NIST RMF プロセスの概要

NIST RMF ナビゲーション構造は、分類、選択、実装、アセスメント、認可、および監視のアクティビティを通じて NIST セキュリティコントロールの管理を容易にします。これらのセキュリティコントロールは、NIST 800-37.r1 特別出版物で説明されています。

注:

バージョン 10.1.0 以降、NIST RMF Use Case Accelerator は現在製品を使用している顧客に対してのみサポートされます。新規および既存のお客様は、GRC： Continuous Authorization Monitoring アプリケーションの使用を検討してください。詳細については、「継続的な承認とモニタリング」を参照してください。

NIST RMF プロセスの概要

1. リスク担当役員および/またはセキュリティ責任者は、ターゲットを分類します。
2. リスク担当役員、セキュリティ責任者および/またはコントロールプロバイダーは、ベースラインコントロール定義を選択します。
3. リスク担当役員および/またはセキュリティ責任者は、ベースラインセキュリティコントロールを実装します。
4. セキュリティアクセサー、リスク担当役員、および/またはセキュリ責任者は、セキュリティコントロールを評価します。
   1. 問題を管理して対処します
   2. 修復タスクを管理して対処します
5. 認定担当者、リスク担当役員および/またはセキュリティ責任者は、ターゲットを認可します。
6. リスク担当役員および/またはセキュリティ責任者は、セキュリティコントロールを監視します。
   1. インジケーターをレビューして管理します
   2. NIST RMF 概要ダッシュボードを監視します

• ターゲットを分類する
  NIST RMF アプリケーション内の [分類] セクションは、予備的なリスクアセスメントと影響分析を通じてターゲットの分類を容易にします。
• ベースラインコントロール定義を選択する
  NIST RMF アプリケーション内の [選択] セクションは、ベースラインコントロール定義の初期セットのレビューに重点を置いています。組織の要件に基づいてコントロール定義にタグ付けし、それらをカスタマイズすることもできます。
• セキュリティコントロールを実装する
  NIST RMF アプリケーション内の [実装] セクションは、ベースラインセキュリティコントロールの物理的な実装に重点を置いています。NIST RMF アプリケーションには、ターゲットまたはその運用環境で既に使用されている他の標準セキュリティコントロールが含まれている場合もあります。
• コントロール、リスク、問題、および修復タスクを評価する
  NIST RMF アプリケーション内の [評価] セクションでは、セキュリティコントロール証明書の実行、コントロールの有効性の評価、関連付けられたリスクと問題の管理、および修復タスクの実行を行います。
• ターゲットを認可する
  NIST RMF アプリケーション内の [認可] セクションには、コンプライアンスとリスク体制に基づくターゲットの認可が含まれます。
• セキュリティコントロールを監視する
  NIST RMF アプリケーション内の [監視] セクションでは、ターゲットのセキュリティコントロールを継続的に監視して、それらまたは運用環境の変更を文書化し、関連付けられた変更のセキュリティ影響分析を実施して、指定された担当者にセキュリティステータスをレポートします。