CISSP試験（特にドメイン1「セキュリティとリスクマネジメント」）では、NIST・ITIL・ISO/IEC 27000シリーズ・COSO・COBITといった名前が並列に登場する。しかし、これらは「セキュリティのフレームワーク」として一括りにできるものではない。適用範囲がまったく異なり、認証の有無も異なり、そもそも競合関係にすらない——ある組織はCOBITで全体ガバナンスを設計しながら、ISO/IEC 27001でセキュリティ認証を取得し、NIST CSFでリスクアセスメントを回す、という形で3つを同時に使うことが普通にある。
この記事では、各フレームワークについて「(a) どんな組織課題を解決するために作られたか」「(b) 適用範囲はセキュリティ特化か、ITサービスマネジメント全般か、それとも全社的なガバナンス・リスクか」「(c) 認証制度があるかどうか」を軸に、公式ドキュメント・策定団体の一次情報をもとに整理する。曖昧な要約ではなく、細部（バージョン番号・発行年・認証の主体が個人か組織か）まで正確に押さえることを目指す。
NIST CSF（サイバーセキュリティフレームワーク）
- 策定団体: アメリカ国立標準技術研究所（NIST、米国商務省傘下）
- 最新版: CSF 2.0（2024年2月26日公開）。初版（CSF 1.0）は2014年公開で、2.0は10年ぶりの大幅改訂にあたる（ NIST公式発表 ）。
- 解決する課題: 組織がサイバーセキュリティリスクを識別・管理するための「共通言語」を提供すること。技術的な実装基準ではなく、経営層と現場が同じ語彙でリスクを議論するための整理枠組みという性格が強い。
- 適用範囲: セキュリティに特化。CSF 1.0は「識別（Identify）・防御（Protect）・検知（Detect）・対応（Respond）・復旧（Recover）」の5機能構成だったが、CSF 2.0では**「統治（Govern）」機能が新設**され、経営層の関与・サプライチェーンリスク管理・方針策定が明示的にスコープへ加わった。これにより、CSFは技術的対策だけでなく組織統治の要素も扱うようになったが、対象領域はあくまでサイバーセキュリティである（ITサービス全体の効率化や財務統制は対象外）。
- 認証: 第三者認証制度は存在しない。自己評価（自組織でTier/Profileを用いて成熟度を評価）が基本であり、監査法人などが独自にCSFへの準拠度を評価するサービスを提供することはあるが、ISO/IEC 27001のような公式な認証スキームではない。
- 適用の法的位置づけ（誤解しやすい点）: CSFそのものは民間・政府を問わず**任意（voluntary）**の枠組みである。一方で米連邦政府機関には FISMA（連邦情報セキュリティ近代化法）が NIST SP 800-53 に基づく統制の実装を義務付けており、これは CSF とは別の話である。CSFは SP 800-53 などの詳細な統制カタログと相互にマッピングされる上位の整理枠組みという位置づけで、「CSFを使えばFISMA準拠になる」わけではない。クラウド事業者が米連邦機関と取引する際に求められる FedRAMP も、NIST SP 800-53 のベースラインをクラウド向けに拡張したものであり、CSF自体の認証ではない。
ITIL（Information Technology Infrastructure Library）
- 策定団体: 英国政府中央調達通信局（CCTA）が1980年代に策定。その後英国政府商務局（OGC）に移管され、2013年に AXELOS（英国政府とCapitaの合弁）へ、さらに2021年にPeopleCertが買収し、現在はPeopleCertがITILの商標・出版を管理している。
- 最新版: ITIL 4（2019年2月公開）。旧来の「ITIL v3」からナンバリング体系を変え、バージョン番号ではなく単に「4」と呼称するようになった。
- 解決する課題: ITサービスの提供・運用におけるベストプラクティス集。ビジネスにとってITサービスがどのような価値を生むか（サービスバリューシステム）を軸に、サービスの企画から廃止までのライフサイクル全体を扱う。
- 適用範囲: ITサービスマネジメント（ITSM）全般が中心。情報セキュリティマネジメントも「プラクティス」の1つとして含まれるが、これはITILが持つ34の実践領域の一部に過ぎず、セキュリティに特化したフレームワークではない。ITガバナンスの一部（サービスとビジネス戦略の整合）にも触れるが、主眼はあくまでサービス運用の効率化・品質向上である。
