SOURCE READING
原文と対訳
原文と対訳は次の主な出典に基づきます。その他の資料は SHIO の分析に用いています。
主な出典
- 原題
- NIST Cybersecurity Framework 2.0: Small Business Quick-Start Guide
- 原著者・機関
- National Institute of Standards and Technology
- 出典の言語
- 英語
- 原資料の公開日
主資料の原文抜粋とSHIOによる訳文です。原作全体ではありません。後半のSHIOの分析は原作とは別で、出典機関の承認を意味しません。 Republished courtesy of the National Institute of Standards and Technology.
利用根拠：NIST员工作品：美国公有领域及境外转载许可 / NIST employee work: U.S. public domain and worldwide reprint permission
This guide provides small-to-medium sized businesses (SMB), specifically those who have modest or no cybersecurity plans in place, with considerations to kick-start their cybersecurity risk management strategy by using the NIST Cybersecurity Framework (CSF) 2.0. The guide also can assist other relatively small organizations, such as non-profits, government agencies, and schools. It is a supplement to the NIST CSF and is not intended to replace it.本ガイドは、中小企業、特にサイバーセキュリティ計画が十分でない、または未整備の企業に向け、NISTサイバーセキュリティフレームワーク（CSF）2.0を使ってサイバーセキュリティのリスク管理戦略を始めるための検討事項を示す。非営利組織、政府機関、学校など、比較的小規模な他の組織にも役立つ。NIST CSFを補足するものであり、置き換えることを意図していない。
SHIO の分析
復旧計画は、最初に戻す仕事から考える
以下は SHIO 独自の判断と方法の考察です。出典の原文や、その翻訳ではありません。
SHIO の読解メモ
ファイルを保存していても、誰がどの仕事を先に戻すかは別に決める必要がある。本稿はNISTの2024年の中小企業向けガイドと2010年の情報システム継続計画資料を参照する。古い資料は方法の背景として扱い、最新の技術手順書とはみなさない。
中心となる視点
SHIOの判断：最低限提供するサービスを定め、それを人、情報、システムが一緒に支えられるかを確かめる。
組織の問いから技術を考える
NISTが2024年2月26日に公表した中小企業向けクイックスタートガイドは、サイバーセキュリティ計画がまだない、または限定的な組織のリスク管理開始を支援する資料である。CSF本体を補足するものであり、全体の枠組みに代わるものではない。
SHIOは、資源の限られたチームなら、具体的な経営の問いから始められると考える。今日、主要システムが使えなければ、どの顧客に、最低限何を提供し続けるのか。作業、許容できる遅れ、判断者を定めてから技術的対策を検討すれば、関係者が同じ目的に照らして必要条件を確認できる。
システムの復旧を仕事に接続する
2010年に公表され、同年11月11日に更新されたNISTの計画ガイドは、情報システムの継続計画と組織の強靱性、他の緊急計画との関係を扱い、要件と優先順位の評価を支援する。もともと連邦情報システム向けであり、そのまま小企業の手順にできる資料ではない。
この関係を踏まえ、SHIOは最低限のサービスに必要な依存関係を描くことを提案する。使う情報、アクセスできる人、作業端末、外部サービス、完了を確認する人を明記する。ファイルを取り戻せるかは、その一部の問いに過ぎない。権限、情報の利用可能性、顧客への提供までがつながるかも確認したい。
管理した範囲で一度試す
SHIOが提案する練習は、実際の顧客へ影響を出さない範囲で管理する。テスト用の情報を使い、重要な道具が一時的に利用できない場面を想定して、代替手順の一部を実施する。所要時間、臨時の権限が必要な箇所、進めなかった理由を記録する。これは編集上の提案であり、NIST本文から手順を転載したものではない。
一回の練習ですべての障害への対応を証明できず、安全認証にもならない。見つかった不足には担当者、修正期限、再確認方法を定め、専門的な作業は適切な担当者が確認する。SHIOは復旧能力を、計画書の数ではなく、制約のある状況でも重要なサービスを実行し、結果を確かめられる経路があるかで考える。
実践に残る問い
次の一歩：優先して戻すサービスを一つ選び、人、情報、システム、確認方法を整理し、顧客に影響しない練習を計画する。
REFERENCES & EDITORIAL NOTE
参照資料
原文の抜粋、翻訳、SHIO 独自の分析を分けて掲載しています。以下の資料では、より詳しい背景や関連する情報をご覧いただけます。
National Institute of Standards and Technology · 主な出典
NIST Cybersecurity Framework 2.0: Small Business Quick-Start Guide
原資料の公開日：参照日：NIST Technical Series Publications policy states NIST employee works are not copyright-protected in the United States, with a worldwide royalty-free reprint and derivative-work grant for any asserted foreign rights. It requests recommended citation and the courtesy credit, supplied in the notice. SP1300 lists NIST as author; selected official abstract has no third-party attribution. No cover, logo or table is reproduced. Selected abstract with independent SHIO Chinese/Japanese translations, not the full report. Attribution, publication date, access date and source link accompany this excerpt; no institutional endorsement. Policy: https://www.nist.gov/open/license
National Institute of Standards and Technology
Contingency Planning Guide for Federal Information Systems — SP 800-34 Rev. 1, updated edition
原資料の公開日：参照日：NIST Copyrights & Disclaimers allows distribution or copying of site information except material marked copyrighted: https://www.nist.gov/copyrights-disclaimers. Brief summary of official abstract only; original editorial analysis, no full translation. No images, logos or third-party text reproduced.