米国 NIST SP 1308 NIST サイバーセキュリティフレームワーク 2.0： サイバーセキュリティ、エンタープライズリスクマネジメント、人材マネジメント クイックスタートガイド (2026.03.23)

こんにちは、丸山満彦です。

NISTのSP 1308 NIST サイバーセキュリティフレームワーク 2.0： サイバーセキュリティ、エンタープライズリスクマネジメント、人材マネジメント クイックスタートガイドの確定版です...

NIST SP 1308 NIST Cybersecurity Framework 2.0: Cybersecurity, Enterprise Risk Management, and Workforce Management Quick-Start Guide	NIST SP 1308 NIST サイバーセキュリティフレームワーク 2.0： サイバーセキュリティ、エンタープライズリスクマネジメント、人材マネジメント クイックスタートガイド
Abstract	概要
This Quick-Start Guide (QSG) draws on concepts and practices from enterprise risk management, cybersecurity risk management, and workforce management to help organizations improve communication about cybersecurity risks and to plan and implement workforce decisions based upon risk reality and planned risk responses. The scope of this QSG will vary depending on the user, but generally applies at the organization level, where cybersecurity risks of multiple systems are managed, and at the enterprise level, where senior leaders take on unique risk management responsibilities spanning multiple organizations. This QSG addresses the need for agile, continuous workforce adaptation to rapidly evolve for emerging threats and technologies.	このクイックスタート・ガイド（QSG）は、エンタープライズ・リスクマネジメント、サイバーセキュリティ・リスクマネジメント、および人材マネジメントの概念と実践を取り入れ、組織がサイバーセキュリティ・リスクに関するコミュニケーションを改善し、リスクの実態と計画されたリスク対応策に基づいて人材に関する意思決定を計画・実施できるよう支援するものである。本クイックスタートガイドの適用範囲はユーザーによって異なるが、一般的には、複数のシステムのサイバーセキュリティリスクが管理される組織レベル、および上級幹部が複数の組織にまたがる独自のリスクマネジメント責任を担うエンタープライズレベルで適用される。本クイックスタートガイドは、新たな脅威や技術の急速な進化に対応するため、人材体制を機敏かつ継続的に適応させる必要性に応えるものである。

・[PDF] NIST.SP.1308

このガイドは、ERM・CSRM・人材マネジメントを統合し、組織がサイバーリスクを理解し、意思決定し、適切な人材戦略を取れるよう支援することが目的となっています。

で、この図

• エンタープライズ・リスクマネジメント：リスクをサイロ化された枠組み内だけで対処するのではなく、相互に関連したポートフォリオとしてその複合的な影響を理解することで、組織の重要なリスクの全範囲に対処するための、組織全体にわたる効果的なアプローチである [NIST IR 8286r1]。

• サイバーセキュリティ・リスクマネジメント：情報および技術に関する、あるいはその内部における不確実性を管理するプロセスである [NIST IR 8286D-upd1]。

• サイバーセキュリティ・人材マネジメント：組織のデータ、技術システム、および業務を保護する能力に影響を与える主要な職務を担う個人およびチームを含む。これには、従来のITセキュリティに加え、サイバーセキュリティのスキルや知識を応用する関連職務も含まれる [NIST SP 800-181r1]。

日本も

・CSF的なものとしては、経済産業省のサイバーセキュリティ経営ガイドラインとその支援ツールがあり、

・人材マネジメント的なものとして、日本版NICEともいえる、NCOのサイバーセキュリティ人材フレームワークがありますよね...

日本の場合は、これがなんとなくバラバラとつくられているような感じがして良くない。本来はNCOが全体設計をすべきなのかもしれないですが。。。

国家サイバーセキュリティ戦略にそって、全体整合性を見直しても良いかもしれないですね...

話はもどって...

導入についてはいつもの5つのステップ

1：Scope the Organizational Profile	1：組織プロファイルの範囲を定める
2：Gather needed information	2：必要な情報を収集する
3：Create the Organizational Profile	3：組織プロファイルを作成する
4：Analyze gaps and create an action plan	4：ギャップを分析し、行動計画を作成する
5：Implement action plan and update Profile, repeating cycle as necessary	5：行動計画を実施し、プロファイルを更新する。必要に応じてこのサイクルを繰り返す

が示されていますが、具体的にはつぎのようになります...

これは、NIST IR 8286Cr1の図９（本文はFig.7となっていますが、Fig.9）

ということで、日本も全体感をちゃんと持った設計が必要ですね...ここまで米国が整理しているので、この考え方に従えば概ね整理できるようにおもいますけどね...

