NIST CSWP 30 コントロール・アセスメントの自動化支援プロジェクトの最新情報とビジョン

こんにちは、丸山満彦です。

NISTがIR 8011セキュリティコントロールアセスメントの自動化支援の現状と今後についての白書を公表していますね。。。

連邦政府は、セキュリティ対策をできるだけ自動化しなければ、自動化された攻撃に対応できないと考えていて、インテリジェンスで攻撃を予測しつつ、受けた攻撃に対しても自動対応できるようにしているように思います。

そのための考え方をまとめたのが、IR 8011シリーズですかね。。。

それを今後は、セキュリティだけでなく全てのERM、つまりNISTのリスクマネジメント・フレームワーク (RMF) に統合し、リスク対策に適用していこうという感じですかね。。。ということで、セキュリティという言葉が削除されるようです。。。

こうなってくると、企業の内部統制にも利用できる考え方になってくるのだろうと思います。。。

興味深い展開ですね。。。

● NIST - ITL

・2023.12.06 NIST CSWP 30 Automation Support for Control Assessments: Project Update and Vision

・[PDF] NIST.CSWP.30

・[DOCX] 仮訳

---

参考...

Automation Support for Security Control Assessments: 

・NISTIR 8011 Vol. 1  Overview

・NISTIR 8011 Vol. 2  Hardware Asset Management

・NISTIR 8011 Vol. 3  Software Asset Management

・NISTIR 8011 Vol. 4  Software Vulnerability Management

Related NIST Publications:

SP 800-53A Rev. 4

SP 800-53 Rev. 4

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.02.26 NIST 「NISTIR 8011 Vol.1. セキュリティコントロールアセスメントの自動化支援：第1巻：概要」についての意見募集