NIST IR 8374r1 ― Ransomware対策を「製品導入」からCSF 2.0の経営Riskへ
Executive Summary
NISTは2026年6月11日、IR 8374 Revision 1「Ransomware Risk Management: A Cybersecurity Framework 2.0 Community Profile」を最終公開しました。旧版をCSF 1.1からCSF 2.0へ更新し、RansomwareをGovern、Identify、Protect、Detect、Respond、Recoverの全Functionで管理する実務Profileです。1
これは「Backup製品を入れる」「EDRを導入する」といった個別Controlではなく、Risk Appetite、Owner、Asset、Detection、Incident Response、Recoveryまでを一つの経営Riskとしてつなぐための枠組みです。
なぜ今なのか
Ransomwareは暗号化だけでなくData Theft、Extortion、Service Disruptionを伴うため、単一製品ではRiskを閉じられません。CSF 2.0でGovernが追加されたことで、経営責任、Risk Decision、Third-party、Policyを含む上流管理が明確になっています。
何が起きているのか
IR 8374r1は、Ransomware ReadinessをCSF 2.0のOutcomeへMappingし、組織の現在地とPriority Actionを評価できるCommunity Profileです。Playbookや成熟度評価を既存CSF 2.0 Programへ統合しやすくなっています。
経営インパクト
| 観点 | 影響 |
|---|---|
| Governance | Ransomware RiskをCISOだけでなく経営Riskとして扱う |
| Resilience | Backupの有無ではなくRecovery Timeと復旧演習を重視 |
| Data Extortion | 暗号化されなくてもData Theftで重大Incidentになり得る |
| Third-party | Supplier / Managed Service経由のRiskもProfileへ組み込む |
日本企業への示唆
日本企業ではRansomware対策チェックリストが製品導入状況の確認に寄りがちです。CSF 2.0 Profileを使い、Business Service単位で「どこまで止まるか」「誰がRiskを受容するか」「復旧に何時間かかるか」まで確認すると経営会議へつなげやすくなります。
推奨アクション
- IR 8374r1を既存Ransomware AssessmentへMappingする
- Critical Business Service単位でRecovery Objectiveを設定する
- Backup Restoreを定期演習する
- Data Theft / ExtortionをIncident Scenarioへ追加する
- Supplier経由のRansomware Scenarioを評価する
- 残余Riskと追加投資を経営判断として記録する
用語解説
CSF 2.0 Community Profile
特定SectorやRiskに対してNIST CSF 2.0 Outcomeを具体化したProfile。
Ransomware Resilience
侵入防止だけでなく業務継続・復旧・Data Extortion対応まで含む耐性。