CISSP：セキュリティガバナンスにおける主要フレームワークの比較

1 min read

セキュリティガバナンスを効果的に管理するために、以下の主要なフレームワークと標準があります。

NIST (National Institute of Standards and Technology)

  • 策定団体: アメリカ合衆国商務省の国家標準技術研究所（NIST）
  • 特徴:
    • 主にアメリカ国内の政府機関や企業向けに標準とガイドラインを提供。
    • 特にサイバーセキュリティに関するフレームワーク（NIST Cybersecurity Framework）が有名。
    • NIST SP 800シリーズは、具体的なセキュリティ管理と技術に関する詳細なガイドラインを提供。
  • 違い:
    • 政府主導であり、特にアメリカ国内での適用が多い。
    • 実践的で技術的なガイドラインが豊富。

ITIL (Information Technology Infrastructure Library)

  • 策定団体: AXELOS（英国政府と民間企業の合弁企業）
  • 特徴:
    • ITサービスマネジメントのベストプラクティスを提供。
    • セキュリティ管理も含むが、主にITサービス全般の効率化と品質向上を目的とする。
    • サービスライフサイクル（サービスストラテジー、サービスデザイン、サービストランジション、サービスオペレーション、継続的サービス改善）に焦点を当てている。
  • 違い:
    • ITサービスマネジメント全般に焦点を当てており、セキュリティはその一部として扱われる。
    • プロセスと役割の明確な定義が特徴。

ISO/IEC 27000シリーズ

  • 策定団体: 国際標準化機構（ISO）と国際電気標準会議（IEC）
  • 特徴:
    • 情報セキュリティ管理のための国際標準。
    • ISO/IEC 27001: 情報セキュリティマネジメントシステム（ISMS）の要件を定義。
    • ISO/IEC 27002: ISO/IEC 27001の実装ガイドラインを提供。
    • グローバルに認知され、広く適用される。
  • 違い:
    • 国際標準として広く受け入れられており、認証制度が存在する。
    • 組織全体の情報セキュリティ管理に焦点を当てている。

COSO (Committee of Sponsoring Organizations of the Treadway Commission)

  • 策定団体: COSO（トレッドウェイ委員会スポンサー団体委員会）
  • 特徴:
    • リスク管理と内部統制のフレームワークを提供。
    • COSO Internal Control - Integrated Framework: 組織の内部統制を強化し、リスクを管理するためのガイドライン。
    • 会計と財務報告の視点からもリスク管理を強調。
  • 違い:
    • 主に内部統制とリスク管理に焦点を当てており、情報セキュリティはその一部。
    • 財務報告の信頼性確保にも関連。
  • 策定団体: ISACA（Information Systems Audit and Control Association）
  • 特徴:
    • ITガバナンスと管理のためのフレームワーク。
    • COBIT 2019: ITガバナンスと管理のための包括的なフレームワークを提供し、リスク管理、コンプライアンス、セキュリティ管理を含む。
    • ビジネスとITの整合性を重視。
  • 違い:
    • ITガバナンスに特化しており、ビジネス目標とIT戦略の整合性を強調。
    • フレームワーク全体がIT管理とガバナンスに焦点を当てている。