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.12.29 米国 NIST IR 8286 Rev. 1 サイバーセキュリティとエンタープライズリスクマネジメント（ERM）の統合 (2025.12.18)

・2025.08.24 米国 NIST SP 1331 ipd - CSF 2.0 を使用して新興のサイバーセキュリティリスクマネジメントを改善するためのクイックスタートガイド

・2025.03.23 米国 NIST NIST SP 1308（初期公開ドラフト） NIST サイバーセキュリティフレームワーク 2.0： サイバーセキュリティ、エンタープライズリスクマネジメント、要員マネジメント クイックスタートガイド (2025.03.12)

ドラフト（本体、A、C）と最終（B、D）

・2025.03.10 米国 NIST IR 8286 Rev. 1（初期公開草案） サイバーセキュリティとエンタープライズリスクマネジメント（ERM）の統合他 (2025.02.26)

・2024.11.02 米国 NIST サイバーセッキュリティフレームワーム2.0関係のクイックスタートガイド SP 1302 CSF の階層の使用、SP 1303 エンタープライズリスクマネジメント、SP 1305 サイバーセキュリティサプライチェーンリスクマネジメント（C-SCRM）

・2024.03.10 米国 NIST IR 8286C エンタープライズリスクマネジメントと政府監視のためのサイバーセキュリティリスクのステージング

CSF2.0

・2024.02.28 米国 NIST CSWP 29 NISTサイバーセキュリティフレームワーク（CSF）2.0

SP800-221A

・2023.11.20 NIST SP 800-221 情報通信技術リスクのエンタープライズへの影響：エンタープライズリスクポートフォリオにおけるICTリスクプログラムのガバナンスとマネジメント, NIST SP 800-221A 情報通信技術（ICT）リスクの成果： ICTリスクマネジメントプログラムとエンタープライズリスクポートフォリオの統合

・2023.01.25 ENISA 相互運用可能なEUのリスク管理フレームワーク 2022年更新版 (2023.01.16)

・2022.07.25 NIST SP 800-221 (ドラフト) 情報通信技術リスクのエンタープライズへの影響：エンタープライズ・リスクポートフォリオの中でのICTリスクプログラムの統治と管理 SP 800-221A (ドラフト) 情報通信技術 (ICT) リスクの成果：ICTリスクマネジメントプログラムとエンタープライズリスクポートフォリオの統合

・2022.12.05 日本内部監査協会 COSO「人工知能の可能性を最大限に実現する」 (2022.11.21)

・2022.12.05 日本内部監査協会 COSO「クラウドコンピューティングのためのERM」 (2022.10.27)

・2022.08.08 日本内部監査協会 COSO「コンプライアンスリスクマネジメント：COSO ERMフレームワークの適用」 (2022.06.14)

・2022.06.14 NISTIR 8286D (ドラフト) リスクの優先順位付けと対応を行うためのビジネス影響分析の使用 (2022.06.09)

・2022.03.31 日本内部監査協会 COSO『デジタル時代のサイバーリスクマネジメント』発行

・2022.03.31 COSO スピードと破壊の時代における組織のアジリティの実現 (2022.03.09)

・2022.02.26 NIST RFI（情報要求）サイバーセキュリティフレームワーク、サプライチェーンのサイバーリスクマネジメントの改善等のために。。。

・2022.01.18 ENISA 相互運用可能なEUのリスク管理フレームワーク

・2021.09.17 COSO 人工知能の可能性を最大限に発揮するために

・2021.07.30 COSO クラウドコンピューティングのためのエンタープライズ・リスクマネジメント

連邦政府におけるERM

・2020.06.23 GAO GreenbookとOMB Circular No. A-123

・2020.05.22 COSO ERMガイダンス：リスク選好度 - 成功要因

・2020.02.06 COSO ERMガイダンス：価値の創造と保護

・2021.07.30 COSO クラウドコンピューティングのためのエンタープライズ・リスクマネジメント

・2020.11.13 COSO コンプライアンス・リスク管理 - COSO ERM フレームワークの適用

・2020.05.22

初版

・2020.10.22 NISTIR 8286 Integrating Cybersecurity and Enterprise Risk Management (ERM)

・2007.06.26 英国規格 パブコメ リスクマネジメントのための実践規範 (BS 31100, Code of practice for risk management)

・2006.07.31 内部統制の構成要素比較 日本語

・2006.07.30 内部統制の構成要素比較