NIST SP 800-61 r3の改訂ポイント｜Revision2からの3つの変化と企業が取るべき対応

NIST SP 800-61とは

NIST SP 800-61シリーズは、米国国立標準技術研究所（NIST：National Institute of Standards and Technology）の特別刊行物（Special Publication）で、インシデントレスポンスに特化した文書・ガイドラインです。

NIST SP 800-61は、2004年の初版公開以降、20年以上にわたりインシデント対応の“事実上の標準”として進化してきました。

特に2012年に公開されたRevision2は、CSIRTやSOCの設計・運用の基盤として多くの組織で採用されてきました。一方で、2025年4月に公開されたRevision3は、インシデント対応の位置づけそのものを再定義する内容となっています。

本ブログではその内容について説明します。初版及び各改訂版の違い・特徴は下表の通りですが、Revision3についてはRevision2からの違いに着目して後ほど詳述します。

NIST SP 800-61 r3の改訂の3つのポイント

NIST SP 800-61 Revision3（以下、SP 800-61 r3）の最大の特徴は、インシデント対応を単独の運用プロセスとしてではなく、組織全体のサイバーセキュリティリスクマネジメントの一部として再定義した点にあります。

Revision2では、インシデント対応を「準備」「検知・分析」「封じ込め・根絶・復旧」「事後対応」の4フェーズで整理していました。一方、Revision3ではこの4フェーズモデルを中心に据えず、組織のガバナンスやリスクマネジメントと結び付いた継続的な活動として再整理されています。

NIST サイバーセキュリティフレームワーク 2.0を解説｜約10年ぶりの大幅改訂、押さえるべき要点とは？

その背景には、近年のサイバー攻撃が単なる技術的問題ではなく、事業継続、法規制対応、レピュテーション管理など経営課題そのものへと変化していることがあります。

このような考え方の変化を踏まえ、SP 800-61 r3における主な改訂ポイントは次の3点です。

1. 「インシデント対応＝現場プロセス」という考えからの脱却
2. 平時からのリスク管理を重視する考え方への転換
3. 「どう実施すべきか」から「何を実施/検討すべきか」を重視

以降では、この3点について、順に解説します。

改訂ポイント1：「インシデント対応＝現場プロセス」という考えからの脱却

SP 800-61 r3において象徴的な改訂の１点目が、従来のインシデント対応ライフサイクルモデルを前提としていない点です。

Revision2では、「準備」「検知と分析」「封じ込め・根絶・復旧」「事後対応」という明確な4フェーズモデルが示され、インシデント対応を時系列・工程管理的に捉える方法が広く普及していました。このRevision2のモデルは、CSIRTやSOCの立ち上げ・演習・手順策定において極めて実用的であり、現在も多くの組織の運用に深く根付いています。

一方、SP 800-61 r3では、この4フェーズモデルを前提とする構成は取らず、その代わりに、インシデント対応を「対応手順」ではなく、サイバーセキュリティリスクマネジメントの一部をなす全社的な意思決定行為として位置づけています。

この改訂は、「インシデント対応は発生後の対応プロセスである」という捉え方から、「平時のガバナンス・リスク管理・防御活動と連続したもの」として位置づけ直す試みと言えます。

結果として、インシデント対応は特定の局面だけで完結する活動ではなく、組織全体のサイバーセキュリティ管理プロセスに常時組み込まれるべきものとして再定義されています。

そうすることにより、インシデント事案の公表判断や業務停止など、経営判断を伴う対応を遅滞なく実施できる体制が期待されています。ここで言う「組織全体」とは、単なるIT部門の拡張ではなく、経営、事業部門、法務、広報など、リスクの発生・判断・影響に関与するすべての機能を含むことを意図しています。

^{出典：NIST「Incident Response | CSRC」（https://csrc.nist.gov/projects/incident-response）}

改訂ポイント2：平時からのリスク管理を重視する考え方への転換

SP 800-61 r3のもう一つの重要な特徴は、インシデント発生後の対応だけでなく、インシデント発生前の備えや組織的なリスク管理をより重視している点です。

Revision2にも「準備（Preparation）」という考え方は存在していました。しかし、それは主にインシデント対応体制の整備や手順書の作成といった、対応活動を円滑に進めるための運用面の準備が中心でした。

