NIST CSF 2.0のInformative Referencesとは？OLIRを使ったセキュリティフレームワークのマッピング方法を解説

はじめに

NIST Cybersecurity Framework（CSF）2.0は、サイバーセキュリティリスクを管理するための取り組みを、機能、カテゴリ、サブカテゴリの階層で整理しています。 しかし、CSF 2.0のサブカテゴリを読んでも、ISO/IEC 27001やNIST SP 800-53ですでに実施している管理策と、どこまで対応するのかはすぐには分かりません。 複数の規格やガイドラインを使う組織では、この対応付けに時間がかかります。

この課題を解決する仕組みが、Informative Referencesです。 NISTは2026年8月25日、Informative Referencesの意味と利用方法をまとめたNIST SP 1347「NIST Cybersecurity Framework 2.0: Informative References Quick-Start Guide」の最終版を公開しました。 CSF 2.0の公開から約2年半を経て、参照データをどのツールでどう使い分けるかが、1つの短いガイドに整理されたことになります。

Informative Referencesを活用すれば、CSF 2.0と他の文書との対応関係をゼロから調査する手間を省けます。 ただし、マッピングは適合性の証明でも、実装済みという判定でもありません。 この区別を保つことが、OLIRを実務で使う出発点です。

Informative Referencesは文書間の対応関係を示す

NISTのCSF FAQでは、Informative Referencesを、ある文書の概念と別の文書の特定の節、文、語句との関係を示す仕組みとして説明しています。 CSF 2.0を基準にする場合、CSFのサブカテゴリと、別の規格やガイドラインの要求事項、推奨事項、管理策を結び付けた参照データです。

たとえば、CSF 2.0のサブカテゴリ「ID.AM-02：組織が管理するソフトウェア、サービス、システムのインベントリが維持されている」に対して、別文書のどの要素が関連するかをたどれます。 CSF 2.0が示す「どのような状態を目指すか」から、管理策や実施内容が詳しい文書へ移動するための索引として機能します。

基準文書（Focal Document）とは、比較の軸となる文書を指します。 参照文書（Reference Document）は、その基準と比較される文書を指します。 CSF 2.0を基準文書、ISO/IEC 27001:2022を参照文書として選べば、CSF 2.0の各要素からISO/IEC 27001:2022との関係を調べられます。

Informative Referencesはチェックリストではない

CSF 2.0は、サイバーセキュリティリスク管理で目指す状態を、機能、カテゴリ、サブカテゴリの階層で整理したものです。 一方、Informative Referencesはその階層に含まれる項目ではなく、各サブカテゴリの記述とほかの文書との関係を理解するための補助情報です。 NISTは、Informative Referencesも実装例（Implementation Examples）も、各サブカテゴリが表す状態を実現する唯一の方法ではなく、網羅的な一覧でもないと説明しています。

したがって、「参照先の管理策をすべて実施すればCSF 2.0へ自動的に適合する」とは判断できません。 組織がその状態に達しているかは、対象範囲、実装内容、証拠、事業環境を踏まえて別に評価する必要があります。 反対方向の推論にも注意が必要で、あるCSFサブカテゴリが表す状態に達していても、参照先規格の要求事項をすべて満たしたことにはなりません。

Informative Referencesが短縮するのは、文書間の関連箇所を探す作業です。 適合性評価やリスク判断を置き換えるものではありません。

SP 1347が整理した3つの利用方法

SP 1347の公開ページによると、最終版はInformative Referencesへアクセスする方法を3つ示しています。 必要な情報量と比較対象の数に応じて選べます。

CSF 2.0だけを確認するなら、CSF 2.0参照ツールが簡単です。 既存の管理策体系と複数の文書を比較し、対応関係を詳細に追う場合はOLIRが適しています。

OLIRは標準化されたマッピングを共有する仕組み

OLIR（Online Informative References）は、NIST文書と、サイバーセキュリティ、プライバシー、人材に関する文書、製品、サービスとのマッピングを、標準化された形式で作成し共有するためのNISTのプログラムです。 OLIRのプロジェクトページには、参照情報カタログ（Informative Reference Catalog）、複数文書の比較レポート、派生関係マッピングの分析機能などが用意されています。

