サイバーセキュリティフレームワーク（CSF）とは？さいばーせきゅりてぃふれーむわーく
サイバーセキュリティフレームワーク（CSF）とは、米国NISTが公表した、サイバーセキュリティ対策を体系化した枠組み。識別・防御・検知・対応・復旧の5機能でコアを構成し、2024年のVersion 2.0では「統治（Govern）」が加わって6機能になった。現状と目標をプロファイルとして記述し、その差分から改善計画を導く使い方をする。
最終更新：2026-10-06
この語が出る過去問を解く →背景
セキュリティ対策は個別の製品や施策として積み上がりがちで、どこが手薄かを組織全体で見渡す共通の言葉が無かった。CSFは、業種や規模を問わず対策を同じ枠へ並べられるようにし、経営層と技術者、さらに取引先との間で状況を共有できるようにした。監査人にとっては、被監査部門の対策の網羅性を測る物差しとして使える点に実務上の価値がある。
具体例
現状の対策を各機能へ割り付けて過不足を可視化し、防御に投資が偏って検知が手薄であることを特定し、監視体制の強化を改善提案とする。IPAが日本語訳を公開しているため、社内の対策一覧を機能別に整理して監査要点へ置き換える作業に使える。
試験での引っ掛け
5機能の並び「識別・防御・検知・対応・復旧」と、各活動がどの機能に属するかが問われ、リスクアセスメントは識別に属する。認証を取得する規格ではなく、達成すべき管理策の一覧を与えるものでもない点で、ISO/IEC 27001とは性質が異なる。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：令和2年度 10月試験 システム監査技術者試験 午前Ⅱ 問11（IPA）
SLAを作成する際に、サービスレベル項目（SLO）、重要業績評価指標（KPI）、重要成功要因（CSF）の三つを検討する。検討する順序のうち、最も適切なものはどれ…
正解：CSF → KPI → SLO
要点：SLAはCSFで目的を定めKPIで測りSLOで水準を約束する順で作る
SLAの検討は目的から指標へと降りていく順序をたどる。まず事業目標を達成するうえで何が決定的かというCSF（重要成功要因）を定め、次にそれが達成できているかを測るためのKPIを設定し、最後にKPIに対応する形でサービス提供者が守るべき水準としてSLOを具体的な数値で定義する。指標を先に決めてから目的を後付けするのは順序が逆である。
出典：令和3年度 秋期 システム監査技術者試験 午前Ⅱ 問19（IPA）解説で登場
NIST“Cybersecurity Framework：重要インフラのサイバーセキュリティを改善するためのフレームワーク（1.1版）”にある機能とカテゴリの組…
正解：識別／リスクアセスメント：自組織は、組織の業務、組織の資産及び個人に対するサイバーセキュリティリスクを把握している。
要点：CSFの識別機能にリスクアセスメントが属し組織のリスクを把握する
NISTサイバーセキュリティフレームワークは、識別・防御・検知・対応・復旧の五つのコア機能を置き、その下にカテゴリを配置する。リスクアセスメントは、自組織の業務・資産・個人に対するリスクを把握するカテゴリで、現状を把握する段階である識別機能に属する。他の選択肢は、カテゴリが本来属する機能とずれている。
出典：令和5年度 秋期 システム監査技術者試験 午前Ⅱ 問11（IPA）
SLAを作成する際に、サービスレベル項目（SLO）、重要業績評価指標（KPI）、重要成功要因（CSF）の三つを検討する。検討する順序のうち、最も適切なものはどれ…
正解：CSF → KPI → SLO
要点：CSFで目的、KPIで測定、SLOで水準を順に定める
まず何を達成できれば事業目的が満たされるのか、その決め手となるCSFを明らかにする。次にCSFの達成度を測る物差しとしてKPIを設定し、最後にKPIを実際のサービス水準の約束値へ落とし込んだものがSLOになる。目的から測定指標、そして合意値へと段階的に具体化する流れである。
出典：令和7年度 秋期 システム監査技術者試験 午前Ⅱ 問18（IPA）解説で登場
JIS Q 27002:2024（情報セキュリティ管理策）におけるサイバーセキュリティ概念を構成する五つの属性値はどれか。
正解：識別、防御、検知、対応、復旧
要点：サイバーセキュリティ概念の五属性は識別・防御・検知・対応・復旧
JIS Q 27002:2024 では、各管理策に複数の属性を付けて整理しており、その一つが「サイバーセキュリティ概念」である。これはサイバーセキュリティ対策の時間軸に沿った五つの機能、すなわち何を守るべきかを把握する識別、被害を防ぐ防御、事象に気づく検知、発生時に手を打つ対応、元の状態へ戻す復旧で構成される。国際的に広く使われるサイバーセキュリティフレームワークの五機能と同じ並びであり、「識別から始まり復旧で終わる」という順序で覚えると混同しにくい。
出典・参考
高度試験 午前I（高度午前I 相当）のシラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (8) 情報セキュリティに関する基準に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。