サイバーセキュリティのフレームワーク：コンプライアンスに関するわかりやすいガイド

【更新情報】当初 2024年8月1日に掲載された本記事は、フレームワークの対象範囲の拡大、規制環境の最新状況、およびサイバーセキュリティ基準の運用に関する新たなガイダンスを反映させるため、改訂されました。

攻撃がますます巧妙かつ高度化している今日の脅威環境において、組織の情報システムの安全性と完全性を確保するためには、サイバーセキュリティの枠組みが不可欠であり（場合によっては必須となります）。

これらのフレームワークは、ITチームがリスクを管理し、実証済みのセキュリティ対策を適用し、コンプライアンス要件を満たすのに役立ちます。特に、 政府機関、小売業、医療などの規制の厳しい分野において、その効果が発揮されます。

このブログ記事では、サイバーセキュリティフレームワークとは何か、なぜ重要なのか、そして組織に適したフレームワークをどのように選べばよいかについて詳しく解説します。
NISTからPCI DSSに至るまで、最も広く利用されている10の規格を並べて比較し、それらを自社のリスクプロファイル、業界の要件、およびコンプライアンス目標にどのように整合させるかを学ぶことができます。

セキュリティ戦略をゼロから構築する場合でも、既存の戦略を洗練させる場合でも、この記事は複雑な状況を整理し、自信を持って次のステップに進むお手伝いをいたします。

サイバーセキュリティ・フレームワークとは何でしょうか？

サイバーセキュリティ・フレームワークとは、組織がサイバーセキュリティ上のリスクを管理・低減できるよう支援することを目的とした、一連のガイドライン、ベストプラクティス、および基準のことです。 本ソリューションは、サイバー脅威の特定、防御、検知、対応、復旧など、リスク管理の目標について、IT、セキュリティ、コンプライアンスの各チームが足並みを揃えるための共通の言語と枠組みを提供します。

サイバーセキュリティのフレームワークは、最前線の防御手段としても機能し、顧客データや知的財産から、ビジネスの運営を支えるシステムに至るまで、最も貴重なデジタル資産を保護するのに役立ちます。 絶えず変化し続ける脅威の状況において――そして多くの組織が依然としてリスクの評価や対処に向けた一貫したアプローチを欠いている中で――フレームワークは、一歩先を行くために必要な枠組みと確信をもたらします。

フレームワークには明らかなメリットがある一方で、頻繁な更新、複雑さの増大、リソースの需要、そして既存のデータセキュリティやリスク管理の慣行との整合を図る必要性など、課題も生じ得ます。

しかし、慎重に導入すれば、セキュリティ体制を強化するだけでなく、組織におけるサイバーリスクの管理方法に明確さと一貫性をもたらすことにもなります。

これらの枠組みの重要性を理解することは不可欠です。 同社は、ガバナンスやリスク管理から検知・対応に至るまで、サイバーセキュリティのあらゆる重要な側面に対処することで、重要な情報を保護し、長期的な サイバーレジリエンス を構築するためのロードマップを提供しています。

サイバーセキュリティ・フレームワーク一覧：よく使われる 10 の規格を解説

ここでは、10の一般的なサイバーセキュリティ基準について見ていき、どのフレームワークが貴組織にとって有益であるか、またその理由について理解を深めていきましょう。

1. 情報および関連技術のための統制目標（COBIT）
   COBITは、サイバーセキュリティを含むITガバナンスおよび管理のためのフレームワークであり、リスクとコンプライアンスを管理しつつ、ITをビジネス目標と整合させるものです。
   IT実務者のための世界的な専門団体であるISACA（）は、「COBIT」規格として知られる「情報および関連技術のための統制目標」を策定しました。 COBITは、特定の技術を規定するのではなく、企業の情報およびテクノロジーをガバナンスし、管理するための体系的なアプローチを提供しています。
   ここでは、組織がステークホルダーのニーズを考慮し、それに応じて優先順位を付けながら、ガバナンスおよび管理プロセスをどのように実施できるかを概説しています。 このフレームワークには、組織構造、情報の流れ、業績評価指標などの要素が含まれています。また、ITセキュリティ対策を、より広範なビジネス目標の中に組み込むことで、その実践を強化しています。 COBITは、他のサイバーセキュリティ基準に取って代わるのではなく、それらを補完するものであり、多くの場合、NISTなどのフレームワークの導入を支えるガバナンスの層としての役割を果たしています。

