NIST CSF 2.0とは｜6機能の構成とISMSとの違い

NIST CSF 2.0とは｜リスク管理の「共通言語」

結論から言うと、CSFは対策カタログでもチェックリストでもありません。組織が達成すべきサイバーセキュリティ上の成果を並べた分類体系です。

正式名称は「The NIST Cybersecurity Framework (CSF) 2.0」、文書番号はNIST CSWP 29。公開日は2024年2月26日です。原典はNISTの公式サイトからPDF（NIST.CSWP.29）として無償で入手できます。

公式文書は、CSFの性格を次のように説明しています。規模・業種・成熟度を問わずあらゆる組織が、自組織のサイバーセキュリティの取り組みを理解・評価・優先順位付け・伝達するために使えるハイレベルな成果の分類体系である、と。そして「CSFは成果をどう達成すべきかを規定しない」と明記しています。

「認証を取る」ものではない

ここは誤解が多いところです。CSFには審査機関も認証書もありません。第三者から「CSF認証取得済み」と証明してもらう仕組みは存在しないのです。

ではなぜ企業が使うのか。理由は3つあります。

1. 経営層と現場が同じ語彙でリスクを話せるようになる

2. 自社の現状と目標のギャップを、成果単位で可視化できる

3. ISO/IEC 27001やSP 800-53など、他の規格との対応付け（Informative References）が公式に提供されている

逆に言えば、取引先から「ISMSを取得していること」を求められている場面では、CSFは直接の答えになりません。この違いは後述の比較表で整理します。

執筆時点の最新版と、確認すべき公式ページ

業界標準のフレームワークは改訂されるため、バージョンの扱いには注意が必要です。

本記事執筆時点で、NISTのCSF公式ページで案内されている最新版はCSF 2.0です。2.1などの後続バージョンは、執筆時点の公式ページには掲載されていません。

実務で参照するときは、本記事の記述をそのまま使うのではなく、公式ページで現行版を確認してください。CSFは本体文書の改訂頻度を意図的に低く保ち、代わりにオンラインリソース側を更新していく方針が公式文書に書かれています。つまり本体のバージョン番号が変わらなくても、付属リソースは更新されている可能性があります。

CSF 2.0の構成｜コア・ティア・プロファイルの3要素

CSF 2.0は3つの部品でできています。それぞれ役割が違うので、分けて理解すると混乱しません。

コアはFunction → Category → Subcategoryの3階層

コアは入れ子構造です。最上位に6つの機能（Function）があり、その下に関連する成果をまとめたカテゴリ（Category）、さらに具体化したサブカテゴリ（Subcategory）が並びます。

公式文書は、この並び順について「実行すべきアクションのチェックリストではない」「順序や大きさは達成の順番や重要度を示すものではない」とわざわざ注記しています。上から順に潰していく性質のものではない、ということです。

6機能・22カテゴリ・106サブカテゴリの内訳

機能ごとの内訳を、原典の付録A（CSF Core）から集計すると次のようになります。

注目したいのは、GOVERNが106サブカテゴリのうち31を占める点です。新設の機能でありながら、サブカテゴリ数では最大になっています。2.0でガバナンスの扱いが拡張されたことを示す材料のひとつと見てよいでしょう。

なお1.1との数値比較については、公開されている解説では「5機能・23カテゴリ・108サブカテゴリ」から「6機能・22カテゴリ・106サブカテゴリ」への再編として整理されることが多いようです。いずれにせよ、カテゴリ・サブカテゴリは単純に増えたわけではなく、整理統合を経た結果として微減しています。

サブカテゴリIDの読み方

実務でいちばん使うのがこのID表記です。たとえば「GV.SC-01」は次のように分解できます。

• GV … 機能（GOVERN）

• SC … カテゴリ（Cybersecurity Supply Chain Risk Management）

• 01 … そのカテゴリ内の通番

評価シートやギャップ分析の成果物はこのIDで管理されます。IDを見て機能とカテゴリが即座に言えると、アセスメント案件での立ち上がりが明らかに速くなります。

ひとつ落とし穴があります。1.1から2.0への移行で廃止・再編されたサブカテゴリがあるため、番号は連番とは限りません。たとえばPR.DSは01、02、10、11の4つで、03から09は存在しません。DE.AEも01と05が欠番です。古い評価シートを引き継ぐ案件では、この欠番を「記入漏れ」と誤認しないよう注意してください。