- 認証: ITIL自体には組織を認証する制度が存在しない。PeopleCertが提供するのは Foundation・Practitioner・Managing Professional・Strategic Leader といった個人向け資格試験であり、「この会社はITIL認証済みである」という組織認証は存在しない。組織としてITSMの成熟度を対外的に証明したい場合は、ITILの考え方を反映した国際標準である ISO/IEC 20000（ITサービスマネジメントシステムの要求事項）の認証を取得するのが一般的な代替手段になる。
ISO/IEC 27000シリーズ
- 策定団体: 国際標準化機構（ISO）と国際電気標準会議（IEC）の合同委員会。
- 最新版: ISO/IEC 27001:2022（2022年10月25日発行）。前版の2013年版から約9年ぶりの改訂で、附属書Aの管理策が114項目から93項目に再編（56項目を24項目へ統合、11項目を新設、4つの管理策カテゴリへ再分類）された（ ISO公式 、各種認証機関の解説を参照）。本則（箇条4〜10）の変更は軽微。2013年版で認証を取得済みの組織には、2025年10月31日を期限とする移行期間が設けられている。
- 解決する課題: 組織固有の情報資産・脅威・脆弱性に基づいてリスクを評価し、適切な管理策を選定・運用するための「情報セキュリティマネジメントシステム（ISMS）」の要件を定義する。ISO/IEC 27002はその実装ガイダンス（コントロール集）であり、27001とセットで参照される。
- 適用範囲: 情報セキュリティに特化。組織全体（人・プロセス・技術）を対象にするが、対象はあくまで情報セキュリティのリスクマネジメントに限定され、ITサービス運用全般や財務統制はスコープ外。
- 認証: 5つのフレームワークの中で唯一、組織単位の第三者認証制度が確立している。認定された審査機関の監査（ステージ1・ステージ2の二段階審査）に合格すると認証が付与され、定期サーベイランス審査で維持される。国際的に最も広く認知されている情報セキュリティ認証であり、取引先からの要求事項として指定されることも多い。
- よくある誤解: 「ISO/IEC 27001認証を取得している＝その組織は安全である」は誤り。認証が保証するのは、組織が標準の要求事項に従ってリスクを特定し、選定した管理策を運用する**プロセス（ISMS）**を機能させているという点であり、個々の技術的対策の有効性や、未知の脅威への耐性までは保証しない。認証後も新たなリスクへの継続的対応を怠れば、認証を維持していても実質的なセキュリティは劣化しうる。
COSO（トレッドウェイ委員会組織委員会）
- 策定団体: COSO（Committee of Sponsoring Organizations of the Treadway Commission）。会計・監査関連の複数の職能団体が母体。
- 最新版: 2つの主要フレームワークがあり、別々に改訂されている。
- Internal Control - Integrated Framework（内部統制統合フレームワーク、ICIF）: 現行版は2013年5月改訂版。5つの構成要素・17の原則からなる。
- Enterprise Risk Management Framework（全社的リスクマネジメント、ERM）: 2017年に公開された「Enterprise Risk Management—Integrating with Strategy and Performance」が現行版。5つの構成要素・20の原則からなり、リスクを戦略・パフォーマンスと結びつける、より経営戦略寄りの視点を持つ。
- 解決する課題: ICIFは主に財務報告の信頼性・業務の有効性/効率性・法令遵守という3つの目的に対する内部統制の実効性を評価するための枠組み（米国SOX法404条対応で最も広く使われる基準）。ERMは、内部統制よりも広い「組織の目標達成に影響しうるリスク全般」を戦略立案・意思決定に組み込むための枠組み。
- 適用範囲: 内部統制・全社的リスクマネジメントに特化しており、情報セキュリティやIT運用は数ある業務リスクの一領域として扱われるに過ぎない。ITガバナンスの一部（統制環境の整備）には関連するが、IT特化のフレームワークではない。