1. サイバーセキュリティ成熟度モデル認証（CMMC）
   CMMCは、防衛関連企業が管理対象非機密情報（CUI）を確実に保護することを保証する、米国連邦政府の枠組みです。 これには3つの成熟度レベルが含まれており、NIST SP 800-171 およびSP 800-172と密接に整合しています。
   「」サイバーセキュリティ成熟度モデル認証（、以下CMMCフレームワーク）は、防衛産業基盤（DIB）セクター—米軍向けの軍事兵器システムやその他の技術を開発する企業のグローバルなコンソーシアム—をサイバー脅威から保護するために設計された、米国連邦政府のセキュリティ基準です。
    
   [関連記事：国防総省（DoD）の請負業者が知っておくべきCMMC 2.0 コンプライアンスの基本]
   具体的には、CMMCフレームワークは、米国の戦闘員を支援するシステムを開発する企業が、調達プログラムおよび機密情報（CUI）を処理するシステムに適用される国防総省（DoD）のサイバーセキュリティ要件を確実に満たすように設計されています。 これらの基準は、国防サプライチェーンに関わる組織にとって特に重要であり、そこではCUIの保護が国家安全保障にとって不可欠です。CMMCの最新バージョンである「CMMC 2.0 プログラム」では、サイバーセキュリティ基準の段階的モデル、評価要件の簡素化、および契約に基づく実施という3つの主要な特徴が導入されています。
   CMMC 2.0 では、3 つの成熟度レベルも定義されており、それぞれ、取り扱う情報の機密性に応じて、サイバーセキュリティ要件が段階的に厳しくなっています。 これらのレベルは、レベル1の基本的なサイバー衛生管理や自己評価から、レベル 3の政府によって検証された、管理対象の非機密情報に対する高度な保護対策まで多岐にわたります。

注： 「人々、企業、政府が蔓延するサイバー脅威から身を守ることを支援する」ことを目的に 2000 年に設立された米国の非営利団体「インターネットセキュリティセンター（CIS）」は、組織がCMMC 2.0 の要件を満たすのを支援するための一連の対策を提供しています
。CISは、同団体の「重要セキュリティ対策（Critical Security Controls）」 v8 とCMMC 2.0との対応関係についてガイダンスを示しています。 これらの CIS管理基準（ ）は、DIB企業がCMMC 2.0 への準拠に必要なセキュリティ管理措置やプロセスを導入する上で役立ちます。

1. 連邦情報セキュリティ近代化法（FISMA）

FISMAでは、米国の連邦政府機関およびその委託業者に対し、リスクレベルに応じた情報セキュリティ対策を講じることを義務付けています。

オリジナル 

連邦情報セキュリティ近代化法

、通称FISMAと呼ばれるこの法律は 2002 年に成立し、各連邦機関に対し、当該機関の業務および資産を支える情報およびシステム（他の機関、請負業者、またはその他の提供元によって提供または管理されているものを含む）の情報セキュリティを確保するための、機関全体にわたるプログラムを策定、文書化、および実施することを義務付けています。 2014年に、同法の改正案が可決されました。

FISMAでは、以下の内容を含むコンプライアンスの枠組みを定めています：

☑ 情報システムの台帳の作成

☑ リスクレベルに基づくシステムの分類

☑ に記載されている NIST SP 800-53 および補足規格 FIPS-200「連邦情報および情報システムに対する最低限のセキュリティ要件」に規定されているセキュリティ対策を実施すること

全体として、FISMAは情報システムの保護においてリスクベースのアプローチを採用しています。 では、連邦政府機関に対し、　「…当該機関、または当該機関に代わって収集・管理される情報、ならびに当該機関、当該機関の請負業者、または当該機関に代わって活動するその他の組織が使用または運用する情報システムに対する、不正アクセス、不正使用、不正開示、機能妨害、改ざん、または破壊によって生じるリスクおよび被害の規模に見合った情報セキュリティ保護措置」を講じることを義務付けています。

