CSF 2.0「参照情報」の活用方法を解説する手引書「CSF 2.0: Informative References Quick-Start Guide」を公開 NIST
米国国立標準技術研究所はこのほど、「NIST SP 1347 NIST Cybersecurity Framework 2.0: Informative References Quick-Start Guide」を公表しました。本ガイドは、多様なサイバーセキュリティ規格やガイドラインの要素間の対応関係を示す「参照情報（Informative References）」を活用し、NIST CSF 2.0の目標達成を支援する手引書です。
CSF 2.0における参照情報は、各成果目標（Core）に対応する他文書の要件や推奨事項を紐づける役割を担います。組織は「CSF 2.0 Reference Tool」や「Online Informative Reference Program」など各種ツールを利用することで、ブラウザ上でCSF 2.0に対応する参照情報を抽出・閲覧し、ExcelやJSON形式で出力することができます。これにより、全社的リスク管理（ERM）プログラムやNIST SP 800-53の個別セキュリティ対策まで、対応経路を明確に接続・可視化することが可能になると記されました。
また、CSF 2.0の「組織プロファイル」開発における活用手法も整理されています。現状（Current Profile）と目標（Target Profile）のギャップを特定する際に参照情報を活用することで、ISO/IEC 27001など他規格との整合性把握や重複の排除をしつつ、目標達成に向けたアクションプランを効率的に策定できるとしました。
さらに、構造化データをAIに投入してCSF 2.0との自動マッピングを行うという先進事例も紹介されています。しかしこのような場合には、適切なコンテキストがないまま根拠のないマッピングが使用されるのを防ぐため、専門家によるレビューが不可欠だと述べています。