- 認証: 組織認証制度はない。COSOフレームワークは監査・アテステーション（経営者による内部統制の有効性表明、外部監査人によるその検証）の「基準」として使われるものであり、ISO/IEC 27001のような合否判定型の第三者認証とは性質が異なる。米国上場企業がSOX法404条対応で内部統制報告を行う際の評価基準として使われることが最も一般的。
COBIT（Control Objectives for Information and Related Technologies）
- 策定団体: ISACA（Information Systems Audit and Control Association）。
- 最新版: COBIT 2019（2018年11月公開、COBIT 5の後継）。以降、ISACAは全面改訂版ではなく、AI・データプライバシーなど新領域を反映した補完ガイダンスの追加という形でCOBIT 2019を継続更新しており、2026年時点でもCOBIT 2019が現行版である。
- 解決する課題: 「ITガバナンス」と「ITマネジメント」を明確に区別した上で、企業戦略とIT戦略を整合させるための包括的なガバナンスシステムを設計する枠組み。COBIT 2019では、企業規模・リスクプロファイル・脅威環境・コンプライアンス要件など**11の設計要因（design factors）**をスコアリングし、組織ごとにテーラーメイドしたガバナンスシステムを構築する方式を採る。
- 適用範囲: ITガバナンスに特化しつつ、40のガバナンス/マネジメント目標を通じて、情報セキュリティ・リスク管理・ITサービス管理・コンプライアンスといった複数領域を横断的にカバーする、いわば「上位の統合フレームワーク」という性格を持つ。単体のセキュリティ標準やITSM標準そのものではなく、それらをガバナンスの観点から束ねる役割を担う。
- 認証: ITILと同様、組織認証制度はない。ISACAが提供するのは COBIT Foundation・COBIT Design and Implementation といった個人向け認定資格であり、企業が「COBIT認証」を取得することはできない。
フレームワーク比較表
| フレームワーク | 策定団体 | 最新版 | 主な適用範囲 | 組織認証 |
|---|---|---|---|---|
| NIST CSF | NIST（米国商務省） | 2.0（2024年2月） | 情報セキュリティ（統治含む） | なし（自己評価） |
| ITIL | PeopleCert（旧AXELOS） | 4（2019年2月） | ITサービスマネジメント全般 | なし（個人資格のみ、組織は ISO/IEC 20000 で代替） |
| ISO/IEC 27001 | ISO/IEC | 2022年版（2022年10月） | 情報セキュリティマネジメント | あり（第三者審査） |
| COSO | COSO | ICIF 2013 / ERM 2017 | 内部統制・全社的リスクマネジメント | なし（監査・アテステーション基準） |
| COBIT | ISACA | 2019（2018年11月、継続更新中） | ITガバナンス（全社横断） | なし（個人資格のみ） |
補足として、ISO/IEC 27001はISO/IEC 9001（品質マネジメントシステム）などと同じ**Annex SL（共通の高位構造）**に準拠したマネジメントシステム規格の1つである。両者は「PDCAサイクルに基づくマネジメントシステムを運用する」という構造上の共通言語を持つが、9001は品質全般、27001は情報セキュリティが対象であり、扱う中身はまったく別物である。この共通構造のおかげで、品質と情報セキュリティのマネジメントシステムを1つの組織内で統合運用しやすくなっている。
適用範囲の可視化
下図は、5つのフレームワークが「情報セキュリティ」「ITサービスマネジメント」「全社的リスク・内部統制」「ITガバナンス」の4領域にどう重なり合うか、また組織単位の認証が存在するかを一覧化したものである。
この図から読み取れる構造は次の通り。
- 対角線的に「主戦場」が分かれている: NIST CSFとISO/IEC 27001はセキュリティ、ITILはITSM、COSOはリスク・内部統制、COBITはガバナンスがそれぞれの主戦場（濃い青のセル）。
