2025年4月に公開されたインシデント対応ガイドライン「NIST SP 800-61 Revision3」は、インシデント対応を「現場の対応手順」から「組織全体のリスク管理活動」へ位置づけ直したガイドラインです。ただしRevision2を否定するものではなく、既存のCSIRT運用や手順書を全面改訂する必要はありません。本記事では3つの改訂ポイントと、実務で取るべき対応を解説します。
NIST SP 800-61シリーズは、米国国立標準技術研究所（NIST：National Institute of Standards and Technology）の特別刊行物（Special Publication）で、インシデントレスポンスに特化した文書・ガイドラインです。
NIST SP 800-61は、2004年の初版公開以降、20年以上にわたりインシデント対応の“事実上の標準”として進化してきました。
特に2012年に公開されたRevision2は、CSIRTやSOCの設計・運用の基盤として多くの組織で採用されてきました。一方で、2025年4月に公開されたRevision3は、インシデント対応の位置づけそのものを再定義する内容となっています。
本ブログではその内容について説明します。初版及び各改訂版の違い・特徴は下表の通りですが、Revision3についてはRevision2からの違いに着目して後ほど詳述します。
|
バージョン |
公開日 |
タイトル |
主な更新・特徴 |
|
SP 800-61（初版） |
2004年1月16日 |
Computer Security Incident Handling Guide |
- NISTとして初めてインシデント対応を体系的に整理 |
|
Revision1（r1） |
2008年3月7日 |
Computer Security Incident Handling Guide |
- 現実的な運用を強く意識した改訂 |
|
Revision2（r2） |
2012年8月6日 |
Computer Security Incident Handling Guide |
- インシデント対応の①準備 / ②検知・分析 / ③封じ込め・根絶・復旧 / ④事後対応の4フェーズモデルを明確化 |
|
Revision3（r3） |
2025年4月3日 |
Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile |
- CSF 2.0 前提へ大きく構造転換 |
NIST SP 800-61 Revision3（以下、SP 800-61 r3）の最大の特徴は、インシデント対応を単独の運用プロセスとしてではなく、組織全体のサイバーセキュリティリスクマネジメントの一部として再定義した点にあります。
Revision2では、インシデント対応を「準備」「検知・分析」「封じ込め・根絶・復旧」「事後対応」の4フェーズで整理していました。一方、Revision3ではこの4フェーズモデルを中心に据えず、組織のガバナンスやリスクマネジメントと結び付いた継続的な活動として再整理されています。
NIST サイバーセキュリティフレームワーク 2.0を解説｜約10年ぶりの大幅改訂、押さえるべき要点とは？
その背景には、近年のサイバー攻撃が単なる技術的問題ではなく、事業継続、法規制対応、レピュテーション管理など経営課題そのものへと変化していることがあります。
このような考え方の変化を踏まえ、SP 800-61 r3における主な改訂ポイントは次の3点です。
以降では、この3点について、順に解説します。
SP 800-61 r3において象徴的な改訂の１点目が、従来のインシデント対応ライフサイクルモデルを前提としていない点です。
Revision2では、「準備」「検知と分析」「封じ込め・根絶・復旧」「事後対応」という明確な4フェーズモデルが示され、インシデント対応を時系列・工程管理的に捉える方法が広く普及していました。このRevision2のモデルは、CSIRTやSOCの立ち上げ・演習・手順策定において極めて実用的であり、現在も多くの組織の運用に深く根付いています。
一方、SP 800-61 r3では、この4フェーズモデルを前提とする構成は取らず、その代わりに、インシデント対応を「対応手順」ではなく、サイバーセキュリティリスクマネジメントの一部をなす全社的な意思決定行為として位置づけています。
この改訂は、「インシデント対応は発生後の対応プロセスである」という捉え方から、「平時のガバナンス・リスク管理・防御活動と連続したもの」として位置づけ直す試みと言えます。
