NIST CSF 2.0とは？6分類をSCS評価制度との対応で読む【完全ガイド】 #004

NIST CSF 2.0とSCS評価制度の関係が整理できず、どちらを基準に対応すべきか迷っていませんか？

本記事では、NIST CSF 2.0の6分類と、SCS評価制度との対応関係を1枚で整理します。

筆者は大手グローバル製造業でセキュリティチーム（CSIRT）のリーダーを務めており、本業で法人のセキュリティ設計・運用を見ています。

読了後、CSFを「地図」に見立ててSCS対応の全体像を把握でき、個別要求事項の読み方に迷いがなくなります。

作成日: 2026-06-12（2026-09-22 全面リライト）

はじめに
NIST CSF 2.0とは
1. CSFをひとことで言うと
2. CSFが重視される理由
【重要】NIST CSFとSCS評価制度の関係
CSFの6分類
まとめ：CSFを地図にSCS対応を進めよう
関連記事
このブログが目指していること
相談してみませんか？

はじめに

NIST CSF（サイバーセキュリティフレームワーク）は、サイバーセキュリティ対策の全体像を6分類で整理した、世界共通の”地図”です。 2024年にVer.2が公開され、「識別・防御・検知・対応・復旧」の5分類に「ガバナンス」が加わりました。

日本では、経産省のSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）の要求事項も、CSFの6分類を土台に設計されています。2025年12月時点の基準では、各要求事項とCSFの対応関係が明示されていました（2026年3月の改定で対応表の明示は削除されましたが、要求事項がCSFに基づいて設計されている構造は変わっていません）。SCS対応を進めるならCSFの理解は必須の前提知識です。

この記事では、グローバル製造業でCSIRTリーダーを務める筆者が、CSF 2.0の6分類を現場目線で解説します。SCSの要求事項がCSFに基づいて設計されている理由が、読み終わる頃には明確になっているはずです。

この記事で分かる3つのこと

NIST CSF 2.0の6分類（識別・防御・検知・対応・復旧・ガバナンス）の要点
SCS評価制度の要求事項がCSFを土台にしている理由
SCS対応を進めるとき、CSFをどう使えば迷子にならないか

※ 前回記事：SCS要求事項の読み方（#003）の続編として書いていますが、単独でも読める内容です。

NIST CSF 2.0とは

CSFとは、「サイバーセキュリティ対策の全体を整理した共通の枠組み」です。

正式には「NIST Cybersecurity Framework」といい、米国のNIST（国立標準技術研究所）が作成したものです。現在、世界中の企業・政府機関などで参照されており、経産省やIPAが出しているガイドラインにも、このCSFの考え方が取り入れられています。

IPAがCSFの日本語訳を公開しています。

→ NIST サイバーセキュリティフレームワーク 2.0（IPA 日本語版） https://www.ipa.go.jp/security/reports/oversea/nist/ug65p90000019cp4-att/begoj9000000d400.pdf

セキュリティに詳しくない方がこれを開くと、「どこがわかりやすいの？」という感想になる可能性が高いと思います（笑）。CSIRT現場の経験では、こういう公式ドキュメントは「読んでわかる」ものではなく、「概念を先に理解してから参照する」ものです。

そこで以下では、できるだけシンプルに説明していきます。

CSFをひとことで言うと

「サイバーセキュリティ対策という、よくわからないものの全体像を整理した地図」です。

少し例え話をします。学生に「勉強しなさい」とだけ言っても、何を勉強したらいいかわかりません。でも「国語・算数・理科・社会・英語を勉強しなさい」と教科（枠組み・フレームワーク）を決めてあげると、やることが一気に明確になりますよね。

CSFはそれと同じ発想です。「サイバーセキュリティ対策をしなさい」とだけ言われると途方に暮れますが、「こういう分類で整理すると全体が見えますよ」という枠組みを示してくれているのがCSFです。

CSFが重視される理由

CSFが重要視される理由は、「網羅性」と「わかりやすさ」の両立にあります。

セキュリティ対策は、取り組み始めると「あれもやらないと、これもやらないと」とキリがない印象になりがちです。CSFを使うと、「今自分たちはどのエリアに取り組んでいて、どのエリアが手薄か」が俯瞰できるようになります。経営層への説明にも使いやすく、「技術的な話」をせずに「どの領域の対策が足りていないか」を伝えられるのも実用的な点です。