6つの機能（Function）の役割

機能は動詞で名付けられており、それぞれが何を達成する領域なのかを表します。公式文書の定義をもとに整理します。

公式文書は6機能を円環（ホイール）として図示しています。順番に進む直線的なプロセスではなく、相互に関係し合うという意図です。GOVERNとIDENTIFYへの投資がDETECTの迅速さを支え、それがRESPONDとRECOVERにつながる、という説明が添えられています。

GOVERNが独立した意味

1.1ではガバナンス関連の項目はIDENTIFY機能の中に含まれていました。2.0でこれを独立させたのが最大の構造変更です。

公式定義によれば、GOVERNは他の5機能の成果を、組織のミッションとステークホルダーの期待という文脈の中でどう達成し、どう優先順位付けするかを示す役割を担います。技術的な統制があるかどうかではなく、リスク管理が組織の意思決定に組み込まれ、経営レベルで監督されているかを問う構造になった、と理解するとつかみやすいでしょう。

GOVERN配下には、組織の文脈理解（GV.OC）、リスク管理戦略（GV.RM）、役割・責任・権限（GV.RR）、方針（GV.PO）、監督（GV.OV）、そしてサプライチェーンリスク管理（GV.SC）の6カテゴリが置かれています。

サプライチェーンリスク管理（GV.SC）の新設

GV.SCは10のサブカテゴリを持ち、カテゴリ単位では最大規模です。委託先・再委託先を含む供給網全体のリスクを扱います。

フリーランスエンジニアにとっては他人事ではありません。発注元のリスク管理上、業務委託で参画する個人事業主がサプライチェーン管理の対象に含まれるケースは珍しくないからです。どこまで対象とするかは契約形態や業務内容によって組織ごとに差があります。客先から求められる誓約書・機材管理・データ取扱いのルールは、この領域の統制が末端に降りてきた姿だと捉えると、要件の背景が見えやすくなります。

ミニFAQ：6機能は順番に実施するものですか。

いいえ。公式文書は、6機能の並びが実施順や重要度を示すものではないと明記しています。なお実務では、現状把握の都合からGOVERNやIDENTIFYに先に着手するケースが多く見られます。

CSF 1.1から2.0で変わった点

変更点は公式文書と公式ページで確認できる範囲に限って整理します。以下は執筆時点で原典（NIST CSWP 29）から読み取れる主な差分です。

名称変更は原典に明記されています。「バージョン2.0より前、本フレームワークは『Framework for Improving Critical Infrastructure Cybersecurity』と呼ばれていた。CSF 2.0ではこの名称は使用しない」という趣旨の注記が冒頭のNote to Readersに置かれています。重要インフラ専用という前提が、公式に外れたわけです。

適用範囲については、コアの説明箇所で「組織が使用するすべてのICT（IT、IoT、OTを含む）に適用される」「クラウド、モバイル、人工知能システムを含むあらゆる技術環境に適用される」と書かれています。AIシステムが名指しされている点は、AIガバナンス案件のフリーランス実務｜規制対応と単価相場【2026】で扱う領域とも接続します。

オンラインリソースが前提になった

2.0では、本体文書の外側にあるリソースが正式な構成要素として位置づけられました。公式には3種類が挙げられています。

• Informative References：コアと他の規格・ガイドライン・規制との対応付け（マッピング）

• Implementation Examples：サブカテゴリの成果を達成するための簡潔で行動志向の例

• Quick Start Guides（QSG）：用途別の入門ガイド

これらはNISTのQuick Start Guides一覧や、絞り込み機能を備えたCSF 2.0のリファレンスツールから参照できます。本体文書が安定性のために更新頻度を抑える一方、これらは随時更新される設計です。

