NIST SP 800-161 Rev. 1 (ドラフト) システムと組織のためのサイバー・サプライチェーン・リスク管理の実践

こんにちは、丸山満彦です。

NISTがSP 800-161 Rev. 1 (ドラフト) 「システムと組織のためのサイバー・サプライチェーン・リスク管理の実践」を公表し、意見募集をしておりますね。。。

6月14日に締め切った後、9月に第2次ドラフトを公開する予定ですね。。。ボストンコンサルティングの方がメンバーですね。。。

● NIST - ITL - Computer Security Resource Center

・2021.04.29 SP 800-161 Rev. 1 (Draft) Cyber Supply Chain Risk Management Practices for Systems and Organizations

パブコメの対象は、

Publication: 

・[PDF]  SP 800-161 Rev. 1 (Draft)

その他参考情報は

・Workshop (web)

・NIST’s Cyber Supply Chain Risk Management Program (other)

現在の文書

・SP 800-161 (web) 

Announcement	発表
More than ever, organizations are concerned about the risks associated with products and services that may contain potentially malicious functionality, are counterfeit, or are vulnerable due to poor manufacturing and development practices within the cyber supply chain. These risks can decrease an enterprise’s visibility into and understanding of how the technology that they acquire is developed, integrated, and deployed. They can also affect and be affected by the processes, procedures, and practices used to ensure the security, resilience, reliability, safety, integrity, and quality of products and services.	企業はこれまで以上に、悪意のある機能が含まれている可能性のある製品やサービス、偽造品、あるいはサイバーサプライチェーン内での不適切な製造・開発行為による脆弱性に関連するリスクを懸念しています。これらのリスクは、企業が取得したテクノロジーがどのように開発、統合、展開されているかについて、企業の可視性や理解を低下させる可能性があります。また、製品やサービスのセキュリティ、耐障害性、信頼性、安全性、完全性、品質を確保するために使用されるプロセス、手順、実践にも影響を与え、影響を受ける可能性があります。
That is why NIST is inviting comments on a major revision to Cyber Supply Chain Risk Management Practices for Systems and Organizations (SP 800-161). The updates are designed to better help organizations identify, assess, and respond to cyber supply chain risks while still aligning with other fundamental NIST cybersecurity risk management guidance.	そのため、NISTは、「システムと組織のためのサイバーサプライチェーンリスクマネジメントの実践」（SP 800-161）の大幅な改訂についてコメントを募集しています。今回の改訂は、NISTの他の基本的なサイバーセキュリティ・リスク管理ガイダンスとの整合性を保ちつつ、組織がサイバー・サプライチェーン・リスクを特定し、評価し、対応するのに役立つように設計されています。
The revision to this foundational NIST publication represents a 1-year effort to incorporate next generation cyber supply chain risk management (C-SCRM) controls, strategies, policies, plans, and risk assessments into broader enterprise risk management activities by applying a multi-level approach. The changes focus on making implementation guidance more modular and consumable for acquirers, suppliers, developers, system integrators, external system service providers, and other information and communications technology (ICT)/operational technology (OT)-related service providers. Additionally, the references have been updated and expanded.	このNISTの基本的な出版物の改訂は、次世代のサイバーサプライチェーンリスク管理（C-SCRM）の統制、戦略、方針、計画、リスク評価を、マルチレベルのアプローチを適用することで、より広範な企業のリスク管理活動に組み込むための1年間の取り組みを表しています。今回の変更点は、買収者、供給者、開発者、システムインテグレーター、外部システムサービスプロバイダー、その他の情報通信技術（ICT）／運用技術（OT）関連のサービスプロバイダー向けに、実施ガイダンスをよりモジュール化し、消費可能にすることに重点を置いています。さらに、参考文献も更新・拡充されています。
.....	.....
Abstract	概要
Organizations are concerned about the risks associated with products and services that may contain potentially malicious functionality, are counterfeit, or are vulnerable due to poor manufacturing and development practices within the cyber supply chain. These risks are associated with an enterprise’s decreased visibility into, and understanding of, how the technology that they acquire is developed, integrated, and deployed, as well as the processes, procedures, and practices used to assure the security, resilience, reliability, safety, integrity, and quality of the products and services.	企業は、悪意のある機能が含まれている可能性のある製品やサービス、偽造品、あるいはサイバー・サプライ・チェーン内の不適切な製造・開発方法による脆弱性に関連するリスクを懸念しています。このようなリスクは、企業が取得した技術がどのように開発、統合、展開されているか、また、製品やサービスのセキュリティ、回復力、信頼性、安全性、完全性、品質を保証するために使用されるプロセス、手順、および実践に対する企業の可視性や理解が低下していることに関連しています。
This publication provides guidance to organizations on identifying, assessing, and mitigating cyber supply chain risks at all levels of their organizations. The publication integrates cyber supply chain risk management (C-SCRM) into risk management activities by applying a multi-level, C-SCRM-specific approach, including guidance on development of C-SCRM strategy implementation plans, C-SCRM policies, C-SCRM plans, and C-SCRM risk assessments for products and services.	本書は、組織のあらゆるレベルにおけるサイバーサプライチェーンのリスクを特定、評価、軽減するためのガイダンスを提供しています。本書は、C-SCRM戦略実施計画、C-SCRMポリシー、C-SCRM計画、製品・サービスのC-SCRMリスクアセスメントの策定に関するガイダンスを含む、複数レベルのC-SCRM固有のアプローチを適用することで、サイバーサプライチェーンリスクマネジメント（C-SCRM）をリスクマネジメント活動に統合しています。