【重要】NIST CSFとSCS評価制度の関係

SCS評価制度の要求事項は、CSFの6分類を土台に設計されています。2025年12月時点の基準では、各要求事項がCSFのどの機能に対応するかが明示されており、SCSとCSFの対応関係が一目で分かる状態になっていました。2026年3月の基準改定で対応表の明示は削除されましたが、要求事項がCSFに基づいて設計されている構造そのものは変わっていません。

つまり、SCSの要求事項はCSFの6分類（ガバナンス・識別・防御・検知・対応・復旧）に基づいて設計されているということです。SCS★3の段階でも、ガバナンス整備・取引先管理・リスク特定・ID管理・パスワード・パッチ・教育・バックアップ・ログ分析・インシデント対応・復旧計画といった要求事項が並び、CSFの6分類すべてに対応する構成になっています。

SCSへの対応はCSFという地図に照らし合わせて考えると、要求事項の一つひとつが「なぜこの対策が必要か」と繋がって理解できます。

参考：SCS要求事項の読み方（#003）

CSFの6分類

CSFは、セキュリティ対策を6つの機能に分類しています。

2014年にVer.1が公開されたときの５分類の「識別・防御・検知・対応・復旧」は、攻撃者のプロセスに合わせて整理されていました。 2024年にVer.2に改定された際に「ガバナンス」が追加され、現在の6分類になっています。

まず、攻撃者のプロセスと対応する5分類（識別→防御→検知→対応→復旧）とは何かを先に説明し、その後にVer.2で追加されたガバナンスを説明します。

1. 識別（Identify）

「自分たちが守るべきものが何か」を把握するフェーズです。

資産（システム・データ・設備など）を洗い出し、それぞれにどんなリスクがあるかを理解することが中心になります。脅威・脆弱性・リスクの優先順位を整理するのもこのフェーズです。

CSIRT現場の経験では、識別が最も地味かつ最重要のフェーズです。「防御」の話ばかりが注目されがちですが、「何を守るべきか」が整理できていない状態では、対策に優先順位がつけられません。現場では、防御の施策だけを経営層に説明して「なぜそれが必要なの？」と返される場面を何度も見てきました。識別フェーズをきちんとやっておくと、経営層への説明がぐっと伝わりやすくなります。特に事業に与えるリスクなどがきちんと整理されていると、経営層にセキュリティ投資を理解してもらいやすいと感じます。資産を把握するだけではなく、資産に存在する脆弱性（弱点）を可視化し、攻撃者が狙ってくる前に対策する必要があります。

識別フェーズの深掘りは SCS★3③ リスク特定・前半（#008）で解説しています。

2. 防御（Protect）

識別で守るべき資産を整理し、攻撃者にやられる前に脆弱性を修復できれば良いのですが、脆弱性というのはとてもゼロにできるものではないので、防御システムでブロックする必要があります。

防御システムは1つ導入すれば良いのではなく、メールであればメールフィルタ、パソコンであればアンチウイルスソフトやEDR、ネットワークであればファイアウォールなど、多層・多重に組み合わせて設計する必要があります。経営層からはそんなにたくさん必要なのというような質問を受けるかもしれません。

製品を導入すれば「なんとなく動いてくれる」という性質もあり、6つの中では比較的取り組みやすいフェーズです。ただし、何を導入すれば良いか、効果をどのように測定するかなどが難しいと感じます。また、識別フェーズで「何を守るか」が整理できていないと、防御の方向性がずれてしまうこともあります。