1. 一般データ保護規則（GDPR）
   GDPRは、欧州連合（EU）の住民を対象とした、データのプライバシー、管理、および保護に焦点を当てたEUの規則です。
   一般データ保護規則（）、通称GDPRは、 2018年5月25日に施行されました。 GDPRでは、EU居住者の個人を特定できる情報（PII）を取り扱う組織に対し、強力なデータプライバシーおよびセキュリティ対策を実施することが求められています。 また、個人には、自身の個人データへのアクセス、訂正、および削除を請求する権利が認められています。大規模な組織は、消費者データの管理を監督し、セキュリティ対策が適切に講じられていることを確保するとともに、組織が消費者の要請に迅速に対応できるよう、データ保護責任者（DPO）を任命しなければなりません。 The law also sets forth rules about what data can be collected and how it can be used.
   And violating GDPR can be costly. GDPR fines can reach up to 4% of the organization’s global annual revenue or €20 million, whichever is higher. GDPRは、インターネット時代における最初の包括的なデータ保護法でした。 これは、他の地域のデータ保護に関する法律や規制のモデルとなってきました。 例えば、カリフォルニア州消費者プライバシー法（CCPA）も、 2018年に可決されましたが、GDPRと多くの共通点があります。 [関連記事：Taniumがデータリスクとプライバシーを向上させる 10 の方法] EU居住者と取引を行う組織はすべて、GDPRを遵守しなければなりません。 その結果、GDPRは、世界中の企業におけるデータプライバシーコンプライアンスの事実上の基準となっています。 この法律は他の地域における立法のモデルとして活用されているため、世界中の企業が注目すべきものです。 企業がGDPRに準拠するために、データ管理やデータセキュリティに関する統制措置を備えたサイバーセキュリティプログラムを導入している場合、他の地域や特定の業界におけるデータプライバシー規制にも準拠できる態勢が整っていると考えられます。

1. Health Information Trust Alliance (HITRUST CSF)
   HITRUST CSFは、HIPAAやISOなどのコンプライアンス要件を統合した、医療情報を保護するためのフレームワークです。
   HITRUST は、テキサス州フリスコに拠点を置く非公開の営利企業です。 同団体は、当初「HITRUST Common Security Framework」と呼ばれていたサイバーセキュリティ基準を策定し、現在は「HITRUST CSF」と呼ばれています。 HITRUST CSFは認証可能なフレームワークであり、組織はHITRUST認定外部評価機関による検証済みの評価を受けることで、認証を取得することができます。 認証は、HITRUST自体ではなく、第三者評価機関によって発行されます。
   この規格は、HIPAAやISO/IEC 27000 規格（ISO/IEC 27001を含む）など、他のサイバーセキュリティフレームワークへの準拠を効率化することを目的としています。HITRUST CSFは広く採用されていますが、一部のサイバーセキュリティ専門家からは、このフレームワークが 煩雑で時代遅れであるとの指摘もあります。。
   しかし、多くの医療機関は、HIPAAへの準拠を達成するだけでなく、脆弱性を最小限に抑え、マルウェア 、フィッシング、および ビジネスメール詐欺（BEC）といったサイバー脅威に対する防御を強化するためのセキュリティ対策を実施する目的でも、HITRUST CSFへの準拠を選択しています。

1. Health Insurance Portability and Accountability Act (HIPAA)
   HIPAA mandates data privacy and security controls to protect patient health information across U.S. healthcare organizations.
   The Health Insurance Portability and Accountability Act of 1996, also known as HIPAA, is an essential cybersecurity standard for the U.S. healthcare industry. この法律では、医療提供者および支払者（健康保険事業者、メディケア、メディケイドなど、医療費を支払う組織）に対し、患者の個人健康情報（PHI）のプライバシーを保護することが義務付けられています。
   PHIとは、個人を特定するために利用され得る健康関連情報を指し、HIPAAによって保護されています。 これには、氏名、医療記録、保険の詳細など、個人識別情報（PII）とみなされる可能性のある要素も含まれています。同法の名称にある「ポータビリティ」とは、転職などの状況において、患者が医療記録をある医療提供者から別の医療提供者へ移行できることを指します。 これらの記録が保存または転送される際に、そのプライバシーが意図的または偶発的に漏洩しないよう、HIPAAではデータのプライバシーとセキュリティに関する厳格な要件を定めており、暗号化やアクセス制御などの保護措置を推奨していますが、具体的な技術については義務付けていません。 HIPAAの推奨事項は、サイバーセキュリティのベストプラクティスを推進し、個人識別情報（PII）に影響を及ぼすデータ漏洩のリスクを最小限に抑えることを目的としています。
   HIPAAに準拠していない企業は、数百万ドルに達する可能性のある多額の罰金に直面する恐れがあります。また、長期にわたる評判の低下を招く可能性もあります。
   組織に対する罰則に加え、HIPAAでは、故意に保護対象医療情報（PHI）を不正に使用した個人に対して、最高250,000 ドルの罰金および懲役刑の可能性を含む民事・刑事上の罰則を定めています。