目次　↓

1. INTRODUCTION	1. 序論
1.1. PURPOSE	1.1. 目的
1.2. TARGET AUDIENCE	1.2. 対象者
1.3. BACKGROUND	1.3. 背景
1.3.1. The Business Case for C-SCRM	1.3.1. C-SCRMのビジネスケース
1.3.2. Organization’s Cyber Supply Chain	1.3.2. 組織のサイバーサプライチェーン
1.3.3. Cyber Supply Chain Risk	1.3.3. サイバーサプライチェーンのリスク
1.3.4. Supplier Relationships within Organizations	1.3.4. 組織内のサプライヤーとの関係
1.4. C-SCRM KEY PRACTICES	1.4. C-SCRMキープラクティス
1.4.1. Foundational Practices	1.4.1. 基礎的な実践
1.4.2. Sustaining Practices	1.4.2. 持続的実践
1.4.3. Enhancing Practices	1.4.3. 強化のための施策
1.5. RELATIONSHIP TO OTHER PROGRAMS AND PUBLICATIONS	1.5. 他のプログラムおよび出版物との関係
1.5.1. NIST Publications	1.5.1. NISTの出版物
1.5.2. Regulatory and Legislative Guidance	1.5.2. 規制及び法律上のガイダンス
1.5.3. Other U.S. Government Reports	1.5.3. その他の米国政府報告書
1.5.4. Standards, Guidelines, and Best Practices	1.5.4. 標準、ガイドライン、およびベストプラクティス
1.5.5. Guidance for Cloud Service Providers	1.5.5. クラウドサービス事業者向けガイダンス
1.6. METHODOLOGY FOR BUILDING C-SCRM GUIDANCE USING SP 800-39, SP800-37 REVISION 2, AND NIST SP 800-53 REVISION 5	1.6. SP800-39、SP800-37 改訂 2 版、および NIST SP800-53 改訂 5 版を使用した C-SCM ガイダンスの構築方法
1.6.1. Integration into Risk Management Process	1.6.1. リスク管理プロセスへの統合
1.6.2. Implementing C-SCRM in the Context of SP 800-37 Revision 2	1.6.2. SP800-37 改訂 2 版の文脈における C-SCRM の実施
1.6.3. Enhanced C-SCRM Overlay	1.6.3. 強化された C-SCRM オーバーレイ
1.7. ORGANIZATION OF THIS SPECIAL PUBLICATION	1.7. 本特別出版物の構成
2. INTEGRATION OF C-SCRM INTO ENTERPRISE-WIDE RISK MANAGEMENT	2. 企業全体のリスクマネジメントへのC-SCRMの統合
2.1. Multi-Level Risk Management	2.1. マルチレベルのリスクマネジメント
2.1.1. Roles and Responsibilities Across the Three Levels	2.1.1. 3つのレベルにまたがる役割と責任
2.1.2. Level 1—Enterprise	2.1.2. レベル1-企業
2.1.3. Level 2—Mission/Business Process	2.1.3. レベル2-ミッション／ビジネスプロセス
2.1.4. Level 3—Operational	2.1.4. レベル3-オペレーション
2.1.5. C-SCRM PMO	2.1.5. C-SCRM PMO
3. CRITICAL SUCCESS FACTORS	3. 重要成功要因
3.1. C-SCRM in Acquisition	3.1. 取得における C-SCRM
3.1.1. Acquisition in the C-SCRM Strategy and Implementation Plan	3.1.1. C-SCRM 戦略及び実施計画における取得
3.1.2. The Role of C-SCRM in the Acquisition Process	3.1.2. 獲得プロセスにおけるC-SCRMの役割