ティアとプロファイルの実務での使い方

ここは上位の解説記事でも扱いが浅くなりがちな部分です。誤用が多いので丁寧に見ていきます。

ティア1〜4は「成熟度の格付け」ではない

ティアは、組織のリスクガバナンスとリスク管理の実践がどれだけ厳密かを表す4段階です。公式の呼称は次のとおりです。

重要なのは「全組織がTier 4を目指すべき」という設計ではないことです。公式文書は、ティアは組織のリスク管理手法を置き換えるものではなく補完するものであり、上位ティアへの進展が推奨されるのは「リスクや要求が大きいとき、または費用対効果の分析が妥当性を示すとき」だと述べています。

案件で「当社はTier 2です」と言われたら、それは低評価の告白ではなく前提条件の共有だと受け取るのが正しい読み方です。

カレントプロファイルとターゲットプロファイル

プロファイルは、コアの成果を使って自組織の姿を記述したものです。公式には次の2種類が定義されています。

• Current Profile：現在達成している（または達成しようとしている）成果と、その達成度合い

• Target Profile：リスク管理の目標として選び、優先順位を付けた成果

この2つの差分がそのまま改善計画になります。さらに、業界やテーマ単位で共有される基準としてCommunity Profileがあり、自組織のターゲットプロファイルの出発点として使えます。公開されているものはNISTのProfilesページにまとまっています。

作成から活用までの5ステップ

公式文書が示す組織プロファイルの作り方は次の流れです。

1. スコープを決める（全社か、財務システムか、ランサムウェア対応かなど）

2. 必要な情報を集める（方針、リスク優先度、BIA、既存の統制や手順、職務役割）

3. プロファイルを作成する（カレントを作り、そのリスク影響を踏まえてターゲットを検討）

4. ギャップを分析し、アクションプランを作る

5. 計画を実行し、プロファイルを更新する

スコープの決め方が結果を左右します。初回は全社ではなく、1システムまたは1テーマに絞るほうが完走しやすいというのが実務的な感覚です。106サブカテゴリすべてを全社で埋めにいくと、情報収集だけで数か月かかり、途中で形骸化します。

ミニFAQ：ティアとプロファイルはどちらを先に決めますか。

プロファイルが先です。公式文書では、ティアはカレントプロファイルとターゲットプロファイルに情報を与えるために「選択して使うことができる」ものとして位置づけられています。ティアを先に決めて逆算する使い方は想定されていません。

NIST CSFとISMS・SP 800-53・SP 800-171の違い

混同されやすい4つを並べます。性格が根本的に違うので、ここを押さえると案件要件の読み方が変わります。

ISO/IEC 27001との使い分け

いちばん多い質問がこれです。判断軸のひとつは、「対外的な証明が要るか」です。加えて、ISMSはマネジメントシステムそのものを運用する規格、CSFは達成すべき成果を整理するフレームワーク、という構造の違いもあります。

取引条件として証明書の提示を求められるならISMS（ISO/IEC 27001）が対象になります。一方、社内の現状把握や、経営層への説明、他規格とのマッピングを整理したい場面ではCSFが向きます。実際には対立する関係ではなく、ISMSを運用している組織がCSFを「全体像を俯瞰する地図」として併用するケースが見られます。

ISMS取得支援そのものの実務と単価については、ISMS・SOC2取得支援案件｜フリーランスの実装・証跡業務と単価で整理しています。

SP 800-53・SP 800-171との関係

SP 800-53は統制のカタログです。CSFのサブカテゴリに対して、SP 800-53の個別統制がInformative Referencesとして紐づきます。CSFが「何を達成するか」、SP 800-53が「そのために使える具体的な管理策」という分担です。公式文書も、ひとつのサブカテゴリの成果を達成するために複数の統制が必要になる場合があると説明しています。

SP 800-171は、米国連邦政府の非機密重要情報（CUI）を扱う非連邦組織向けの要求事項で、防衛関連のサプライチェーンで参照されます。日本語圏では解説記事が薄い領域ですが、防衛・航空宇宙系の案件要件で名前が出ることがあります。CSFとは目的も強制力も異なるため、同列に扱わないでください。