- COBITだけが4領域すべてに何らかの関与を持つ: これはCOBITが単体のセキュリティ標準やITSM標準ではなく、それらを束ねる「メタフレームワーク」的な性格を持つことの表れ。
- 組織認証が存在するのはISO/IEC 27001のみ: 他の4つは個人資格（ITIL・COBIT）か、自己評価・監査基準（NIST CSF・COSO）であり、「認証取得」という言葉を使えるのは実質的にISO/IEC 27001だけである。
実務での組み合わせ方
CISSP試験では各フレームワークが独立した選択肢のように問われがちだが、実務では以下のようにレイヤーを分けて併用するのが一般的である。
- COBITで全体設計: 経営層とIT部門の間でガバナンス構造・責任分担・評価指標（全40のガバナンス/マネジメント目標のうちどれを重視するか）を設計する土台として使う。
- ISO/IEC 27001でセキュリティの認証を取得: COBITが設計した統治構造の中で、情報セキュリティ領域に関しては具体的なISMSを構築し、対外的に証明可能な認証を取得する。
- NIST CSFでリスクアセスメントを実施: ISO/IEC 27001のISMS運用における「リスクアセスメント」の実務の中で、CSFのTier/Profileを使って現状の成熟度を評価し、改善優先順位を経営層に説明する共通言語として使う（CSFはISO/IEC 27001の要求事項と矛盾しない）。
- ITILでITサービス運用を効率化: セキュリティ統制を実装したシステムの日々の運用・変更管理・インシデント対応は、ITILのプラクティス（インシデント管理、変更管理など）に従って行う。
- COSOで財務報告に関わる統制を担保: 上場企業であれば、ITシステムが関わる財務報告プロセスについてはCOSO ICIFに基づく内部統制評価（SOX法404条対応）も並行して求められる。
このように5つは競合するものではなく、**「なぜそのフレームワークを選ぶか」ではなく「どの階層の課題にどれを充てるか」**という設計判断が実務では重要になる。
よくある質問（FAQ）
ISO/IEC 27001認証を取得すれば、その組織は安全と言えるか？
いいえ。ISO/IEC 27001認証が保証するのは、組織が標準の要求事項に従ってリスクを特定し、選定した管理策を運用するプロセス（ISMS）を機能させているという点であり、個々の技術的対策の有効性や未知の脅威への耐性までは保証しない。認証後も新たなリスクへの継続的対応を怠れば、認証を維持していても実質的なセキュリティは劣化しうる。
COBITやITILには、ISO/IEC 27001のような組織単位の認証制度があるか？
ない。COBITとITILはいずれも個人向けの認定資格（COBIT Foundation・COBIT Design and Implementationや、ITILのFoundation・Practitioner・Managing Professional・Strategic Leaderなど）を提供するのみで、企業が「COBIT認証」「ITIL認証」を取得することはできない。組織としてITSMの成熟度を対外的に証明したい場合はISO/IEC 20000で代替するのが一般的である。5フレームワークのうち組織単位の第三者認証制度が確立しているのはISO/IEC 27001のみである。
CISSP対策として、5つのフレームワークは実務でどう組み合わせて使われるか？
競合する選択肢としてではなく、レイヤーを分けて併用するのが一般的である。COBITで全体のガバナンス構造を設計し、その中でISO/IEC 27001によりセキュリティの認証を取得し、NIST CSFのTier/Profileでリスクアセスメントの成熟度を評価し、ITILの実践に沿って日々のIT運用を行い、上場企業であればCOSO ICIFに基づく内部統制評価も並行して求められる。
CISSP対策の学習リソース
CISSP試験は8つのドメインにまたがり出題範囲が広く、独学だけで全体を網羅するのは難しい。特に本記事で扱ったセキュリティガバナンス領域は、フレームワークの名称・発行年・認証の有無といった細部が問われやすいため、公式スタディガイドや過去問題集を使った体系的な対策が効果的である。
関連記事
- セキュリティ資格比較：CISSP vs 情報処理安全確保支援士 - CISSPと日本の情報処理安全確保支援士（登録セキスペ）を、受験要件・費用・難易度・キャリアへの効果の観点から徹底比較しています。