3.2. Supply Chain Information Sharing	3.2. サプライチェーンの情報共有
3.3. C-SCRM Training and Awareness	3.3. C-SCRM のトレーニングと意識向上
3.4. Capability Implementation Measurement and C-SCRM Metrics	3.4. 能力実装の測定及び C-SCRM の評価基準
3.4.1. Measuring C-SCRM Efficacy, Efficiency, and Compliance	3.4.1. C-SCRM の有効性、効率性、及びコンプライアンスの測定
3.5. Dedicated Resources	3.5. 専用リソース
4. C-SCRM CONTROLS	4. C-SCRM統制
4.1 C-SCRM CONTROLS SUMMARY	4.1 C-SCRM統制の概要
4.2 C-SCRM CONTROLS THROUGHOUT THE ORGANIZATION	4.2 組織全体におけるC-SCRM統制
4.3 APPLYING C-SCRM CONTROLS TO ACQUIRING PRODUCTS AND SERVICES	4.3 製品およびサービスの取得におけるC-SCRM統制の適用
4.3.1 Suppliers	4.3.1 サプライヤー
4.3.2 Developers	4.3.2 開発者
4.3.3 System Integrators	4.3.3 システムインテグレータ
4.3.4 External System Service Providers of Information System Services	4.3.4 情報システムサービスを提供する外部システムサービス事業者
4.3.5 Other ICT/OT-related Service Providers	4.3.5 その他のICT/OT関連サービス提供者
4.4 SELECTING AND TAILORING IMPLEMENTING C-SCRM SECURITY CONTROLS	4.4 C-SCRMセキュリティ対策を実施するための選択と調整
4.4.2 Using C-SCRM Controls in this Publication	4.4.2 本出版物におけるC-SCRMコントロールの使用
4.5 C-SCRM SECURITY CONTROLS	4.5 C-SCRMセキュリティ対策
FAMILY: ACCESS CONTROL	ファミリー：アクセス制御
FAMILY: AWARENESS AND TRAINING	ファミリー：意識向上とトレーニング
FAMILY: AUDIT AND ACCOUNTABILITY	ファミリー：監査と説明責任
FAMILY: ASSESSMENT, AUTHORIZATION, AND MONITORING	ファミリー：評価、承認、及び監視
FAMILY: CONFIGURATION MANAGEMENT	ファミリー：構成管理
FAMILY: CONTINGENCY PLANNING	ファミリー：コンティンジェンシー・プランニング
FAMILY: IDENTIFICATION AND AUTHENTICATION	ファミリー：識別と認証
FAMILY: INCIDENT RESPONSE	ファミリー：インシデント対応
FAMILY: MAINTENANCE	ファミリー：メンテナンス
FAMILY: MEDIA PROTECTION	ファミリー：メディア保護
FAMILY: PHYSICAL AND ENVIRONMENTAL PROTECTION	ファミリー：物理的および環境的保護
FAMILY: PLANNING	ファミリー：計画
FAMILY: PROGRAM MANAGEMENT	ファミリー：プログラム管理
FAMILY: PERSONNEL SECURITY	ファミリー：人事セキュリティ
FAMILY: PERSONALLY IDENTIFIABLE INFORMATION PROCESSING AND TRANSPARENCY	ファミリー：個人識別情報の処理と透明性
FAMILY: RISK ASSESSMENT	ファミリー：リスクアセスメント
FAMILY: SYSTEM AND SERVICES ACQUISITION	ファミリー：システムおよびサービスの取得
FAMILY: SYSTEM AND COMMUNICATIONS PROTECTION	ファミリー：システム・通信保護