1. 国際標準化機構（ISO） 27001、ISO 27002
   ISO規格 27001 および27002 は、サイバーセキュリティに対して包括的なアプローチを採用し、人、方針、技術を重視する国際規格です。
   ISO 27001 は、情報セキュリティマネジメントシステム（ISMS）の確立、導入、維持、および継続的な改善に関する要件を定めています。 ISO 27002 では、アクセス制御、暗号技術、人事セキュリティ、およびインシデント対応に関するベストプラクティスや管理目標について、より具体的に解説しています。。

1. 米国国立標準技術研究所（NIST）
   NISTは、あらゆる分野の組織がセキュリティリスクを管理・低減できるよう支援する、サイバーセキュリティの基準やフレームワークを策定しています。
   米国国立標準技術研究所（NIST）は、その名称が示す通り、米国連邦政府において、サイバーセキュリティ基準を含む各種基準を策定する主要な機関です。その例としては、以下のものがあります：
   • NIST特別刊行物（SP） 800-53は、情報システムおよび組織向けのセキュリティおよびプライバシー対策のカタログを提供しており、ほぼすべての組織のセキュリティプログラムに必要な基本的な対策を示しています。
   • NIST SP 800-171『』は、管理対象の非機密情報を作成する必要がある非連邦組織向けのセキュリティ要件を定めています。
   • NIST SP 800-172『』は、NIST SP 800-171 を補完するものであり、CUIを保護するための追加要件を定めています。
   • NISTサイバーセキュリティ・フレームワーク（CSF） は、重要インフラや、経済および国家安全保障にとって重要なその他の分野の保護と回復力を促進することを目的としたセキュリティ・フレームワークです。 NIST CSFに関しては、同機関は連邦政府のITシステムからゲノムデータに至るまで、あらゆるもののセキュリティ確保に関する基準を公表しています。 さらに、CMMC 2.0などの他のサイバーセキュリティフレームワークも、セキュリティ対策の策定における基準としてNISTのサイバーセキュリティフレームワークを採用しています。エネルギー、医療、金融サービス などの不可欠なサービスを提供する組織を含む重要インフラ に対する攻撃は、近年増加しています。 重要インフラ組織は、サイバーセキュリティ態勢の向上やこうしたサイバー攻撃への防御を図るため、NIST CSFの導入を検討すべきです。
   どの企業も、サイバーセキュリティに関するNISTのガイドラインに従うことで、メリットを得ることができます。 NISTのフレームワークを採用するメリットの一つは、同機関が新しい技術やセキュリティ上の脅威、セキュリティ実務者からの提案などを踏まえ、基準の継続的な見直しと更新を行っている点です。

1. ペイメント・カード・インダストリー・データ・セキュリティ・スタンダード（PCI DSS）
   PCI DSSは、ネットワーク、アクセス、およびデータセキュリティに関する包括的な要件を通じて、クレジットカードデータを保護するための規格です。
   アカウントデータのセキュリティ向上に尽力する国際的なフォーラムであるペイメント・カード・インダストリー・セキュリティ・スタンダード・カウンシル（PCI SSC）は、ペイメント・カード・インダストリー・データ・セキュリティ・スタンダード（PCI DSS）を策定しました。これは、ペイメント・カード・アカウントデータのセキュリティを促進・強化し、世界中で一貫したデータセキュリティ対策が広く採用されるよう支援することを目的としています。
    
