ITピックアップ・ITトレンド

2025年4月10日 / 最終更新日 : 2025年4月10日 APPSWINGBY ITピックアップ・ITトレンド

CAFとは？Cyber Assessment Framework (CAF) 3.2の概要

トランプ氏の関税政策が世界経済に大きな波紋を広げています。日々、状況がコロコロと変わる為、トランプ氏の発言や発表する政策に注意している皆様も多いと思います。株価の乱高下も気になるところではありますが、、、こんな時に、システムに関わる人々が最も注意しなければならないのは、サイバーアタックです。

国家間の激しい競争や政策の影響をうけたサイバー空間では、実際の戦争とは異なり、見えない空間で容易に狙った相手を攻撃できる為、サイバーアタックを相手を陥れる選択肢のひとつとして実行する可能性・危険性が高まっているからです。

前々回は「NISTサイバーセキュリティフレームワーク（CSF）2.0徹底解説」と題して、CSFについてご紹介しました。前回は「ゼロデイ脆弱性の影―不正プログラムの脅威と最先端セキュリティ対策の全貌」とてゼロディ攻撃についてご紹介しました。

３回連続でのセキュリティ関連の記事となりましたが、今回は、英国国家サイバーセキュリティセンター（NCSC）が開発したCyber Assessment Framework (CAF)をご紹介します。

1. 最先端のセキュリティ対策の羅針盤：英国NCSCのサイバーアセスメントフレームワーク（CAF）とは？
1.1.1. CAFとは？組織のサイバーレジリエンスを評価・改善するための羅針盤
1.1.2. CAFの特徴
2. Cyber Assessment Framework (CAF) 3.2
2.1.1. CAF3.2のメリット
3. CAFの4つの主要な目的とそれに関連する14の原則
4. CAF3.2の活用方法
4.1. CAF3.2の活用方法：組織の状況に合わせて多角的にアプローチ
4.1.1.1. 1. 自己評価：自社のセキュリティ体制を深く理解するための第一歩
4.1.1.2. 2. 外部評価：客観的な視点による評価と専門的なアドバイス
4.1.1.3. 3. 継続的な改善：PDCAサイクルによるセキュリティレベルの向上

最先端のセキュリティ対策の羅針盤：英国NCSCのサイバーアセスメントフレームワーク（CAF）とは？

現代のビジネス環境において、サイバーセキュリティは組織の存続と成長を左右する極めて重要な要素です。巧妙化するサイバー攻撃に対応するためには、場当たり的な対策ではなく、体系的かつ継続的なセキュリティ強化が不可欠となります。

そこで注目すべきフレームワークの一つが、英国国家サイバーセキュリティセンター（NCSC: National Cyber Security Centre）が提唱する「サイバーアセスメントフレームワーク（CAF: Cyber Assessment Framework）」です。

CAFとは？組織のサイバーレジリエンスを評価・改善するための羅針盤

CAFは、組織が自身の重要な機能（Essential Functions）に対するサイバーリスクを理解し、管理するための包括的なフレームワークです。単なるセキュリティ対策のリストではなく、組織のサイバーレジリエンス（サイバー攻撃からの回復力）を評価し、継続的に改善していくための道筋を示す羅針盤と言えるでしょう。

CAFの特徴

CAFは、以下の特徴を持つことで、組織のセキュリティ対策を一段階引き上げることを目指しています。

目的と原則に基づいた構造: CAFは、4つの高レベルのセキュリティ目的と、それらを達成するための14の原則によって構成されています。これにより、組織は目指すべきセキュリティの方向性を明確に理解することができます。
成果重視のアプローチ: CAFは、具体的な対策の実施だけでなく、その対策によって実際にどのようなセキュリティ成果が得られているかを重視します。
詳細な実施基準（IGPs）: 各原則には、組織がどの程度その原則に適合しているかを評価するための具体的な実施基準（IGPs: Indicative Good Practice）が紐づいています。これにより、評価の客観性と具体性が高まります。
業種を問わない適用可能性: CAFは特定の業界に限定されず、あらゆる規模や業種の組織で活用することができます。また、業種固有の要件を組み込む柔軟性も備えています。
サイバーセキュリティ成熟度の可視化: CAFによる評価を通じて、組織のサイバーセキュリティ対策の成熟度を客観的に把握することができます。
継続的な改善サイクルの実現: CAFは一度きりの評価で終わるのではなく、定期的な評価と改善を通じて、組織のサイバーレジリエンスを継続的に向上させることを支援します。

CAFを活用することで、組織は自社のセキュリティ対策の現状を深く理解し、優先的に取り組むべき課題を特定することができます。また、CAFが示す原則と実施基準を参考にすることで、より効果的かつ効率的なセキュリティ対策を計画・実行することが可能になります。

Cyber Assessment Framework (CAF) 3.2

CAF3.2は、英国国家サイバーセキュリティセンター（NCSC）が開発した、組織の重要な機能に対するサイバーリスクを評価および管理するためのツールです。このフレームワークは、サイバーレジリエンスを評価するための体系的なアプローチを提供し、自己評価または外部機関による評価のいずれかを通じて実施できます。