FAMILY: SYSTEM AND INFORMATION INTEGRITY	ファミリー：システムと情報の完全性
FAMILY: SUPPLY CHAIN RISK MANAGEMENT	サプライチェーン・リスクマネジメント
APPENDIX A: C-SCRM CONTROL SUMMARY	附属書A：C-SCRMコントロールの概要
APPENDIX B: RISK EXPOSURE FRAMEWORK	附属書B：リスクエクスポージャーフレームワーク
SAMPLE SCENARIOS	シナリオ例
SCENARIO 1: Influence or Control by Foreign Governments Over Suppliers	シナリオ1：外国政府によるサプライヤーへの影響・支配
SCENARIO 2: Telecommunications Counterfeits	シナリオ2：電気通信の偽造品
SCENARIO 3: Industrial Espionage	シナリオ3：インダストリアル・エスピオナージ
SCENARIO 4: Malicious Code Insertion	シナリオ4：悪意のあるコードの挿入
SCENARIO 5: Unintentional Compromise	シナリオ5：意図しないコンプロマイズ
APPENDIX C: C-SCRM ACTIVITIES IN THE RISK MANAGEMENT PROCESS	附属書C：リスクマネジメントプロセスにおけるC-Scrm活動
Target Audience	対象となる人
Organization-wide Risk Management & the RMF	組織全体のリスクマネジメントとRMF
FRAME	フレーム
ASSESS	評価
RESPOND	対応
MONITOR	監視
APPENDIX D: C-SCRM TEMPLATES	附属書D：C-SCRMテンプレート
1. C-SCRM STRATEGY & IMPLEMENTATION PLAN	1. C-SCRM戦略および実施計画
1.1. C-SCRM Strategy & Implementation Plan Template	1.1. C-SCRM 戦略及び実施計画のテンプレート
2. C-SCRM POLICY	2. C-SCRM ポリシー
2.1. C-SCRM Policy Template	2.1. C-SCRM 方針のテンプレート
3. C-SCRM PLAN	3. C-SCRM計画
3.1. C-SCRM Plan Template	3.1. C-SCRM 計画テンプレート
4. CYBER SUPPLY CHAIN RISK ASSESSMENT	4. サイバー・サプライチェーン・リスク評価
4.1. C SCRM Template	4.1. C-SCRM テンプレート
APPENDIX E: GLOSSARY	附属書E：用語集
APPENDIX F: ACRONYMS	附属書F：頭字語
APPENDIX G: REFERENCES	附属書G：参考文献
List of Figures	図の一覧
Fig. 1-1: Dimensions of C-SCRM	図1-1：C-SCRMの構成要素
Fig. 1-2: Cyber Supply Chain Risk	図1-2：サイバー・サプライ・チェーン・リスク
Fig. 1-3: An Organization’s Visibility, Understanding, and Control of its Cyber Supply Chain	図1-3：組織のサイバー・サプライ・チェーンの可視性、理解、管理
Fig. 1-4: C-SCRM Security Controls in NIST SP 800-161, Revision 1, Section 4.5	図1-4：NIST SP 800-161, Revision 1, Section 4.5におけるC-SCRMのセキュリティコントロール
Fig. 2-1: Risk Management Process	図2-1：リスク管理プロセス
Fig. 2-2: Risk Appetite & Risk Tolerance	図2-2：リスク許容度とリスクアペタイト
Fig. 2-3: Multileveled Organization-wide Risk Management	図2-3：多階層の組織的リスクマネジメント
Fig. 2-4: C-SCRM Documents in Multi-Level Organization-wide Risk Management	図2-4：多階層の組織的リスクマネジメントにおけるC-SCRM文書