日本の制度との接点

日本でCSFが登場する主な文脈は3つです。

• 経済産業省のサイバーセキュリティ経営ガイドライン：付録で各種規格・フレームワークとの関係性が整理されており、CSFとの対応付けの参照元として使われます

• IPAによる日本語訳の公開：後述のとおり、本体とQSGの日本語訳が揃っています

• グローバル企業の国内拠点：本社がCSFベースで統制を設計しており、国内でもその枠組みで報告を求められるケース

中小企業向けの出発点としては、IPAの中小企業の情報セキュリティ対策ガイドラインのほうが実態に近い場面もあります。CSFが常に最適解ということではありません。

日本語で読める公式リソース一覧

CSF 2.0は、IPAがNISTの了解のもとで日本語訳を公開しています。原典を英語で読む前に、まず日本語訳で全体像をつかむほうが効率的です。

IPAのセキュリティ関連NIST文書のページから、執筆時点で以下が入手できます。

CSF 2.0本体の日本語訳PDFは本体だけで読み切れる分量です。初めて触れるなら、本体を一読したあとSP 1301（組織プロファイル）に進むと、評価作業の具体像がつかめます。

案件でNIST CSFがどう出てくるか

フリーランスエンジニアがCSFに触れる場面は、大きく3パターンに分かれます。公開されている案件要件を見る限り、CSF単独の募集はまれで、GRCやセキュリティアセスメントの要件の一部としてCSFの名前が挙がる形が中心です。探す際は、エージェントで「セキュリティ」「GRC」のタグを起点に、案件詳細の要件欄でCSF・SP 800-53・ISMSの記載を拾うと見つけやすくなります。

パターン1：アセスメント・ギャップ分析

カレントプロファイルを作り、ターゲットとの差分を整理する仕事です。ヒアリング、証跡の確認、評価シートへの記入が主な作業になります。コンサルティングファームやセキュリティベンダーからの二次請け案件で見られる形です。

求められるのは、サブカテゴリの意図を読み取って「この組織ではこの成果が達成されていると言えるか」を判断できることです。手を動かす実装スキルより、ヒアリングと文書化の精度が効いてきます。

パターン2：統制の実装側

ギャップ分析で出た不足を、実際に埋める側です。ログ基盤の構築、アクセス制御の見直し、MDM/EDRの導入といったインフラ・SRE寄りの作業が中心になります。CSFはあくまで要件の出どころであって、作業自体は通常のインフラ案件と変わりません。

パターン3：サプライチェーン側としての対応

GV.SCの統制が末端に降りてきた結果、参画する側として求められる対応です。機材・ネットワーク・データ取扱いの要件に応えることになります。具体的な進め方は客先セキュリティ要件対応｜ISMS・Pマーク・持ち込みPCの実務にまとめています。

単価とスキルの考え方

CSFの知識は、それ単体で単価を大きく左右するというより、インフラ・クラウドの実装経験と組み合わさって評価される傾向があります。統制の言語で会話できることが、実装スキルの価値を押し上げる形です。GRC領域を含めたセキュリティエンジニアの単価レンジはセキュリティエンジニアのフリーランス単価相場｜案件動向とスキル別レンジに母集団つきで整理してあるので、そちらを参照してください。

自分の経験でどの程度の単価が狙えるか把握したい場合は、無料のフリーランスエンジニア単価診断で市場単価の目安を確認できます。単価を体系的に上げる考え方は【2026年最新版】フリーランスエンジニアの単価相場と単価の上げ方とは？で整理しています。セキュリティ系の案件を探す場合は、セキュリティエンジニアの案件一覧から要件欄を確認するのが早道です。

よくある失敗と対策

106サブカテゴリを一度に埋めようとする

初回アセスメントで全社・全項目を対象にすると、情報収集だけで息切れします。公式文書でもスコープ設定の考え方は示されており、実務上は1システムまたは1テーマに絞るほうが進めやすいです。まずは範囲を狭く、サイクルを1周させる。これが結果的に早いです。

ティアを目標値として扱ってしまう

「来期までにTier 3へ」という設定自体は悪くありませんが、ティアは達成すべきゴールではなく、やり方の厳密さを表す文脈情報です。ティアを上げること自体が目的化すると、プロファイルのギャップ解消という本来の改善が後回しになります。