OLIRのカタログには、NISTが作成したマッピングだけでなく、政府機関、標準化団体、企業などが提出したマッピングも含まれます。 そのため、同じ基準文書でも複数の候補が見つかり、対象文書の版や作成主体が異なる場合があります。 検索結果の存在だけで採用を決めることはできません。

OLIRでセキュリティフレームワークをマッピングする手順

1. 比較の目的と基準文書を決める

最初に、何を判断するための比較かを決めます。 CSF 2.0の目標プロファイルから実装候補を探すのか、ISO/IEC 27001の追加導入に伴う差分を調べるのか、監査において複数の要求事項に対して同じ証拠を利用できるか確認したいのかなど、目的によって必要な出力が変わります。

次に基準文書を選びます。 CSF 2.0で現状と目標を管理している組織なら、CSF 2.0を基準にすると既存の組織プロファイルと結び付けやすくなります。 SP 800-53を統制カタログとして運用しているなら、SP 800-53を基準にした比較も考えられます。

2. 参照情報カタログで対象文書を絞り込む

参照情報カタログを開き、基準文書としてCSF 2.0を選択します。 続いて、ISO/IEC 27001:2022やNIST SP 800-53など、比較したい参照情報を選んで検索します。

候補を選ぶ際は、参照文書の名称だけでなく、版、マッピングの版、公開状態、作成主体を確認します。 古い版へのマッピングを現行規格へ流用すると、改訂に伴い追加、削除、移動された要素を見落とすリスクがあります。 OLIRの出力を社内資料へ取り込むときは、取得日も記録します。

3. 要素間の対応を原文と照合する

検索結果では、基準文書の要素と参照文書の要素の組み合わせを確認します。 識別子だけを転記せず、両方の原文を読み、対象範囲と要求の強さが一致するかを判断します。 同じテーマを扱っていても、一方が方針の策定を求め、もう一方が具体的な技術統制を求める場合は、完全な代替関係にはなりません。

社内のマッピング表には、対応する識別子に加えて、完全対応、部分対応、補足が必要といった組織独自の評価と、その根拠を記録します。 OLIRの関係データと、自社が下した実装判定を列で分けると、NISTが提供した情報と自社評価を混同せずに済みます。

4. 複数文書は参照情報の比較レポートで比較する

CSF 2.0、ISO/IEC 27001、SP 800-53のように複数文書を並べる場合は、OLIRの参照情報の比較レポート（Cross-Reference Comparison Report）を使います。 共通の基準文書に対する複数のInformative Referencesを選ぶと、同じ基準要素に関連付けられた参照先を並べて確認し、ExcelまたはJSONへ出力できます。

ここで表示される参照文書同士の関係は、派生関係マッピング（Derived Relationship Mapping、DRM）と呼ばれます。 たとえばISO/IEC 27001の要素とSP 800-53の管理策が、同じCSF 2.0サブカテゴリへ結び付いていれば、両者にも関係がある可能性を推定できます。 しかし、その2要素を直接比較して定義、検証した関係ではありません。 SP 1347によると、DRMはNISTが正しさを保証するマッピングではなく、文書を比較する際の手掛かりです。 共通の基準文書へ関連付けられたという理由だけで参照文書同士を同等と判定せず、原文と適用範囲を専門家が確認します。

5. 現状プロファイルと目標プロファイルへ結果を反映する

マッピング結果を、CSF 2.0の組織プロファイル（Organizational Profile）と結び付けます。 現状プロファイル（Current Profile）では各サブカテゴリが表す状態に現在どの程度達しているかを証拠とともに評価し、目標プロファイル（Target Profile）では組織が目指す状態と優先順位を定めます。

