今回ご紹介する２つのフレームワークは、第一回で登場したフレームワークとは異なり、対策の優先度付けがされているのが特徴です。また、初版公開以降、すでに1回以上更新されており、完成度が向上していると考えられます。
それではどの対策の優先度が高いとされているのでしょうか？その内容を見ていきましょう。

「Critical Security Controls for Effective Cyber Defense」(CSC20)とは？

「Critical Security Controls for Effective Cyber Defense」（効果的なサイバー防御のための重要なセキュリティコントロール）は、Version6.0が2015年10月に米国のCenter for Internet Securityから公開されています（以前はSANS Instituteから公開）。これは、サイバー攻撃に対する重要なセキュリティ対策を20のコントロールに分類・優先度付けをしたもので、極力自動化された技術的対策が主体となっています。

引用：「Critical Security Controls for Effective Cyber Defense」（Center for Internet Security）
※邦訳版は公開されていません。

それぞれのコントロールは、いくつかのサブコントロールに分かれており、サブコントロールは全部で150にのぼります。
例えば、「継続的な脆弱性診断と改修」は以下のようにブレークダウンされています。

20のコントロールは、ほぼすべてがISMSの管理策に関係していると考えられますが、ISMS管理策との関連を示す資料は公開されていません。
なお、当文書の「AppendixC: The NIST Framework for Improving Critical Infrastructure Cybersecurity」を参照することによって、20のコントロールがNIST「重要インフラにおけるサイバーセキュリティフレームワーク」（第一回を参照）のどのカテゴリーに対応しているのかを確認することができます。

「Strategies to Mitigate Targeted Cyber Intrusions」(Top35 Mitigation Strategies)とは？

「Strategies to Mitigate Targeted Cyber Intrusions」（標的型サイバー侵入の軽減戦略）は、2014年2月に2014年版がオーストラリアの国防信号局から公開されています。標的型攻撃を主な脅威と想定したセキュリティ対策を、優先度順に35のカテゴリーで示したものです。

引用：「Strategies to Mitigate Targeted Cyber Intrusions」（オーストラリア国防信号局）
※邦訳版は公開されていません。

それぞれの軽減戦略は、さらに下位に細分化されてはいませんが、軽減策の説明が記載されています。例えば、「アプリケーションへのパッチ適用」は以下の説明が記載されています。

35の軽減戦略も、ほぼすべてがISMSの管理策に関係していると考えられますが、ISMS管理策との関連を示す資料は公開されていません。なお、35の軽減戦略は、サイバー攻撃の中でも標的型攻撃を主な脅威と想定した対策であることに注意が必要です。

まとめ

これまで見てきた４つのフレームワークを並べると、以下の違いが見られます。(2016年7月現在)

４つのフレームワークの位置づけを見ると、サイバーセキュリティ対策としてやるべきことの全体的な整理に適しているのは、「サイバーセキュリティ経営ガイドライン」及び、「重要インフラのサイバーセキュリティを向上させるためのフレームワーク」と考えられます。
一方、具体的な対策の検討には、「Critical Security Controls for Effective Cyber Defense」及び「Strategies to Mitigate Targeted Cyber Intrusions」が参考にできます。また、「サイバーセキュリティ経営ガイドライン」の付録及び付録に記載の参考文献も対策の検討に役立ちます。

実際には、個々の組織によって事業やシステム構成等の状況は大きく異なるため、守るべき資産やリスクを正確に把握したうえで対策の検討・導入を進めることが望まれます。

Writer Profile

セキュリティ事業部
セキュリティコンサルティング担当 チーフコンサルタント
戸田 勝之

• セキュリティサービス