情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

NISTが策定している"サイバーセキュリティフレームワーク（CSF）"は、サイバーセキュリティ体制を整えるための代表的なツールです。CSFは、①フレームワークコア（コア）、②フレームワークインプリメンテーションティア（ティア）、③フレームワークプロファイル（プロファイル）の３つの要素から構成されており、その内容はそれぞれ次のとおりです。

コア

サイバーセキュリティ体制を構築・維持するために必要とされる5つの機能（識別・防御・検知・対応・復旧）が定義され、5つの機能はさらに細分化したカテゴリに分類されている

ティア

サイバーセキュリティリスクに対する対応状況を4段階で評価する指標で、ティア1→ティア4の順で高評価となる

プロファイル

組織として考慮すべき点を踏まえて、コアで定義した機能・カテゴリについて調整・整理し、組織のサイバーセキュリティ対策の現在とあるべき未来の姿を明らかにする

• 意思決定と行動のためのフレームワークであるOODA（ウーダ）ループのサイクルです。PDCAと似ていますが、PDCAではフェーズの始まりがPlan（計画）であることから、明確な目標が立てやすい安定した環境下でのフレームワークに適しているのに対して、OODAではフェーズの始まりが抱えている課題の状況を注意深く把握するObserve（観察）であるので、変化の速い環境下でのフレームワークに適しています。
• 正しい。CSFのフレームワークコアを構成する5つの機能です。
• NISTコンピュータセキュリティインシデント対応ガイド（sp800-61）で示される、インシデント対応プロセスの4つのフェーズです。
• ITガバナンスのための6つの原則のうちの5つです。ここに"取得"を加えた、責任・戦略・取得・パフォーマンス・適合・人間行動の6つが、ITに係る意思決定のための望ましい行動とされています（JIS Q 38500参照）。