   セキュリティはクレジットカード業界にとって極めて重要であり、PCI DSSはクレジットカード（決済カード）処理事業者にとって、セキュリティポリシーの基礎となる基準です。
   PCI DSSは、セキュリティ管理策を以下の6つのグループに分類することで、決済アカウントデータを保護することを目的とした技術的および運用上の要件の基準を定めています：
   1.安全なネットワークおよびシステムの構築と維持 2.カード会員データを保護する 3.「 」の脆弱性管理プログラムを維持する 4.強力な アクセス制御措置を実施する 5.ネットワークを定期的に監視およびテストする 6.情報セキュリティポリシーを維持する  
   PCI DSS が採用される以前は、アメリカン・エキスプレス、ディスカバー、JBC、マスターカード、VISA の 5 大クレジットカードブランドが、それぞれアカウントデータの保護と不正利用対策のために独自のセキュリティ基準を設けていました。 共通の基準を採用することで、ペイメントカード業界は加盟店やサービスプロバイダーのコンプライアンス対応を効率化しました。これにより、契約上の義務を通じてセキュリティ要件を徹底することで、法規制の制定を回避することができました。
   の小売業 や電子商取引などの分野でクレジットカード取引を受け付ける加盟店は、PCI DSSのコンプライアンス要件を満たす必要があり、機密データを保護するために、ファイアウォール、暗号化、アクセス管理などの基本的なセキュリティ対策が求められることがよくあります。 コンプライアンスの報告方法は、年間で処理するクレジットカード取引の取扱高によって異なります。 取引件数が数千件程度の加盟店と、数百万件規模の加盟店では、求められる要件が異なります。
   PCI DSSへの準拠状況は、取引件数に応じて、自己評価質問票（SAQ）または認定セキュリティ評価者（QSA）による正式な準拠報告書（ROC）を通じて、毎年検証されます。

サービス組織統制タイプ 2 （SOC 2）

SOC 2（ ）は、サービス提供組織が顧客データを適切に保管、管理、保護することを保証するための、自主的なサイバーセキュリティの枠組みです。

米国公認会計士協会（AICPA）によって策定されたSOC 2’s ガイドラインは、以下の5つの原則に基づいて構成されています：

1. 在庫状況

2。 機密保持

3。 プライバシー

4。 処理の完全性

5。 セキュリティ

ウェブサイトを通じて顧客データを受け付け、処理する民間企業などのサービス提供組織が、そのデータを責任を持って取り扱っていることを証明したい場合、SOC 2 監査を受けることを選択することができます。

監査に合格すれば、当該組織は、顧客や投資家などに対し、SOC 2 監査を受け、その統制が「トラスト・サービス基準」を満たしていることを確認する保証報告書を取得したことを保証することができ、データ漏洩やその他のサイバーセキュリティインシデントのリスクを最小限に抑えるための十分なサイバーセキュリティリスク管理統制を実施していることを証明することになります。

サイバーセキュリティ・フレームワークの並列比較

ご覧の通り、利用可能なフレームワークは数多くあり、それぞれに独自の重点分野、要件、業界との関連性があるため、自組織のニーズに最も合致するフレームワークを特定するのは難しい場合があります。

以下の表では、これらのサイバーセキュリティ・フレームワークを並べて比較し、その目的、適用範囲、および主要な構成要素を明確にするためにまとめました：

上記の比較は参考になる概要を示していますが、最適なフレームワークを選定するには、組織固有のニーズ、リスク、および規制環境を詳細に検討する必要があります。

次のセクションでは、どのサイバーセキュリティ・フレームワーク、あるいはフレームワークの組み合わせが、貴社の戦略に最も合致しているかを判断するための重要な検討事項について、順を追ってご説明いたします。

サイバーセキュリティには、どのフレームワークが最適でしょうか？

残念ながら、万人に当てはまる答えはありません。 適切なサイバーセキュリティの枠組みは、業界、取り扱うデータの種類、規制環境、およびチームの体制によって異なります。

選択肢を絞り込むために、次のように自問してみてください：

🧩 当社にはどのような業界規制が適用されるのでしょうか？
私たちは、医療、防衛、金融、あるいは小売のいずれの業界に属しているのでしょうか。それぞれの業界には、独自のコンプライアンス要件がありますよね？

🔐 当社が管理しているデータの種類はどのようなものですか？
当社では、特定の保護措置を必要とするPHI、CUI、PCI、またはPIIを取り扱っていますか？

🌍 当社は世界中で事業を展開していますか？
EU居住者のデータを処理していることから、GDPRのような国際法の適用対象となるのでしょうか？

🔍 監査はどのくらいの頻度で行われますか？
第三者による評価や内部監査を定期的に実施する必要がありますか？

🧰 どのようなリソースがありますか？
私たちのチームは、複数あり、場合によっては重複する可能性のあるフレームワークを、現実的に管理・監視することができるでしょうか？

[関連記事：CSOの視点から見た、セキュリティフレームワーク「
」を選択する前に知っておくべきこと]

