正解：イ
各選択肢の解説
ア6つの機能を、統治から復旧まで順番に1つずつ完了させていく。
誤り。CSF の6つの機能は、手順の順番ではなく、同時並行で取り組む成果の分類です。 一覧の並びが工程表に見えるため誤解されやすいですが、防御を進めながら 検知や対応の準備も整えていくのが前提です。
イ現在と目標の組織プロファイルを作り、その差を分析して計画を立てる。
正解。CSF 2.0 では、今達成している成果を現在のプロファイル、目指す成果を 目標のプロファイルとして表し、両者の差から優先して取り組むことを決めます。 優先順位を決めたいこの場面に合った使い方です。
ウCSF の認証を取得し、外部の審査で現状の水準を証明してもらう。
誤り。CSF は組織が自らの状況に合わせて使う枠組みで、NISTが組織を審査して 認証する制度はありません。第三者の認証を受けるなら、JIS Q 27001 に基づく ISMS認証のような別の仕組みになります。
エ機能ごとに CSF が指定する製品を導入し、要件を満たしたとみなす。
誤り。CSF は達成すべき成果を示すもので、使う製品や具体的な技術を指定しません。 どの対策で成果を達成するかは、組織が自らのリスクに応じて選びます。 製品を入れたことと、成果を達成したことは別です。
理解を深めるために
今の姿と目指す姿を並べて、差から手を付ける
NISTサイバーセキュリティフレームワーク（CSF）は、米国国立標準技術研究所（NIST）が示す サイバーセキュリティのリスク管理の枠組みです。CSF 2.0 は、統治・識別・防御・検知・対応・復旧の 6つの機能に分けて、組織が達成すべき成果を示しています。 健康診断にたとえると、今の数値（現在）と目標の数値（目標）を並べ、差の大きい項目から 生活を改めていくような使い方です。
組織プロファイルの使い方
CSF 2.0 では、組織の状況を組織プロファイルとして表します。
- 現在のプロファイル（Current Profile）: 今達成している成果
- 目標のプロファイル（Target Profile）: 自社のリスクや事業の目的に照らして目指す成果
2つを並べて差（ギャップ）を分析し、リスクの大きさや必要な労力から優先順位を付けて、 改善の計画を立てます。NISTは、2つのプロファイルを並べて比べるためのテンプレートも公開しています。
CSF は成果を示す枠組みなので、どの製品や技術で達成するかは組織が選びます。 また、6つの機能は同時に取り組むもので、順番に完了させていく工程ではありません。
混同しやすいものとの違い
| 考え方 | CSF での扱い |
|---|---|
| 現在と目標のプロファイルの差を分析する | 優先順位を決める基本の使い方 |
| 6つの機能を順に完了させる | 機能は同時並行で取り組む |
| CSF の認証を取得する | NISTによる認証制度はない（第三者認証はISMS認証など別の仕組み） |
| CSF が指定する製品を導入する | 成果を示すだけで、製品や技術は指定しない |
「CSFで優先順位を決める」と問われたら、現在と目標のプロファイルを比べるやり方を思い出してください。