たとえば、目標プロファイルで優先したサブカテゴリからSP 800-53の関連管理策をたどれば、実装候補と評価手順を具体化できます。 ISO/IEC 27001を追加で採用する場合は、すでに実現しているCSF 2.0の項目、未達の要求事項、要求間の衝突、差分を埋めるための資源を整理します。 SP 1347も、この比較結果を目標プロファイルと改善計画の作成に利用する例を示しています。

OLIRのマッピングを採用する前に確認すること

作成主体と検証範囲を確認する

SP 1347は、OLIRカタログへ提出されたInformative ReferencesがNISTとNIST以外の組織の双方によって作成されると説明しています。 NISTが外部組織のマッピングに対して行うのは、提出形式がNIST IR 8278A Rev. 1の要件に合うかという限定的な適合確認であり、内容の正しさの検証ではありません。 カタログへの掲載もNISTによる推奨を意味しません。

OLIRカタログの案内は、米国連邦文民機関の利用者に対し、まず政府作成のマッピングを探し、存在しない場合に他機関、それもなければ第三者作成のものを検討する順序を示しています。 民間組織でも、作成主体、専門性、レビュー方法を採用判断の材料にできます。

公開状態とデータの更新日を確認する

OLIRカタログには作業中、予備ドラフト、ドラフト、最終版という状態があります。 ドラフトには変更が入り得るため、社内のセキュリティガイドラインや対応表へ反映する場合は状態を明記し、最終版への更新を追跡します。

SP 1347は、参照データが定期的に更新され、エクスポートした内容が現在の版を反映しない可能性にも注意を促しています。 出力したマッピングを固定資料として放置せず、基準文書や参照文書の改訂時に再取得し、差分を確認します。

AIが生成した対応関係を専門家がレビューする

ExcelやJSONで取得できる構造化データは、複数フレームワークの比較や不足箇所の抽出を自動化しやすい形式です。 SP 1347も、AIを使った分析、比較、クロスウォーク作成の可能性を示しています。

ただし、AIが意味の近さから推定した関係は、OLIRに明示された人手作成の関係と同じではありません。 NISTは、AI支援のマッピングを専門家がレビューし、識別子、出典の文脈、データの来歴、レビュー状態を保持するよう求めています。 特に明示的な参照データが少ない領域では、もっともらしい未検証の対応を正式なマッピングへ混ぜない管理が必要です。

まとめ

Informative Referencesは、CSF 2.0のサブカテゴリと、ほかの規格、ガイドライン、管理策との関係を、人にも機械にも扱える形で示す参照データです。 2026年8月25日に公開されたSP 1347は、Excelの直接ダウンロード、CSF 2.0参照ツール、OLIRという3つの利用方法を整理しました。

OLIRを使う際は、比較の目的と基準文書を決め、版、状態、作成主体を確認してInformative Referenceを選びます。 その後、要素間の対応を原文と照合し、自社の現状プロファイルと目標プロファイル、改善計画へ反映します。 複数文書を比較するDRMは潜在的な関係を探す手掛かりであり、直接検証された対応関係ではありません。

Informative Referencesが見つかった時点で、適合性や実装状況が証明されるわけではありません。 それでも、CSF 2.0からISO/IEC 27001やSP 800-53の関連箇所へたどる共通の入口があれば、各部門が別々に対応表を作る作業を減らせます。 OLIRの出力へ自社の証拠と判断を重ねることで、マッピングは参照表から改善計画へ変わります。

セキュリティフレームワークの活用にお困りの場合

自社の現状をCSF 2.0などのフレームワークで整理し、実行可能な管理策と改善計画へ落とし込むことが難しい場合は、弊社のセキュリティチーム代行サービスをご検討ください。 現状評価、規程や運用手順の整備、施策の優先順位付け、継続的な改善まで、外部のセキュリティチームとして支援します。