結果として、インシデント対応は特定の局面だけで完結する活動ではなく、組織全体のサイバーセキュリティ管理プロセスに常時組み込まれるべきものとして再定義されています。
そうすることにより、インシデント事案の公表判断や業務停止など、経営判断を伴う対応を遅滞なく実施できる体制が期待されています。ここで言う「組織全体」とは、単なるIT部門の拡張ではなく、経営、事業部門、法務、広報など、リスクの発生・判断・影響に関与するすべての機能を含むことを意図しています。
出典：NIST「Incident Response | CSRC」（https://csrc.nist.gov/projects/incident-response）
SP 800-61 r3のもう一つの重要な特徴は、インシデント発生後の対応だけでなく、インシデント発生前の備えや組織的なリスク管理をより重視している点です。
Revision2にも「準備（Preparation）」という考え方は存在していました。しかし、それは主にインシデント対応体制の整備や手順書の作成といった、対応活動を円滑に進めるための運用面の準備が中心でした。
一方、Revision3では、インシデント対応力を高めるためには、平時からの組織的な取り組みが不可欠であるという考え方がより明確に打ち出されています。具体的には、以下のような要素が重要な基盤として位置付けられています。
これらはインシデント発生時の対応手順そのものではありません。しかし、組織が適切にリスクを把握し、迅速かつ一貫した意思決定を行うためには欠かせない要素です。
つまりRevision3では、「インシデント対応力は、有事の対応手順だけで決まるものではなく、平時からのガバナンスやリスク管理の成熟度によって左右される」という考え方が強く示されています。
この考え方を具体化するために、SP 800-61 r3ではNIST Cybersecurity Framework（CSF）2.0との対応関係が明確化されています。
従来のSP 800-61は、Cybersecurity Framework（CSF）やRisk Management Framework（RMF）と関連付けて活用できるガイドラインではあったものの、文書としては比較的独立した位置付けでした。一方、Revision3ではCSF 2.0の構造に沿って内容が整理されており、インシデント管理を組織全体のリスク管理活動の一部として捉える考え方がより鮮明になっています。
またRevision3では、インシデント管理をDetect/Respond/Recoverといった発生後の活動だけではなく、NIST CSF 2.0の6機能すべてに関係する活動として整理しています。
この再整理から読み取れる重要なメッセージは、インシデント管理の品質は事故発生後の現場対応だけで決まるものではなく、平時からどれだけ組織的にリスクを管理し、備えを整えているかによって大きく左右されるということです。「インシデント発生時に何をするか」ではなく、「インシデント発生前にどこまで備えられているか」に重きが置かれたことが、SP 800-61 r3の大きな変化の一つと言えます。
3つ目の大きな改訂ポイントは、文書が「具体的な対応手順を説明するガイド」から、「インシデント対応への考え方を示す文書」に変わった点です。
Revision2までは、「何を、どの順序で、どのように対応すべきか」を詳細に記載した、いわば実務ハンドブックとしての位置づけを担っていました。そのため、インシデント分類例、対応手順、分析観点、チェックリストなどが豊富に含まれ、現場レベルでの即時利用を強く意識した構成となっていました。
これに対し、SP 800-61 r3では、具体的手順を示すことは目的としておらず、インシデント対応を設計・運用するにあたって考慮すべき「推奨事項（Recommendations）」や「検討事項（Considerations）」が明記されています。つまり、How-toマニュアルから、判断を支える指針集への転換がなされたといえます。
Revision3の文書中では、各項目に「推奨事項（R：Recommendation）」「検討事項（C： Consideration）」「注記（N:：Note）」がマッピングされています。
注意したいのは、これらは優先順位や重要度を示すものではないという点です。R・C・Nは、「何を求めているか」が異なります。
|
表記 |
定義 |
|
|
R |
推奨事項 |
組織で実施すべきこと。 やるか・やらないか、やっていない場合はその理由を説明する必要がある。 |
