mcpField
P
performing-nist-csf-maturity-assessment

performing-nist-csf-maturity-assessment

github.com/mukul975セキュリティ35.2k68 回インストール8 週間前に更新
リポジトリ

performing-nist-csf-maturity-assessment について

NIST CSF 2.0に基づいて組織のサイバーセキュリティ成熟度を評価するスキルです。セキュリティチーム向けに、階層別の手順で現状と目標を記録し、ギャップを特定して改善計画を立てます。

主な機能

  1. 01CSFの6機能を評価
  2. 024つの実装ティアで成熟度を評価
  3. 03現状と目標のプロファイルを作成
  4. 04リスク低減効果に基づくギャップの優先順位付け
  5. 05改善ロードマップの作成

活用シーン

  1. 01事業部門ごとのサイバーセキュリティ状況の評価
  2. 02成熟度スコアカードとギャップレポートの作成
  3. 03リスクや義務に沿った成熟度目標の設定
  4. 04セキュリティ改善の計画と進捗管理

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill performing-nist-csf-maturity-assessment

インストール後、Claude Code で/performing-nist-csf-maturity-assessmentを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

LICENSE
assets/
template.md
references/
api-reference.md
standards.md
workflows.md
scripts/
agent.py
process.py

詳細

NIST CSF 成熟度評価の実施

概要

2024年2月に公開されたNIST Cybersecurity Framework（CSF）2.0は、「統治」「識別」「保護」「検知」「対応」「復旧」の6つの中核機能を通じて、サイバーセキュリティリスクを管理するための包括的な分類体系を提供します。このスキルでは、CSFに照らした成熟度評価の実施について解説します。4つの実装ティア（部分的、リスク情報に基づく、反復可能、適応型）を用いて組織のサイバーセキュリティ態勢を測定し、改善ロードマップを作成します。

使用する場面

  • NIST CSF の成熟度評価を実施するセキュリティ評価を行う場合
  • 関連するセキュリティイベントについてインシデント対応手順に従う場合
  • 定期的なセキュリティテストや監査を実施する場合
  • 実地テストを通じてセキュリティコントロールを検証する場合

前提条件

  • サイバーセキュリティリスク管理の原則を理解していること
  • NIST CSF 2.0 のドキュメントおよびリファレンスツールにアクセスできること
  • 組織の IT/OT 環境とセキュリティコントロールに関する知識があること
  • 評価面談のため、各事業部門の関係者にアクセスできること

主な概念

CSF 2.0 の機能（6つの機能、22のカテゴリー）
機能コードカテゴリー数目的
統治GV6サイバーセキュリティリスク管理戦略を策定し、監視する
識別ID3組織が直面する現在のサイバーセキュリティリスクを特定する
保護PR5リスクを防止または低減するための保護策を実施する
検知DE2サイバーセキュリティ攻撃の可能性を発見し、分析する
対応RS4検知されたサイバーセキュリティインシデントに対処する
復旧RC2サイバーセキュリティインシデントによって損なわれた能力を回復する
統治機能（CSF 2.0 で新設）
  • GV.OC：組織の状況
  • GV.RM：リスク管理戦略
  • GV.RR：役割、責任、権限
  • GV.PO：ポリシー
  • GV.OV：監督
  • GV.SC：サイバーセキュリティサプライチェーンリスク管理
実装ティア
ティア名称説明
ティア1部分的場当たり的、事後対応型。サイバーセキュリティリスクへの認識が限定的
ティア2リスク情報に基づくリスクを認識しているが、組織全体には浸透していない。承認されているが、ポリシー化されていない場合がある
ティア3反復可能正式なポリシーがあり、一貫して実施され、定期的に更新される
ティア4適応型継続的な改善、リアルタイムのリスク対応、教訓の統合

ワークフロー

フェーズ1：スコープ設定と準備（第1～2週）
  1. 評価範囲を定義します（全社規模か事業部門単位か）
  2. 関係者を特定し、面談の日程を調整します
  3. 既存のドキュメント（ポリシー、手順、アーキテクチャ図）を収集します
  4. 組織の状況に合わせて CSF プロファイルをカスタマイズします
  5. 評価方法（自己評価、ファシリテーション付き、第三者評価）を選択します
フェーズ2：現状評価（第3～6週）
  1. 各 CSF カテゴリーおよびサブカテゴリーを実装ティアに照らして評価します
  2. 各サブカテゴリーについて、以下を評価します：
    • ポリシー／ドキュメントの成熟度
    • 実装の完全性
    • 自動化のレベル
    • 測定と指標
    • 継続的改善の証拠
  3. ティアの基準を用いて採点します（1～4の尺度）
  4. 各ティア評価を裏付ける証拠を記録します
  5. 強み、ギャップ、改善領域を特定します
フェーズ3：目標状態の定義（第7～8週）
  1. 以下に基づいて各機能の目標ティアを定義します：
    • リスク選好度と許容度
    • 業界要件とベンチマーク
    • 規制上の義務
    • 利用可能なリソースと予算
  2. 望ましい成熟度状態を記録した目標プロファイルを作成します
  3. 経営幹部と目標状態を検証します
フェーズ 4：ギャップ分析とロードマップ（第 9～12 週）
  1. 現状プロファイルと目標プロファイルを比較します
  2. リスク低減の可能性に基づいてギャップの優先順位を付けます
  3. 以下を含む改善ロードマップを策定します
    • 短期的なクイックウィン（0～3 か月）
    • 中期的な改善（3～12 か月）
    • 長期的な戦略的取り組み（12～24 か月）
  4. 各取り組みに必要なリソースを見積もります
  5. 担当者とスケジュールを割り当てます
フェーズ 5：実施と再評価（継続）
  1. 改善ロードマップの取り組みを実行します
  2. マイルストーンに対する進捗を追跡します
  3. 定期的に再評価を実施します（年 1 回を推奨）
  4. 成熟度の進捗を経営陣に報告します
  5. 変化する脅威や事業の変化に基づいてロードマップを調整します

主な成果物

  • CSF 現状プロファイル（機能／カテゴリー／サブカテゴリー別）
  • CSF 目標プロファイル
  • ギャップ分析レポート
  • 成熟度評価スコアカード
  • 優先順位を付けた改善ロードマップ
  • エグゼクティブサマリーとダッシュボード

よくある落とし穴

  • ガバナンスや人材を評価せず、テクノロジーのみを評価する
  • リソースを確保せず、現実的でない目標ティアを設定する
  • 評価を継続的なプロセスではなく、一度限りのものとして扱う
  • CSF 2.0 の新しい「ガバナンス」機能を無視する
  • CSF 評価を既存のコンプライアンス要件（ISO 27001、SOC 2）と連携させない

参考資料

コメント

Markdown 対応