セキュリティガバナンスとは（全体像）
セキュリティガバナンスは、組織がセキュリティをきちんと回すための経営のしくみのこと。鍵やカメラのような技術だけでなく、「誰が・どんなルールで・どう見直すか」まで含めて、経営の視点で管理する。
その進め方の「お手本」になるのが、いくつかの基準（フレームワーク）だ。国際規格のISO/IEC 27001、米国発のNIST CSF、カード業界向けのPCI DSSなどがある。
押さえるのは、経営のしくみという性質と、代表的な基準の違いだ。
詳しく：代表的な基準を押さえる
ここが心臓部。代表的な基準を整理する（名前と特徴をつかめば十分）。
代表的なセキュリティ基準
| 基準 | 特徴 |
|---|---|
| ISO/IEC 27001 | 情報セキュリティ管理（ISMS）の国際規格。認証がもらえる |
| NIST CSF | 米国発の枠組み。最新は2.0で6機能（Govern追加） |
| PCI DSS | クレジットカード業界向けのルール |
| SOC 2／CIS Controls | 信頼性の評価基準や、具体的な管理項目集 |
NIST CSFの6機能は、やることの大きな分類だ。
NIST CSF 2.0の6機能
| 機能 | 役割 |
|---|---|
| Govern（統治） | 2.0で新設。方針や責任を決める土台 |
| Identify／Protect | リスクを把握する／守る |
| Detect／Respond／Recover | 異常を見つける／対応する／復旧する |
言葉を噛み砕いておく。
- ガバナンス＝経営のしくみ … 技術だけでなく、方針・体制・見直しまで含めて回すこと。経営の責任として取り組む。
- NIST CSFは2.0が最新 … 2024年にv2.0となり、Govern（統治）が加わって6機能になった（以前の1.1ではない）。
- ISOとPCI DSSは別もの … ISO/IEC 27001は汎用の国際規格、PCI DSSはクレジットカード業界向け。役割が違う。
わかりやすく言い換えると
つまり、セキュリティガバナンスは「会社全体の防犯ルールづくり」にたとえるとスッと入る。
家やお店の防犯は、鍵やカメラ（技術）だけでは足りない。「誰が見回るか・点検の頻度・問題が起きたときの動き方」をルールとして決め、定期的に見直してこそ機能する。これを会社全体・経営の視点でやるのがガバナンスだ。
その進め方の「お手本」が基準で、ISO/IEC 27001（国際規格・認証がもらえる）、NIST CSF 2.0（6機能に整理・2024年にGovern追加）、PCI DSS（カード業界専用）などがある。ISOは広く使える汎用、PCI DSSはカード業界向け、と役割で覚えるとよい。
試験のツボ
🔴 一番出る：ガバナンスは経営のしくみ
①技術だけでなく、方針・体制・見直しで回す
②経営の視点で組織として取り組む
🔴 次に出る：代表的な基準
①ISO/IEC 27001＝ISMSの国際規格（認証）
②NIST CSF＝最新2.0・6機能（Govern追加）／PCI DSS＝カード業界向け
🟡 押さえると安定：NIST CSFは2.0が最新（1.1ではない）。ISOは汎用・PCI DSSはカード業界
よくある間違い
①「NIST CSFは1.1が最新だ」→ ✗ 2024年にv2.0となり、Govern（統治）を加えた6機能が最新。
②「ISO/IEC 27001とPCI DSSは同じ規格だ」→ ✗ ISOは汎用の国際規格、PCI DSSはクレジットカード業界向け。役割が違う。
③「ガバナンスは技術的な対策だけのことだ」→ ✗ 方針・体制・見直しまで含む経営のしくみ。技術だけではない。
試験での出題パターン
実際の問題でたしかめてみよう。
オリジナル問題1（ガバナンスとは）
セキュリティガバナンスに関する次の記述のうち、正しいものはどれか。
- セキュリティガバナンスは通信を速くするための技術だけを指し、方針や体制とは関係しないとされているのだ
- セキュリティガバナンスは方針・体制・見直しまで含め、組織全体として守りを回す経営のしくみのことである
- セキュリティガバナンスは画面の文字を大きくする表示の設定のことで、経営とは無関係とされているものだ