|
C |
検討事項 |
組織で検討すべきこと。 やるか・やらないかよりも考えたかどうかが問われる項目 |
|
N |
注記 |
推奨事項と検討事項以外の追加情報。 各項目に記載されている内容を補足するための参考情報 |
特にRとCの違いは、「実施するべきこと」を示しているか、「考慮するべきこと」を示しているかにあります。
例えば、
「インシデント対応の役割と責任を定義する」
であれば、これは多くの組織に共通して必要となるため推奨事項（R）として記載されます。
一方、
「インシデント発生時にどの経営層が意思決定に関与するべきか」
は組織構造や事業特性によって答えが異なるため、検討事項（C）として示されます。つまり、推奨事項（R）は「実施すべきこと」を示し、検討事項（C）は「検討すべきこと」を示しています。
Revision2が「何をどう実施するか（How）」を説明する文書だったのに対し、Revision3は「何を実施し、何を考慮すべきか（What & Consider）」を示す文書へと変化しています。
NIST SP 800-61 r3では、前述の通りインシデント対応のリスク管理をするうえで、組織が実施・検討すべき事項がNIST CSF2.0に沿って定義されています。下図にRevision3に記載されているカテゴリの一つである「RS.MA（インシデント管理）」を例にどのように記載がされているか、また活用方法について解説します。
活用の流れとしては、まず優先度の高い項目から推奨事項（R）・検討事項（C）を確認し、自社で必要な準備や検討ができているかを点検します。対応が不十分な項目については、そのうえで対策方針を検討します。
Revision3がリリースされた今ユーザー側で懸念されることは、Revision2をベースに作成した文書をRevision3に合わせて全面改訂をすべきかという点でしょう。
NISTはRevision3を、Revision2の単純な改訂ではなく、CSF 2.0と連携した新たな参照体系として位置付けています。つまり、Revision2とRevision3の特徴を理解し、新たな上位文書の作成や、一部の更新をする必要はあるものの、必ずしも全面的な改訂は必要ではないということです。
多くの組織では、インシデント対応手順、CSIRT運用、演習シナリオ、教育資料などが
Revision2の4フェーズのモデル（①準備 / ②検知・分析 / ③封じ込め・根絶・復旧 / ④事後対応）を前提に構築されているケースが多く見られます。これは決して古いものというわけではなく、今なお現場運用においても有効です。
SP 800-61 r3は、こうしたRevision2ベースの実務を否定しているわけではなく、むしろ、Revision3は「その運用を、どの統治・どのリスク管理の文脈で位置づけるのか」を読み替えているものになります。
要するに、実務的には「我々のRevision2ベースの対応プロセスは、NIST SP 800-61 r3（CSF 2.0）のどの機能とどの責務に対応しているのか」を説明できる状態を作ることが、Revision3への適応と言えます。そのため、多くの組織に推奨すべきアクションとしては、次のような段階的対応です。
ここまで、NIST SP 800-61 r3およびその改訂の背景や内容について紹介しました。
NIST SP 800-61 r3はインシデント対応の「手順」を更新した文書ではなく、インシデント対応を、組織のサイバーセキュリティ・リスク管理の中でどう位置づけるかを示した文書です。
またRevision2からRevision3の改訂に伴い、インシデント対応をフェーズで整理する構成からは大きく変化しましたが、重要なのは、Revision3はRevision2ベースの内容を否定していないということです。そのため、SOCやCSIRTの日常的な対応業務が、直ちに変わるわけではないというのは理解しておく必要があります。
Revision3は「やり方を変える文書」ではなく、これまでの対応を、リスク管理の視点で見直し、説明し直すための文書です。
既存のインシデント対応文書がRevision2をベースに整備されている場合でも、直ちに全面的な改訂が必要になるわけではありません。ただし、「自社の対応プロセスがRevision3のどの機能・どの責務に対応しているのか」を整理しておくことは、有事の意思決定を円滑にするうえで有効です。こうしたギャップの整理や文書体系の見直しについてご検討の際は、NRIセキュアテクノロジーズにお気軽にお問い合わせください。