HIPAAやHITRUST CSFなどの一部のフレームワークは、医療業界といった特定の業界に特有のものであり、データ保護やコンプライアンスに関して、業界で認められた基準を満たすことが求められることがよくあります。 PCI DSSなどの他の規格は、特定のデータ種別を対象としているため、決済カード口座データを保護するためのガイドラインやベストプラクティスを提供していますが、その他の種類のリスクについては扱っていません。 NIST SP 800-53 のような広範な基準は、多くの組織が基準として採用している、サイバーセキュリティ対策の基礎となる一連の指針を提供しています。

プロのアドバイス：サイバーセキュリティのフレームワークを選ぶ際は、単にチェックリストを埋めるだけではいけません。組織の使命、リスク許容度、そして業務上の実情と整合させる必要があります。 多くの組織は、複数のフレームワークを組み合わせることで、必要な柔軟性と網羅性が得られると考えています。

サイバーセキュリティのフレームワークは、組織のセキュリティ態勢をどのように向上させるのでしょうか？

サイバーセキュリティのフレームワークは、長年にわたり策定、改良、検証され、その有効性が実証されてきたガイドラインを提供しています。 これらは、組織がサイバーセキュリティ対策を推進し、その成果を定期的に測定するために活用できる、明確な指針や評価基準を提供することができます。

また、これらは組織が重要な規制要件を満たすのに役立ち、顧客、投資家、規制当局などに対して、サイバーセキュリティ上の課題に真剣に取り組み、その軽減に向けて積極的に取り組んでいることを示すことにもつながります。

サイバーセキュリティ・フレームワークとは、サイバーセキュリティに対するトップダウン型のアプローチです。 彼らは、セキュリティや可用性といった原則に基づいた青写真を提供し、その後、それらの原則を実際にどのように実現するかについて、具体的な方法を検討します。

サイバーセキュリティに対するもう一つのアプローチは、エンドポイントや従業員が日常的に扱うデータから始め、ボトムアップでセキュリティ対策を強化することです。

企業内のすべてのエンドポイントデバイス（）――デスクトップ、ノートPC、タブレット、サーバーなどを含む――について、リアルタイムでの可視性、制御、セキュリティ、および管理を実現することで、導入を決定したサイバーセキュリティフレームワーク、あるいは複数のフレームワークの組み合わせへの準拠に向けた基盤を築くことができます。 を利用して、企業全体のエンドポイント を継続的に監視し、リスクを把握することで、脅威の迅速な軽減を支援し、セキュリティ態勢を強化することができます。

そこで、Taniumの出番となります。

Taniumが、組織のサイバーセキュリティフレームワークへの準拠をどのように支援するか

Tanium Autonomous Endpoint Management（AEM） は、NIST CSF 2.0、PCI DSS、CMMC 2.0—by などの主要なサイバーセキュリティフレームワークを組織内で運用可能にし、リアルタイムの可視性、制御、自動化を実現することで、チームがリスクを管理し、ポリシーを適用し、大規模なコンプライアンス活動を支援できるよう支援します。

Tanium AEMの中核機能である「 」および「Tanium Risk & Compliance 」は、企業全体にわたるコンプライアンス管理を支える技術的機能を提供します。 これにより、継続的なリスク管理が可能となり、是正措置のワークフローが自動化され、コンプライアンスがリアルタイムで徹底されます。 これらの機能が相まって、Tanium AEMはセキュリティ運用とガバナンスを結びつける統合プラットフォームとしての役割を果たし、エンドポイントデータに関する唯一の信頼できる情報源を提供するとともに、運用、セキュリティ、コンプライアンスの各取り組みにわたる連携した対応を可能にします。

、Microsoft Intune、Entra ID、 、ServiceNow といったプラットフォームとのシームレスな連携を通じて、Tanium はリアルタイムの可視性と自動化を拡張し、条件付きアクセスの適用を支援するとともに、デバイスのリスクに関するリアルタイムのシグナルを提供し、インシデント対応および是正措置のワークフローを効率化します。

これらの機能は、理論上は強力に聞こえますが、実際に使ってみるとさらに魅力的です。 プロフェッショナルサービス企業のJLLが、Taniumを活用してサイバーセキュリティの枠組みを近代化しながら、こうした機能をどのように実現したのか、見ていきましょう。

顧客事例：TaniumとMicrosoft Defender for Endpointが、JLLのサイバーセキュリティフレームワークの近代化にどのように貢献したか