一方、Revision3では、インシデント対応力を高めるためには、平時からの組織的な取り組みが不可欠であるという考え方がより明確に打ち出されています。具体的には、以下のような要素が重要な基盤として位置付けられています。

• 経営層による意思決定体制の整備
• リスク許容度の定義
• 役割と責任の明確化
• サプライチェーンリスク管理

これらはインシデント発生時の対応手順そのものではありません。しかし、組織が適切にリスクを把握し、迅速かつ一貫した意思決定を行うためには欠かせない要素です。

つまりRevision3では、「インシデント対応力は、有事の対応手順だけで決まるものではなく、平時からのガバナンスやリスク管理の成熟度によって左右される」という考え方が強く示されています。

この考え方を具体化するために、SP 800-61 r3ではNIST Cybersecurity Framework（CSF）2.0との対応関係が明確化されています。

従来のSP 800-61は、Cybersecurity Framework（CSF）やRisk Management Framework（RMF）と関連付けて活用できるガイドラインではあったものの、文書としては比較的独立した位置付けでした。一方、Revision3ではCSF 2.0の構造に沿って内容が整理されており、インシデント管理を組織全体のリスク管理活動の一部として捉える考え方がより鮮明になっています。

またRevision3では、インシデント管理をDetect/Respond/Recoverといった発生後の活動だけではなく、NIST CSF 2.0の6機能すべてに関係する活動として整理しています。

• Govern：方針、役割、責任、意思決定
• Identify：資産・リスク・依存関係の把握
• Protect：教育、技術対策、平時の統制
• Detect：検知と分析
• Respond：対応の実行と判断
• Recover：復旧と継続的改善

この再整理から読み取れる重要なメッセージは、インシデント管理の品質は事故発生後の現場対応だけで決まるものではなく、平時からどれだけ組織的にリスクを管理し、備えを整えているかによって大きく左右されるということです。「インシデント発生時に何をするか」ではなく、「インシデント発生前にどこまで備えられているか」に重きが置かれたことが、SP 800-61 r3の大きな変化の一つと言えます。

改訂ポイント3：「どう実施すべきか」から「何を実施/検討すべきか」を重視

3つ目の大きな改訂ポイントは、文書が「具体的な対応手順を説明するガイド」から、「インシデント対応への考え方を示す文書」に変わった点です。

Revision2までは、「何を、どの順序で、どのように対応すべきか」を詳細に記載した、いわば実務ハンドブックとしての位置づけを担っていました。そのため、インシデント分類例、対応手順、分析観点、チェックリストなどが豊富に含まれ、現場レベルでの即時利用を強く意識した構成となっていました。

これに対し、SP 800-61 r3では、具体的手順を示すことは目的としておらず、インシデント対応を設計・運用するにあたって考慮すべき「推奨事項（Recommendations）」や「検討事項（Considerations）」が明記されています。つまり、How-toマニュアルから、判断を支える指針集への転換がなされたといえます。

Revision3の文書中では、各項目に「推奨事項（R：Recommendation）」「検討事項（C： Consideration）」「注記（N:：Note）」がマッピングされています。

注意したいのは、これらは優先順位や重要度を示すものではないという点です。R・C・Nは、「何を求めているか」が異なります。

特にRとCの違いは、「実施するべきこと」を示しているか、「考慮するべきこと」を示しているかにあります。

例えば、

「インシデント対応の役割と責任を定義する」

であれば、これは多くの組織に共通して必要となるため推奨事項（R）として記載されます。

一方、

「インシデント発生時にどの経営層が意思決定に関与するべきか」

は組織構造や事業特性によって答えが異なるため、検討事項（C）として示されます。つまり、推奨事項（R）は「実施すべきこと」を示し、検討事項（C）は「検討すべきこと」を示しています。

Revision2が「何をどう実施するか（How）」を説明する文書だったのに対し、Revision3は「何を実施し、何を考慮すべきか（What & Consider）」を示す文書へと変化しています。