CAFについて少し詳しく解説していきますが、CAFは、4つの高レベルの目的と14の原則に基づいて構築されており、成果重視のアプローチを採用しています。

また、実施基準（IGPs）を含み、これらの原則に組織がどの程度適合しているかを評価するための詳細なガイダンスを提供しています。

このフレームワークは、業種を問わず使用でき、業種固有の要件を組み込み、セキュリティレベルを指定することができます。

CAFの適用により、39の個別の評価が生成され、基本的なサイバー衛生を超えたレベルのサイバーセキュリティが達成されます。NCSCは規制機関と協力してCAFのアウトプットを解釈し、セキュリティリスクの管理における重要なアウトプットを特定しています。これらの優先順位付けされたアウトプットはCAFプロファイルと呼ばれ、組織のベンチマークとして使用することができます。

CAFは、業種固有の調整の必要性にも対応しており、カスタマイズされたプロファイル、アウトプットとIGPの解釈、追加の貢献するアウトプットまたはIGPが含まれています。NCSCは引き続きステークホルダーと協力して、フレームワークを必要に応じて洗練させ、更新しています。

CAF3.2のメリット

CAF3.2には、以下のようなメリットがあります。

サイバーレジリエンスの向上: CAF3.2は、組織のサイバーレジリエンスを評価し、向上させるためのフレームワークを提供します。
リスクの軽減: CAF3.2は、組織のサイバーリスクを特定し、軽減するためのツールを提供します。
コンプライアンスの確保: CAF3.2は、さまざまな規制要件に準拠するための支援を提供します。
コスト削減: CAF3.2は、サイバーセキュリティ対策のコストを削減するための方法を提供します。

CAFの4つの主要な目的とそれに関連する14の原則

セキュリティリスクの管理（Managing Security Risk）:
- ガバナンス（Governance）: 組織のサイバーセキュリティに関する方針と責任の明確化。
- リスク管理（Risk Management）: サイバーリスクの特定、評価、優先順位付け、管理のプロセス確立。
- 資産管理（Asset Management）: 重要な情報資産の特定と管理。
- サプライチェーン（Supply Chain）: 外部供給者に関連するセキュリティリスクの理解と管理。
サイバー攻撃からの保護（Protecting Against Cyber Attack）:
- サービス保護の方針と手順（Service Protection Policies and Procedures）: システムとデータを保護するための適切な方針と手順の策定と実施。
- アイデンティティとアクセス制御（Identity and Access Control）: ユーザー、デバイス、システムのアクセス管理。
- データセキュリティ（Data Security）: データの不正アクセス、改ざん、削除からの保護。
- システムセキュリティ（System Security）: ネットワークと情報システムの保護。
- 耐障害性のあるネットワークとシステム（Resilient Networks and Systems）: サイバー攻撃やシステム障害に対する耐性の構築。
- スタッフの意識向上とトレーニング（Staff Awareness and Training）: サイバーセキュリティに関するスタッフの意識とスキルの向上。
サイバーセキュリティイベントの検出（Detecting Cyber Security Events）:
- セキュリティモニタリング（Security Monitoring）: セキュリティ関連のイベントを効果的に監視し、検出する能力。
- 異常検出（Anomaly Detection）: 通常とは異なる活動や挙動を特定する能力。
サイバーセキュリティインシデントの影響最小化（Minimising the Impact of Cyber Security Incidents）:
- 対応と復旧計画（Response and Recovery Planning）: インシデント発生時の対応と復旧の計画策定。
- 改善（Improvements）: 過去のインシデントからの学習と将来の対応能力の向上。

CAF 3.2では、特にリモートアクセス、特権操作、ユーザーアクセスレベル、多要素認証（MFA）の使用に関するセクションに重要な変更が加えられています。

CAF3.2の活用方法

CAF3.2の活用方法：組織の状況に合わせて多角的にアプローチ

前述の通り、CAF3.2は組織のサイバーレジリエンス向上に貢献する強力なフレームワークですが、その活用方法は多岐にわたります。ここでは、主要な活用方法について、より詳細に解説します。

1. 自己評価：自社のセキュリティ体制を深く理解するための第一歩

CAF3.2を用いた自己評価は、組織が自身のサイバーセキュリティ体制の現状を把握するための基本的なかつ重要なステップです。組織内の担当者がCAFの原則と実施基準（IGPs）に照らし合わせ、現状の対策状況を評価します。

自己評価のメリット:

現状の可視化: 組織全体のセキュリティ対策の実施状況や成熟度を明確に把握できます。
課題の特定: 対策が不足している領域や、改善が必要なポイントを特定できます。
認識の共有: 評価プロセスを通じて、関係者間でセキュリティに関する共通認識を醸成できます。
費用対効果: 外部評価に比べてコストを抑えられます。

自己評価の実施ステップの例:

評価範囲の決定: 評価対象となる重要な機能（Essential Functions）を明確にします。
評価チームの組成: 関連部門の担当者からなる評価チームを編成します。
CAF3.2の理解: フレームワークの目的、原則、実施基準（IGPs）をチーム全体で理解します。
現状分析: 各原則とIGPsに基づき、現状の対策状況を詳細に分析・記録します。
ギャップ分析: 目標とするセキュリティレベルと現状の対策状況のギャップを特定します。
改善計画の策定: ギャップを埋めるための具体的な改善計画（アクションプラン）を策定します。

2. 外部評価：客観的な視点による評価と専門的なアドバイス

外部の専門機関にCAF3.2に基づく評価を依頼することで、より客観的で専門的な視点からの分析とアドバイスを得ることができます。

外部評価のメリット:

客観性の確保: 内部の偏見や見落としを排除し、客観的な評価を得られます。
専門知識の活用: サイバーセキュリティの専門家による高度な分析と具体的な改善提案を受けることができます。
信頼性の向上: 利害関係者や規制当局に対して、セキュリティ対策の信頼性をアピールできます。
ベストプラクティスの導入: 他の組織の事例や業界のベストプラクティスに基づいたアドバイスを得られます。

外部評価の実施ステップの例:

評価機関の選定: CAF3.2の評価実績や専門知識を持つ信頼できる機関を選定します。
評価範囲と目的の明確化: 評価機関と協力して、評価の範囲と目的を明確に定義します。
情報提供とヒアリング: 評価に必要な情報を提供し、評価機関によるヒアリングに協力します。
評価の実施: 評価機関がCAF3.2に基づき、組織のセキュリティ体制を評価します。
評価報告書の受領: 評価結果、課題、改善提案などが記載された報告書を受け取ります。
改善計画の策定と実行: 評価報告書に基づき、具体的な改善計画を策定し、実行します。

3. 継続的な改善：PDCAサイクルによるセキュリティレベルの向上

CAF3.2は、一度評価して終わりではなく、継続的な改善サイクル（PDCAサイクル：Plan-Do-Check-Act）を回すことで、組織のサイバーレジリエンスを段階的に向上させていくためのフレームワークとして活用できます。

継続的な改善のステップ:

計画（Plan）: CAF3.2による評価結果やリスクアセスメントに基づき、改善目標と具体的な対策計画を策定します。
実行（Do）: 策定した計画に従って、セキュリティ対策を実施します。
評価（Check）: 実施した対策の効果を測定・評価し、当初の目標に対する達成度合いを確認します。CAF3.2を再度用いて評価することも有効です。
改善（Act）: 評価結果に基づき、対策の修正や新たな改善策を検討・実施します。

このPDCAサイクルを継続的に回すことで、組織は変化する脅威やビジネス環境に柔軟に対応し、常に最新かつ効果的なサイバーセキュリティ体制を維持することができます。

CAF3.2は、組織の規模や業種、セキュリティ成熟度に合わせて柔軟に活用できるフレームワークです。上記の活用方法を参考に、自社の状況に最適なアプローチを選択し、サイバーレジリエンスの強化に役立ててください。

本記事では、英国NCSCのサイバーアセスメントフレームワーク（CAF）3.2の概要と、その具体的な活用方法について解説しました。CAF3.2は、組織のサイバーレジリエンスを向上させ、変化し続ける脅威から重要な機能を守るための強力なツールとなります。しかしながら、CAF3.2の理解や、それを組織の状況に合わせて適切に適用するには、専門的な知識や経験が必要となる場合もございます。

もし、

自社のセキュリティ対策の現状をCAF3.2に基づいて評価してみたい
CAF3.2を活用した具体的なセキュリティ強化のアプローチを知りたい
最新のセキュリティ対策動向や、自社にとって最適な対策について相談したい

といったご要望や疑問をお持ちでしたら、ぜひお気軽にお問い合わせください。CAF3.2の知見はもちろん、多様な業界におけるセキュリティ対策の豊富な経験に基づき、貴社の状況に合わせた最適なソリューションをご提案させていただきます。

お問い合わせは、弊社のお問い合わせフォームより心よりお待ちしております。

システム開発にお困りではありませんか？

もしも今現在、

どのように開発を依頼したらよいかわからない
どのように開発を依頼したらよいかわからない
企画や要件定義の段階から依頼できるのか知りたい
システム開発費用がどれくらいかかるのか知りたい
見積りがほしい

など、システム開発に関するご相談・ご依頼がございましたら、お気軽にご相談ください。APPSWINGBYでは、「アプリでお客様のビジネスを加速し、お客様とともにビジネスの成功と未来を形作ること」をミッションとしています。大手SIerやＲ＆Ｄ部門で培った経験やノウハウ、高度な技術力でお客様の「やりたい」を実現します。

今すぐ相談

まずはお気軽にご相談ください

この記事を書いた人

株式会社APPSWINGBY マーケティング

APPSWINGBY（アップスイングバイ）は、アプリケーション開発事業を通して、お客様のビジネスの加速に貢献することを目指すITソリューションを提供する会社です。

ご支援業種

情報・通信、医療、製造、金融（銀行・証券・保険・決済）、メディア、流通・EC・運輸など多数