tier 3 --output maturity_report.json

# Map controls across frameworks
python scripts/csf_control_mapper.py --source-framework nist-csf --target-framework iso27001 --output mapping.json

# Generate a markdown gap analysis
python scripts/csf_maturity_assessor.py --input assessment.json --target-tier 4 --format markdown --output gap_analysis.md

# Build a multi-framework unified matrix
python scripts/csf_control_mapper.py --source-framework nist-csf --target-framework all --output unified_matrix.json

参考資料

タスクに合った参考資料を読み込んでください。このファイルは簡潔に保ち、必要に応じて詳細を参照してください。

• references/framework-reference.md — CSF 2.0の概要、6つの機能とすべてのカテゴリー（主要な活動、導入ガイダンス、成熟度指標）、プロファイル、ティア、フレームワーク間のマッピング表（ISO 27001、SOC 2、HIPAA、PCI-DSS）の全容を記載しています。フレームワークの基礎知識やマッピングの詳細が必要な場合に読んでください。
• references/assessment-and-roadmap.md — 機能ごとの評価チェックリスト、5週間の成熟度評価ワークフロー、12か月の導入ロードマップ、検証チェックポイント、成功基準を記載しています。エンゲージメントを計画または実施する際に読んでください。
• references/tools-and-troubleshooting.md — ツールの詳細な機能、入力JSON形式、使用例の全容、フラグの参照表、トラブルシューティングガイドを記載しています。スクリプトを実行するときや、出力の問題をデバッグするときに読んでください。
• references/csf-functions-guide.md — CSF 2.0の分類体系の全容を記載しています。すべての機能、カテゴリー、サブカテゴリー、証拠要件、一般的な評価質問を網羅しています。詳細評価でサブカテゴリー単位の情報が必要な場合に読んでください。
• references/csf-implementation-playbook.md — テンプレート、優先順位付け、予算編成を含む、段階的な導入ガイドです。プログラムを立ち上げるときや成熟させるときに読んでください。

対象範囲と制限事項

対象範囲：

• 6つの機能と22のカテゴリすべてを対象とするNIST CSF 2.0成熟度評価
• ギャップ分析を伴う現状プロファイルと目標プロファイルの作成
• ISO 27001:2022、SOC 2 TSC、HIPAA Security Rule、PCI-DSS v4.0とのクロスフレームワーク制御マッピング
• 段階的なマイルストーンを含む実装ロードマップの生成
• ティアベースのスコアリング（部分的、リスク情報に基づく、再現可能、適応型）

対象範囲外：

• NIST SP 800-53の制御レベルでの実装（CSFはフレームワークであり、制御カタログではありません。規範的な制御にはSP 800-53を使用してください）
• 技術的なセキュリティテスト、脆弱性スキャン、侵入テスト（infrastructure-compliance-auditorを使用してください）
• セクター固有のコミュニティプロファイル（このツールは組織プロファイルを提供します。コミュニティプロファイルにはセクター固有のカスタマイズが必要です）
• リアルタイムのセキュリティ監視またはSIEM設定
• コンプライアンス認証（NIST CSFは任意のフレームワークであり、正式な認証は提供していません）
• 特定のコンプライアンス義務に関する法的助言または規制上の助言

統合ポイント

スキル	統合
soc2-compliance-expert	SOC 2 TSCはCSFの機能に直接対応します。制御マッパーを使用して統合制御マトリックスを生成し、二重監査の負担を軽減します
information-security-manager-iso27001	ISO 27001附属書Aの制御はCSFカテゴリの実装基盤です。CSF成熟度スコアはISMSの継続的改善に役立ちます
infrastructure-compliance-auditor	PROTECTおよびDETECT機能のスコアを支える技術的制御（アクセス、暗号化、監視、エンドポイント）を検証します
pci-dss-specialist	PCI-DSS v4.0の要件はCSFカテゴリに対応します。決済環境ではクロスフレームワークマッパーを使用します
nis2-directive-specialist	NIS2第21条の措置はCSFの機能と整合しています。CSF成熟度評価はNIS2への準拠状況のベンチマークに役立ちます
dora-compliance-expert	DORAのICTリスク管理の柱はGOVERNおよびIDENTIFY機能に対応します。統合評価フレームワークとしてCSFを使用します