NIST CSFの大きな特徴は、様々な業種・業態に関するサイバー対策の評価基準が体系的にまとめられている点であり、具体的には「コア(Core)」「ティア(Tier)」「プロファイル(Profile)」 という大きく3つの要素で構成されています。

上記の要素によって、組織のサイバーセキュリティ対策状況が「現状（as is）」と「目標(to be)」とでどのようなギャップがあり、どの部分を強化するべきかを適切に把握できるようになります。

先述した通り、複雑化・高度化するサイバー攻撃に対処するため2024年2月に2.0版が発表されました。2023年8月に発表されたドラフト版に寄せられたコメントを踏まえ、1.1版と比較すると大きく6点の変更が行われました。

1点目は対象とする組織が拡大したことです。

1.1版までは主に病院や発電所など米国の重要インフラの保護に重点を置いていましたが、実際には既に多種多様な業種・業態の標準的なフレームワークとして活用されていたほか、フレームワークの国際的な利用を促したいという事情から、業種や企業の規模感を問わず利用の対象となるよう更新されました。

これに合わせて、NIST CSFの正式タイトルが「重要インフラのサイバーセキュリティ対策を改善するためのフレームワーク」から「サイバーセキュリティフレームワーク」へと変更されました。その結果、フレームワークの構成や参考資料における表現が全ての組織を対象としたものに変更されています。

2点目は「コア(Core)」に「ガバナンス（Govern）」機能が追加されたことです。なおGovernは統治するという意味の英語で、本稿ではGovernに由来する言葉であるガバナンスと対訳しました。

NIST CSFは当初、「コア(Core)」部分を「識別（特定）」「防御」「検知」「対応」「復旧」の5つで構成していました。2.0版ではその5つの機能に加え、「ガバナンス」が追加されました。

【図1：NIST CSF 2.0版のコア機能】
出典：NIST「The NIST Cybersecurity Framework (CSF) 2.0」

新設された「ガバナンス」は他5つの機能と交わる根幹的な機能となり、組織がサイバーセキュリティ戦略を実施する上での内部決定や優先順位をどのように行うかについての指針を示しています。NISTによると、この機能はサイバーセキュリティの推進が財務等の他のリスクと同様に経営層が検討するべきものであるということを強調しています。

3点目はカテゴリ・サブカテゴリが大幅に整理・改訂されたことです。ガバナンス機能が追加されたため、以下のように構成が変更されました。

具体的には以下のような形で整理されています。

【表3：1.1版と2.0版におけるカテゴリー比較】

4点目は「ガバナンス（Govern）」でサプライチェーン/リスクマネジメントに焦点を当てたカテゴリーが拡充されていることです。背景にはサプライチェーンを狙ったサイバー攻撃が頻発しているなど、関連するリスクが年々増していることが挙げられます。

ただ、1.1版でも「識別（特定）」機能にサプライチェーンリスク管理はありました。2.0版ではNIST-SP800-161rev.1(システム及び組織におけるサプライチェーンのサイバーセキュリティリスクマネジメントのプラクティス、Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations)などを参照し、対策項目を大幅に追加した形となっています。

5点目はNIST-CSF1.1までは「識別（特定）」～「復旧」までの5つの機能で統一的なTier評価だったのが、CSF2.0ではあくまでも使用方法の一例として「ガバナンス」機能のみのTierの想定が示されていることです。具体的にはそれぞれの違いとして以下のTier評価が記されています。

6点目はImplementation ExamplesというCSF実装例やQuick start guidesというこれからセキュリティ確保を行おうとしている組織を対象としたガイダンスなどの計4点の参考資料が提供されるようになったことです。

Implementation Examplesにおける実装例とはセキュリティプロセスの具体例であり、それぞれの「コア(Core)」に紐づくサブカテゴリーの達成に役立ちます。また、各機能のサブカテゴリーの実装例が示されたことで、対象組織はフレームワークを効果的に使用できるようになりました。

Quick start guidesは中小企業、エンタープライズ・リスクマネージャー、およびサプライチェーンのセキュリティを確保しようとしている組織に対象を絞ったスタートガイドであり、成熟度が低い組織でも活用しやすいように更新されています。

他にも、参考資料・他フレームワークとの関連性の強化を行うために以下のようなツールが提供されています。

このように、NIST CSF2.0版の利用者は状況の変化やニーズに合わせてより有効的な情報を様々なツールを使って、参照できるようになっています。

NIST CSFは以前より全世界で広く活用されてきたフレームワークでしたが、大きく変更となった2.0版は、より時代に即した形に更新され、さらに活用しやすくなったと言えます。

今後はNIST CSF 2.0版の活用が進むと同時に、他の有力なフレームワーク・ガイドラインもNIST-CSFに影響を受ける形で更新されることが予想されます。