日本企業がNISTに対応すべき背景や理由をサイバーセキュリティ専門家の西尾氏が解説した前編はこちらへ
ISO27001からNIST SP800-171へ セキュリティ対策がシフト
多摩大学 ルール形成戦略研究所 首席研究員 西尾素己氏（写真右）
本田：かつてセキュリティ対策はISO 27001（ISMS認証）が中心でしたが、近年ではNIST（アメリカ標準技術研究所）文書やCSF（サイバーセキュリティフレームワーク）へとシフトしてきています。しかしNISTは自己宣言で認証はないため、自社のシステム構成に照らし合わせ、取捨選択しなくてはいけません。これはハードワークだと思います。
西尾：そうですね。企業ごとに内容やレベルが異なるでしょう。自己宣言とはいえ、事故が起きてから準拠していないと判明したら厳しく処分されます。
本田：アメリカではどう対処しているのでしょうか。日本では人材面で追いつかないという危機感があります。
西尾：アメリカではセキュリティ人材の頭数を揃えるのは不可能だと判断しています。その代わりにクラウドを活用します。主要クラウドベンダーには数千人ものセキュリティのスペシャリストが運用管理しています。こうしたパブリッククラウドに人材を集中させ、みんなはこれに乗ればいいという考えです。もともとクラウド利用の文化があったのもあり、NIST SP800-171対応クラウドへの移行も進んでいます。
一方、日本ではSIer主導で複雑にカスタマイズしているため内部が把握できず、クラウド移行が難しい状況です。一時はアメリカのFedRAMP（連邦政府によるリスクや認証管理の認定）を参考に日本版FedRAMP、つまり国内ベンダーでFedRAMP同等のセキュリティレベルのサービスを提供できるようにと動いていましたが、価格帯が釣り合わず、ほぼ実現には至っていません。
本田：結局、どうなるのでしょうか。
西尾：日本版FedRAMPについての結論は出ました。2020年2月、日本政府は今後運用開始する政府共通プラットフォームでAWSを採用することを発表したからです。AWSとはいえ、日本のリージョンを使いますし、日本法人が対応するので「それに乗る」と。もう「国の情報だから国産ベンダーでないと」という時代は終わりました。セキュリティ水準を満たせなければ国産でもダメだということです。国内企業もこうした動きに続くでしょう。
本田：自社で実現できなければ適材適所でアウトソースすることは悪くなくて、むしろ賢いアプローチかと思います。
西尾：あるコンサルティングファームの北米におけるサイバーセキュリティ事業では収益の多くをSOC（セキュリティオペレーションセンター）が占めています。24時間365日の監視体制など、NISTの要件を満たしたサービスを提供しています。これを自社独自に運用するのは現実的ではないので、アウトソースが進んでいます。アメリカでは同様の監視系サービスが上場すると買いが殺到する状況です。