CSFを対策カタログと誤解する

CSFは「何をすべきか」を成果として示しますが、「どうやるか」は示しません。具体的な管理策が必要ならSP 800-53などのInformative Referencesをたどる必要があります。ここを混同すると、サブカテゴリの文言から実装手順を読み取ろうとして行き詰まります。

古い評価シートの欠番を記入漏れと誤認する

前述のとおり、2.0では廃止されたサブカテゴリ番号が欠番として残ります。1.1ベースの資料が混在している現場では、どちらのバージョンの番号体系かを最初に確認してください。

学習ロードマップ

セキュリティ案件への参入を見据える場合、現実的な順序は次のとおりです。全体で2〜3か月程度を見ておくと無理がありません。

1. IPAの日本語訳で本体を通読する（数時間）。6機能とコアの階層をつかむ

2. SP 1301（組織プロファイル作成QSG）を読む。評価作業の形式を知る

3. 自分が過去に参画した案件を題材に、カレントプロファイルを部分的に書いてみる。GOVERNとIDENTIFYの範囲だけでも手を動かすと定着が早い

4. ISMSとの違いを説明できる状態にする。面談で頻出します

5. 資格で補強する。GRC寄りなら情報処理安全確保支援士やCISSPが要件欄で見られます

資格の選び方はセキュリティ資格おすすめ｜支援士・CISSP・CEHの難易度と案件影響、入門段階の整理は情報セキュリティマネジメント試験｜難易度・合格率・勉強時間と取得メリットが参考になります。

職種そのものの全体像を知りたい場合はセキュリティエンジニアとは？年収・将来性・キャリアパス・スキルまで徹底解説、監視・分析寄りのキャリアはセキュリティアナリストとは｜仕事内容・年収・SOCの役割となり方を解説で扱っています。

参画前の確認リスト

CSFが要件に含まれる案件に入る前に、次の項目を確認しておくとミスマッチを避けられます。

• 対象はCSF 2.0か1.1か（評価シートの番号体系が変わります）

• 自分の担当は評価側か実装側か

• プロファイルのスコープはどこまでか（全社／特定システム／特定テーマ）

• ティアの目標設定があるか、あるとすればその根拠は何か

• Informative Referencesとして何を使うか（SP 800-53、ISO/IEC 27001など）

• 成果物の形式（評価シート、報告書、改善計画のどれまでか）

• 客先のセキュリティ要件（機材・ネットワーク・入館）の確認は済んでいるか

まとめ

NIST CSF 2.0は、認証を取るための規格ではなく、サイバーセキュリティの「達成すべき成果」を6機能・22カテゴリ・106サブカテゴリに整理した共通言語です。案件で出会ったら、評価の軸として使われているのか、実装要件の出どころとして使われているのかをまず切り分けてください。

• コア・ティア・プロファイルの3要素で構成され、役割はそれぞれ別

• 2024年2月26日公開の2.0でGOVERNが独立し、適用対象が全組織に広がった

• ティアは成熟度の格付けではなく、リスク管理の厳密さを共有するための文脈情報

• ISO/IEC 27001との違いは「対外的な証明が要るかどうか」で切り分けられる

• 日本語訳はIPAが本体とQSG（SP 1299〜1308）を公開済み

• 案件での関わり方は評価側・実装側・サプライチェーン側の3パターン

次のステップとしては、IPAの日本語訳で本体を通読し、過去に参画した案件を題材にカレントプロファイルを部分的に書いてみるところから始めるのが現実的です。手を動かすと、サブカテゴリの文言がどのくらいの粒度で解釈されるものなのかが一気につかめます。

参照した一次情報は次のとおりです。

• NIST Cybersecurity Framework 公式ページ

• The NIST Cybersecurity Framework (CSF) 2.0（NIST CSWP 29・原典PDF）

• IPA セキュリティ関連NIST文書（日本語訳一覧）

• CSF 2.0 日本語訳PDF（IPA）

• NIST CSF Quick Start Guides

• CSF 2.0 リファレンスツール

• NIST CSF Profiles

• IPA 中小企業の情報セキュリティ対策ガイドライン