第19問

論点：NIST CSF 2.0とサイバーセキュリティ経営ガイドライン

米国国立標準技術研究所（NIST）が公表したサイバーセキュリティフレームワーク（CSF）2.0、及び経済産業省とIPA（情報処理推進機構）による「サイバーセキュリティ経営ガイドライン」に関する以下の文章の空欄Ａ～Ｃに入る語句の組み合わせとして、最も適切なものを下記の解答群から選べ。なお、令和８年５月１日を基準日とする。　CSF 2.0 は、Identify、Protect、Detect、Respond、Recover にＡを加えた６つのコア機能で構成される。ＡはCSF 2.0 において第６の機能として新設されたものであり、CSF 2.0 では適用範囲もＢに拡大された。　一方、サイバーセキュリティ経営ガイドラインは、基準日の時点ではＣが最新版であり、「経営者の3原則」と「重要10項目」から構成されている。

アＡ：Govern　　Ｂ：重要インフラ事業者　　Ｃ：Ver3.0
イＡ：Govern　　Ｂ：重要インフラ事業者　　Ｃ：Ver4.0
ウＡ：Govern　　Ｂ：すべての組織　　　　　Ｃ：Ver3.0
エＡ：Manage　　Ｂ：重要インフラ事業者　　Ｃ：Ver4.0
オＡ：Manage　　Ｂ：すべての組織　　　　　Ｃ：Ver3.0

▼ 解答・解説を見る

正解：ウ

解答：ウ

NIST CSF 2.0（2024年2月26日公表）とサイバーセキュリティ経営ガイドラインの要点を問う穴埋めである。

Ａ＝Govern：CSF 2.0のコア機能は、Govern（統治）／Identify／Protect／Detect／Respond／Recoverの6つである。このうちGovern が2.0で第6の機能として新設された点が最大の変更点であり、ここが問われやすい。Manage はコア機能ではない。
Ｂ＝すべての組織：CSF 2.0では、適用範囲が従来の重要インフラから、規模・分野を問わずすべての組織へ拡大された。「重要インフラ事業者」に限定するのは1.1までの位置づけであり、2.0の説明としては誤り。
Ｃ＝Ver3.0：サイバーセキュリティ経営ガイドラインはVer3.0（2023年3月24日公表）が最新版であり、基準日（令和8年5月1日）の時点でもこれより新しい版は公表されていない。Ver4.0は存在しない。

CSF 2.0は、6機能・22カテゴリ・106サブカテゴリという構成である点もあわせて押さえておきたい。

参考

サイバーセキュリティ経営ガイドラインは「経営者の3原則」と「重要10項目」から構成される。付属のプラクティス集は第4版（2023年10月31日）であり、ガイドライン本体の版（Ver3.0）とは別に管理されている点に注意。
「最新版はどれか」を問う出題は、デジタルガバナンス・コード3.0（4.0は存在しない）、システム監査基準（令和5年4月26日改訂版が最新）と共通する形である。新しい版が出ていないことを知っていることが得点条件になる。

したがってＡ：Govern／Ｂ：すべての組織／Ｃ：Ver3.0。よってウ。

なぜこの論点を予想したか

情報セキュリティ〈第7章〉は過去19年で86回・毎年出題の最頻出領域。NIST CSF 2.0は2024年2月26日公表で、Govern の新設という明確な変更点があり穴埋め形式に適する。サイバーセキュリティ経営ガイドラインはVer3.0（2023年3月24日）が最新のまま更新されておらず、版の新旧を問える状態が続いている。クラウドの定義（R06第6問）でNISTの定義が下敷きになるなど、NIST由来の枠組みは本科目と親和性が高い。

出典

NIST『The NIST Cybersecurity Framework (CSF) 2.0』（NIST CSWP 29） https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf
IPA『サイバーセキュリティ経営ガイドラインと支援ツール』 https://www.ipa.go.jp/security/economics/csm-practice.html

#情報セキュリティ