国内で知名度が高い同様のフレームワークでは、iコンピテンシ・ディクショナリや、セキュリティ知識分野(SecBoK)人材スキルマップがありますが、NICEフレームワークと異なる点を挙げると、おおよそ以下のようになります。

上記のように、セキュリティに特化している点でSecBoKとNICEフレームワークは類似していますが、より詳細な情報を得たい場合や、グローバルも視野に入れた場合は、NICEフレームワークが役に立つでしょう。逆に、手っ取り早くまとまった情報を得たい場合や、国内に重点を置く場合は、SecBoKの方が活用しやすいでしょう。

NICEフレームワークは大きく分けて以下の5つの項目で構成されています。

カテゴリーではProtect and Defend、Securely Provision、Operate and Maintainなど、７つの分類があります。これらのカテゴリーから更に細分化され、リスクマネジメントやインシデントレスポンスなどの「専門分野」、セキュリティ管理者やサイバーディフェンスアナリストなどの「役割」レベルまで分類されています。そして、その「役割」はどのような「業務」を担うのか、その「業務」を遂行するうえで、どのような「知識、技術、能力」が必要なのか、という流れで記載されています。

具体的には、以下のような形で記載されています。以下の表では抜粋した一部しか記載しておりませんがそれぞれを数えると、「専門分野」は33個、「役割」は52個定義されています。そしてその全てに対して、どのような業務があり、そこでどのようなKSAsが必要になるのか記載されています。

例えばSOCやCSIRT等でインシデントレスポンスの業務がありますが、NICEフレームワークでは以下のように定義されています。

【カテゴリー】
Protect and Defend

【専門分野】
Incident Response (CIR)

【役割】
Cyber Defense Incident Responder

そして上記の【表3】ではTasksとKSAsをIDで表記していますが、これはそれぞれがリスト形式で記載されているためです。そしてこれらのID一つ一つに紐づく内容を具体的に見てみると、以下のような形になっています。

NICEフレームワークが活用された事例で公開されているものはまだまだ少ないのが現状です。しかしながら、昨今セキュリティ人材の不足が広く叫ばれ、2019年からは、セキュリティ対策基準「SP800-171」相当の対策を求める、新防衛調達基準の試行導入が日本で始まります。こうした背景を考えれば、実質的にセキュリティ人材育成のグローバルスタンダードであり、SP800-171とも親和性が高いNICEフレームワークは、国内でも積極的に活用されていくことでしょう。