防御の前提となる組織的な体制については SCS★3① ガバナンス（#006）を参照してください。

3. 検知（Detect）

識別・防御を実施しても、攻撃は完全に防ぐことはできません。そこで、攻撃や異常な動きに気づく検知が必要になります。

どれだけ対策を打っても、攻撃者は新しい手口を使ってきます。侵入や不審な動きをいち早く検知できる体制があるかどうかが、被害の大きさを左右します。

検知は6分類の中で最も難易度が高いフェーズだと感じています。

識別は情報セキュリティ活動の一環としてやっている、防御はシステムを導入すれば動いてくれる。でも検知は、ルールを作って、アラートが出たら対応する体制を維持し続けなければなりません。「アラートは出ていたのに誰も気づかなかった」「攻撃の兆候があったが知識・経験が不足していて見逃した」というケースを、自分の周りだけでも何度か見てきました。最近では機械学習やAIを使った検知もありますが、何を正常として、何を異常とするか検知ルールを作り込む必要もあります。

２４時間３６５日の対応も求められるので、自社社員だけでは運用が難しいと思います。中堅・中小企業がここを自力で構築・運用するのは相当ハードルが高い部分であり、外部のセキュリティ会社のサービスを利用することも選択肢に入れて良いと思います。

4. 対応（Respond）

攻撃や異常を検知した後、被害を最小化するために動くフェーズです。

筆者の役割であるCSIRT（コンピューターセキュリティインシデントレスポンスチーム）の「R」であり、主な業務の一つです。

インシデントの規模・深刻度はさまざまで、「これは本物の攻撃か、誤検知か」を素早く判断して、必要な対策に工数を適切に配分することが大事です。CSIRTリーダーとして3年以上運用していますが、対応判断は経験を積むほど奥深さを実感します。

また、このフェーズで強調したいのが「連絡フローの整備」です。インシデントが起きたとき、誰に、どの順番で報告するかが事前に決まっていないと、対応が後手に回ります。サイバー攻撃は夜間・休日に発生することも多いので、いつでも連絡できるようにしておかなければなりません。特に経営層・IT部門への連絡体制は、平時に整えておくことが非常に重要です。インシデント対応訓練も、避難訓練と同じく、定期的に実施しているかどうかで有事の動き方が大きく変わります。

インシデント対応の実務詳細は SCS★3⑩ インシデント対応・CSIRT（#015）を参照してください。

5. 復旧（Recover）

攻撃による被害から、業務を元の状態に戻すフェーズです。

どれだけ識別・防御・検知・対応を実施していても、攻撃を100%防ぐことはできません。そのため、「もし被害に遭ったとき、どう戻すか」の準備も、対策の一部です。

特に重要なのがバックアップです。ただし、「バックアップがある」だけでは不十分な場合があります。

たとえば、本番環境と同じネットワーク上にバックアップを保存していた場合、攻撃者が侵入した際にバックアップも同時に暗号化・破壊されてしまいます。機器故障に備えたバックアップと、サイバー攻撃を想定したバックアップでは、設計の考え方が違います。「バックアップは取っている」から一歩進んで、「攻撃された場合でも復元できるか」を考えておく必要があります。

また、保存したバックアップから実際に復元できるかどうかを訓練しておくことも大切です。これを定期的にやれている企業はまだ少ないのが実態だと思います。

6. ガバナンス（Govern）――2024年に追加された分類

セキュリティ対策や運用のAI化や自動化も進んできていますが、上記で挙げた5つの活動は「人間」によって行われるものです。セキュリティ活動全体を「組織として運営するための仕組み」にするために必要なのがガバナンスです。

具体的には、セキュリティに関する方針・役割・責任体制・リスクマネジメントの考え方などが含まれます。「誰が何をするか、何に責任があるか」「経営層はどう関与するか」「決めたことは周知されているか」などの話です。

Ver.2で追加された背景には、「技術的な対策は進んでいても、組織としての管理体制が曖昧なままでは持続しない」という考え方があるのではないかと思います。経営層の関与が必要ですし、役割や責任を明確にしないと活動を推進する人が出てこないと感じます。なかなかセキュリティの専任者を任命するのは余裕がないかもしれませんが、一人でも責任感を持った専任者がいるとセキュリティ活動は推進されると思います。兼務だとどうしてもメイン業務が優先となり、後回しにされるのがセキュリティだと感じます。

→ CSFの6分類に対応するSCS要求事項の全体像は「SCS★3⑦ パッチ・マルウェア対策・境界防護（防御③）」（防御系）や「SCS★3⑨ ネットワーク監視とログ分析による攻撃検知」（検知）などの個別記事で順次解説しています。