2024年2月26日にNISTがCSF 2.0を公開してから、2026年3月5日で2年が経過した。この2年間で最も実装負荷が高かった変化は、機能数が5から6になったこと自体ではなく、新設された「Govern（GV）」を経営リスク管理（ERM）に接続する運用設計である。NISTは公開時点で、Governを通じてサイバーセキュリティをエンタープライズリスクとして扱う必要性を明示している。つまり、CISOの技術統制だけで完結する設計は、CSF 2.0の想定から外れつつある。

本稿は、CSF 2.0実装2年目の実務論点を「組織設計」「予算配分」「KPI設計」の3軸で分解し、Quick-Start GuideとReference Toolを使った実装手順を提示する。あわせて、中小企業が過剰設計に陥らないための最小テンプレートと、サプライチェーンリスク管理（GV.SC）を実務へ落とす具体ステップを示す。

1. 5機能から6機能への移行で何が変わったのか

CSF 2.0公開時のNIST発表は、コアが「Identify / Protect / Detect / Respond / Recover」に「Govern」を加えた6機能で構成されることを明確に示している。ここでの本質は、Governが他5機能の前段に位置することにある。技術対策を列挙してからガバナンスを後付けする旧来順序では、経営会議に上げるべき論点（受容リスク、投資優先順位、事業継続影響）が定義されない。

実装2年目で顕在化した課題は次の3点である。

  • 責任境界の不整合: セキュリティ部門は統制責任を持つが、リスク受容権限は事業責任者側にある。
  • 予算分類の不整合: 対策費を「ITコスト」として扱い、事業リスク低減投資として説明できない。
  • KPIの不整合: SOC指標中心で、ERM側のKRI/財務影響指標と連結されない。

したがって、6機能体制への移行はチェックリスト追加ではなく、意思決定レイヤーの再設計である。

2. Govern×ERM統合の実装設計: 役割・予算・KPI

NIST SP 1303（Enterprise Risk Management Quick-Start Guide、2024年10月21日公開）は、CSF共通言語でリスク情報を部門横断統合する実装を示している。これを実務化する最小構成は以下である。

  1. 役割設計（RACI）: 取締役会/経営会議がリスク選好を承認し、CISOはリスク情報の品質保証、事業部長は受容・回避・低減の意思決定を担う。
  2. 予算設計: 予防的統制費（Protect中心）と残余リスク吸収費（Respond/Recover）を分離し、ERMポートフォリオに登録する。
  3. KPI/KRI連結: 先行指標（パッチ適用遅延、重大脆弱性滞留）と遅行指標（停止時間、財務損失、契約違反）を1つのリスク台帳に紐づける。

この設計では、CISOが「技術責任者」から「経営リスク情報の提供責任者」へと役割拡張する。逆に言えば、経営側がリスク受容の意思決定を明文化しない限り、Govern機能は形骸化する。

3. Quick-Start GuideとReference Toolを使う実装フロー

CSF 2.0は、公開時からQuick-Start Guide群とReference Toolを前提とした運用を推奨している。実装順は次の4段階が効率的である。

  1. SP 1301で現状/目標プロファイルを定義する（対象事業、対象資産、優先成果を明確化）。
  2. SP 1302でTierを設定し、ガバナンス成熟度の目標レンジを決める。
  3. SP 1303でERM会議体へ接続し、サイバーリスクを企業リスク台帳に統合する。
  4. Reference ToolとInformative References Catalogで、既存統制（ISO/IEC 27001、SP 800-53等）との対応をエクスポートし、監査証跡を統一する。

この順序の利点は、統制導入より先に「何を経営成果として追うか」を固定できる点である。結果として、導入した対策の説明責任が運用部門任せにならず、経営指標として再利用可能になる。

4. 中小企業テンプレートとサプライチェーンリスク管理の具体手順

中小企業では、CSF導入の失敗要因は機能不足ではなく設計過剰である。SP 1300（Small Business Quick-Start Guide）を起点に、3枚テンプレートから始めるのが現実的である。

  • テンプレートA: 重要業務・重要資産・停止許容時間（RTO）を1枚で整理する。
  • テンプレートB: 上位10リスクを「発生確率×事業影響」で順位付けし、対応責任者を記載する。
  • テンプレートC: 四半期レビューで更新するKPI/KRI（例: バックアップ復元成功率、多要素認証適用率、重大委託先の評価完了率）を固定する。

サプライチェーンはSP 1305とSP 800-161r1-upd1を併用し、次の5手順で運用する。

  1. GV.SC基準設定: 調達要件に「最低限のセキュリティ成果」を明文化する。
  2. 委託先区分: 重要委託先を業務停止影響とデータ機密性でA/B/Cに分類する。
  3. 契約統制: 脆弱性通知期限、インシデント通報期限、SBOM/証跡提出条件を契約条項へ組み込む。
  4. 評価運用: SP 800-161r1のスコーピング質問票等を用いて初回評価と年次再評価を実施する。
  5. ERM連結: 委託先由来リスクを企業リスク台帳へ反映し、受容/移転/低減の判断を経営会議で確定する。

この5手順を回すと、サプライチェーンリスクは「調達部門の確認事項」から「経営の継続性リスク」へ昇格し、Govern機能の実効性が初めて担保される。

FAQ

Q1. Govern追加で最初に変えるべきものは何か。

最優先は組織図ではなく意思決定記録である。誰がどの残余リスクを受容したかを経営会議議事録に残す運用を先に整備すべきである。

Q2. ERM統合は大企業向けで、中小企業には重すぎないか。

重いのはフルスケール導入である。中小企業はSP 1300ベースで3枚テンプレートから開始し、四半期ごとに対象範囲を拡張すればよい。

Q3. Reference Toolはどの場面で使うと効果が高いか。

監査準備と統制重複削減で効果が高い。既存規格との対応関係をエクスポートして「同じ統制を別名で二重管理する状態」を減らせるためである。

Q4. 6機能移行後のKPIは何を最低限追うべきか。

最低限は、技術KPI（重大脆弱性滞留日数）、事業KPI（停止時間・復旧時間）、経営KRI（残余リスクの受容件数と未承認件数）である。3層を同時に管理しないとGovernが空文化する。

参考文献