規制要件が厳しくなる中、多くの組織が、業務効率とコンプライアンス対応のバランスを図るため、サイバーセキュリティ戦略の見直しを進めています。 JLLは、TaniumとMicrosoft Defender for Endpointを統合することで、サイバーセキュリティの枠組みの近代化に成功した企業のひとつです。

この変革により、JLLは 100,000 台近くのエンドポイントにわたる脅威の活動をリアルタイムで把握できるようになっただけでなく、脅威ハンティングやより高度な予防措置を導入することで、事後対応型から事前予防型のセキュリティ運用へと転換することができました。

Microsoft 365 E5を導入したことで、JLLは高度なセキュリティ機能を獲得し、これをTaniumの可視化および制御機能と組み合わせることで、セキュリティ対策の深度と質を向上させることができました。

マイクロソフトとタニウムの共同ロードマップとのこの連携により、JLLは将来を見据えた戦略を通じて、自社の長期的なサイバーセキュリティのニーズに対応できる体制を整えることができました。

この変革がどのように進められたか、そしてそれがJLLのセキュリティ体制にどのような影響を与えたかについては、以下の動画をご覧いただくか、 から完全なケーススタディ『』をご覧ください。

サイバーセキュリティ・フレームワークに関するよくある質問

サイバーセキュリティのフレームワークは、特に重複する規格や変化し続けるコンプライアンス要件に対応する際には、複雑になりがちです。

よくある疑問点についてご理解を深めていただくため、以下に簡単なFAQをまとめました。

NISTとCMMCの違いは何ですか？

NISTは、あらゆる分野に適用可能な幅広いサイバーセキュリティに関する指針を提供しているのに対し、CMMCは特に国防総省（DoD）の請負業者を対象としており、第三者監査を通じてコンプライアンスを徹底しています。

HIPAAはサイバーセキュリティの枠組みなのでしょうか？

まあ、そうとも言えますね。 HIPAAは、その「セキュリティ規則」を通じてサイバーセキュリティの枠組みを取り入れた、医療情報のプライバシー保護に関する法律です。 この法律は、PHIを保護するための基準を定め、医療機関に求められる管理上、物理的、および技術的な保護措置について概説しています。

MITRE ATT&CKについてはいかがでしょうか？

（MITRE ATT&CKフレームワーク） は、攻撃者の戦術や手法に関する強力なナレッジベースです。 これは規制やコンプライアンスの枠組みではなく、検知、対応、およびシミュレーション戦略を強化するために用いられる脅威モデリングツールです。

これは、セキュリティチームが脅威をより効果的に検知し、対応し、シミュレーションを行うことを支援することで、NISTやISOといった従来のフレームワークを補完するものです。 多くの組織が、脅威モデリングやインシデント対応計画の強化にATT&CKを活用しています。

最も広く採用されているサイバーセキュリティのフレームワークは何でしょうか？

NIST CSF（ ）は、業界の専門家によって一貫して「最も価値のあるサイバーセキュリティ・フレームワーク」として にランク付けされており、その柔軟性や適応性、ならびにリスク管理やコンプライアンス目標との整合性が評価されています。

サイバーセキュリティにはリスク分析の枠組みは存在しますか？

多くのサイバーセキュリティ・フレームワークが統制やコンプライアンスを重視している一方で、 のFAIR（Factor Analysis of Information Risk：情報リスクの因子分析） モデルは、サイバーリスクを金銭的な観点から定量化する新たな視点を提供しています。

これはコンプライアンスの枠組みではなく、組織が投資の優先順位を決定し、リスクをビジネス用語で明確に表現するのに役立つリスク分析の手法です。

組織は複数のフレームワークに従うことはできるのでしょうか？

もちろんです。 多くの組織では、コンプライアンス、セキュリティ、および運用上のレジリエンスに関する重複する要件に対応するため、複数のフレームワークを採用し、それらを組み合わせています。

サイバーセキュリティのフレームワークを理解することは、決して難しいことではありません。 NIST CSF 2.0への準拠、CMMC 2.0への準備、あるいは複数の要件の管理のいずれであっても、Taniumは、可視性や管理性を損なうことなく、取り組みを統合し、効率化することを支援します。

コンプライアンス対応を簡素化し、セキュリティ体制を強化したいとお考えですか？ から無料デモをご予約いただき、Taniumが貴社のチームが次のステップへ進むためにどのように役立つかをご確認ください。