- セキュリティガバナンスは社員の勤務時間を集計する人事のしくみのことだとされているのが実情なのだ
解答は 2 である。
セキュリティガバナンスは、方針・体制・見直しまで含め、組織として守りを回す経営のしくみ。技術だけでなく、経営の視点で取り組むのが特徴だ。
選択肢1の「技術だけ」、選択肢3の画面設定、選択肢4の勤務時間の集計は、いずれも誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 技術だけを指すのではない |
| 2 | ✓ | 経営のしくみで正しい |
| 3 | ✗ | 画面設定ではない |
| 4 | ✗ | 勤務時間の集計とは無関係 |
オリジナル問題2（NIST CSF）
NIST CSFに関する次の記述のうち、正しいものはどれか。
- NIST CSFは1.1が最新で、機能の数も役割もこれまでとまったく変わっていないとされているのが実情である
- NIST CSFはクレジットカード業界だけに使える規格で、ほかの分野ではいっさい使えないとされているものだ
- NIST CSFは最新が2.0で、Govern（統治）が加わった6機能に整理された近年の米国発の枠組みである
- NIST CSFは通信を暗号化するためだけの規格で、方針や統治とはまったく関係がないとされているのである
解答は 3 だ。
NIST CSFは、最新が2.0で、Govern（統治）が加わった6機能に整理された米国発の枠組み。以前の1.1ではない点に注意だ。
選択肢1は「1.1が最新・変わっていない」が誤り。選択肢2のカード業界専用、選択肢4の暗号化専用は、いずれも誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 最新は2.0で6機能に変わった |
| 2 | ✗ | カード業界専用はPCI DSS |
| 3 | ✓ | 2.0・6機能（Govern追加）で正しい |
| 4 | ✗ | 暗号化専用の規格ではない |
オリジナル問題3（ISOとPCI DSS）
ISO/IEC 27001とPCI DSSに関する次の記述のうち、正しいものはどれか。
- ISO/IEC 27001は汎用の国際規格（ISMS）で、PCI DSSはクレジットカード業界向けという違いがある
- ISO/IEC 27001とPCI DSSはまったく同じ規格の別名で、対象とする分野にも違いはないとされているのだ
- ISO/IEC 27001はカード業界だけ、PCI DSSは汎用というように、役割がちょうど逆になっているとされている
- ISO/IEC 27001もPCI DSSも規格ではなく、通信を速くするための設定にすぎないとされているのが実情である
解答は 1 だ。
ISO/IEC 27001は汎用の国際規格（ISMS）で、PCI DSSはクレジットカード業界向け。どちらもセキュリティの基準だが、対象が違う。
選択肢2は「まったく同じ」が誤り。選択肢3は役割を逆にしている。選択肢4は「規格ではなく設定」が誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✓ | ISO＝汎用・PCI DSS＝カード業界で正しい |
| 2 | ✗ | 同じ規格ではなく対象が違う |
| 3 | ✗ | 役割が逆になっている |
| 4 | ✗ | どちらも規格である |
まとめ
押さえどころ
- 🔴 セキュリティガバナンス ＝ 組織として方針を決め、守りを回し続ける経営のしくみ。技術だけではない。
- 🔴 代表基準はISO/IEC 27001（ISMS国際規格・認証）／NIST CSF（最新2.0・6機能でGovern追加）／PCI DSS（カード業界）。
- 🟡 NIST CSFは2.0が最新（1.1ではない）。ISOは汎用・PCI DSSはカード業界向けで別もの。
次に学ぶ
- ゼロトラスト認証（条件付きアクセス） ── ガバナンスのもとで実践する、現代の守りの考え方。
- ランサムウェア（RaaS・四重脅迫） ── ガバナンスで備える、組織の大きな脅威。
- NWセキュリティ（FW・IDS/IPS・WAF） ── 方針を実際に支える、技術的な守りのしくみ。
執筆: SikakuQuest編集部