Fig. 4-1: C-SCRM Security Controls in NIST SP 800-161 Revision 1, Section 4.5	図4-1：NIST SP 800-161 Revision 1のセクション4.5におけるC-SCRMのセキュリティコントロール
Fig. C-1: Cyber Supply Chain Risk Management (C-SCRM)	図C-1：サイバーサプライチェーンリスクマネジメント（C-SCRM)
Fig. C-2: C-SCRM Activities in The Risk Management Process	図C-2：リスクマネジメントプロセスにおけるC-SCRM活動
Fig. C-3: C-SCRM in the Assess Step	図C-3：評価ステップにおけるC-SCRM
Fig. C-4: C-SCRM in the Respond Step	図C-4：対応ステップにおけるC-SCRM
Fig. C-5: C-SCRM in the Monitor Step	図C-5：監視ステップにおけるC-SCRM
List of Tables	表の一覧
Table 2-1: Cyber Supply Chain Risk Management Stakeholders	表2-1：サイバー・サプライチェーン・リスク管理のステークホルダー
Table 3-1: C-SCRM in the Procurement Process	表3-1：調達プロセスにおけるC-SCRM
Table 3-2: Cyber Supply Chain Characteristics and Risk Factors Associated with a Product, Service, or Source of Supply	表3-2：製品、サービス、または供給源に関連するサイバーサプライチェーンの特性とリスク要因
Table 3-3: Example C-SCRM Practice Implementation Model	表3-3：C-SCRMの実践モデル例
Table 3-4: Example Measurement Topics Across the Risk Management Levels	表3-4：リスクマネジメントレベルを通じた測定項目の例
Table 4-1: C-SCRM Control Format	表4-1：C-SCRM統制フォーマット
Table A-1: C-SCRM Control Summary	表A-1：C-SCRM統制の概要
Table B-1: Sample Risk Exposure Framework	表B-1：リスク暴露フレームワークの例
Table B-2: Scenario 1	表B-2：シナリオ 1
Table B-3: Scenario 2	表B-3：シナリオ 2
Table B-4: Scenario 3	表B-4：シナリオ 3
Table B-5: Scenario 4	表B-5：シナリオ 4
Table B-6: Scenario 5	表B-6：シナリオ 5
Table C-1: Examples of Cyber Supply Chain Threat Sources/Agents	表C-1：サイバーサプライチェーンの脅威の情報源／エージェントの例
Table C-2: Supply Chain Threat Considerations	表C-2：サプライチェーンにおける脅威の検討事項
Table C-3: Cyber Supply Chain Vulnerability Considerations	表C-3：サイバー・サプライ・チェーンにおける脆弱性に関する考察
Table C-4: Cyber Supply Chain Consequence & Impact Considerations	表C-4：サイバー・サプライ・チェーンにおける結果と影響の考慮事項
Table C-5: Cyber Supply Chain Likelihood Considerations	表C-5：サイバー・サプライ・チェーンにおける可能性に関する考察
Table C-6: Cyber Supply Chain Constraints	表C-6：サイバー・サプライ・チェーンにおける制約条件
Table C-7: Risk Appetite & Risk Tolerance	表C-7：リスク選好とリスク許容度
Table C-8: Examples of Cyber Supply Chain Vulnerabilities Mapped to the Organizational	表C-8：組織レベルにマッピングされたサイバー・サプライ・チェーンの脆弱性の例
Levels	レベル