 NIST SP 800-61 r3の内容紹介

 NIST SP 800-61 r3では、前述の通りインシデント対応のリスク管理をするうえで、組織が実施・検討すべき事項がNIST CSF2.0に沿って定義されています。下図にRevision3に記載されているカテゴリの一つである「RS.MA（インシデント管理）」を例にどのように記載がされているか、また活用方法について解説します。

• CSF要素：CSF 2.0のカテゴリ名称。1つのカテゴリが複数の項目に分かれるため、「RS.MA-01」「RS.MA-02」といった単位で記載されている。
• CSF要素の詳細：各要件の説明文
• 優先度：インシデント対応へ備える上で、実施/考慮すべき項目の優先度を示したもの。NIST SP 800-61 r3が独自で設定しているもの。
• 推奨事項（R）・検討事項（C）・注記（N）が記載されている。

活用の流れとしては、まず優先度の高い項目から推奨事項（R）・検討事項（C）を確認し、自社で必要な準備や検討ができているかを点検します。対応が不十分な項目については、そのうえで対策方針を検討します。

 既存のインシデント対応文書は改訂すべきか

Revision3がリリースされた今ユーザー側で懸念されることは、Revision2をベースに作成した文書をRevision3に合わせて全面改訂をすべきかという点でしょう。

NISTはRevision3を、Revision2の単純な改訂ではなく、CSF 2.0と連携した新たな参照体系として位置付けています。つまり、Revision2とRevision3の特徴を理解し、新たな上位文書の作成や、一部の更新をする必要はあるものの、必ずしも全面的な改訂は必要ではないということです。

多くの組織では、インシデント対応手順、CSIRT運用、演習シナリオ、教育資料などが

Revision2の4フェーズのモデル（①準備 / ②検知・分析 / ③封じ込め・根絶・復旧 / ④事後対応）を前提に構築されているケースが多く見られます。これは決して古いものというわけではなく、今なお現場運用においても有効です。

 SP 800-61 r3は、こうしたRevision2ベースの実務を否定しているわけではなく、むしろ、Revision3は「その運用を、どの統治・どのリスク管理の文脈で位置づけるのか」を読み替えているものになります。

要するに、実務的には「我々のRevision2ベースの対応プロセスは、NIST SP 800-61 r3（CSF 2.0）のどの機能とどの責務に対応しているのか」を説明できる状態を作ることが、Revision3への適応と言えます。そのため、多くの組織に推奨すべきアクションとしては、次のような段階的対応です。

1. 既存インシデント対応関連文書が実態の運用を反映しているものか確認し、更新する
2. インシデント対応関連文書で規定されている内容が、NIST SP 800-61 r3で実施すべき、検討すべき観点を網羅できているかギャップを整理する
3. 整理したギャップを元に、新たに上位文書を作成するのか、一部文書を更新するか検討し、文書の作成・改訂する

まとめ

ここまで、NIST SP 800-61 r3およびその改訂の背景や内容について紹介しました。

NIST SP 800-61 r3はインシデント対応の「手順」を更新した文書ではなく、インシデント対応を、組織のサイバーセキュリティ・リスク管理の中でどう位置づけるかを示した文書です。

またRevision2からRevision3の改訂に伴い、インシデント対応をフェーズで整理する構成からは大きく変化しましたが、重要なのは、Revision3はRevision2ベースの内容を否定していないということです。そのため、SOCやCSIRTの日常的な対応業務が、直ちに変わるわけではないというのは理解しておく必要があります。

Revision3は「やり方を変える文書」ではなく、これまでの対応を、リスク管理の視点で見直し、説明し直すための文書です。

既存のインシデント対応文書がRevision2をベースに整備されている場合でも、直ちに全面的な改訂が必要になるわけではありません。ただし、「自社の対応プロセスがRevision3のどの機能・どの責務に対応しているのか」を整理しておくことは、有事の意思決定を円滑にするうえで有効です。こうしたギャップの整理や文書体系の見直しについてご検討の際は、NRIセキュアテクノロジーズにお気軽にお問い合わせください。