Framework Explained · CISA CPG 2.0
CISA CPG 2.0 早わかり解説
米国 CISA（Cybersecurity and Infrastructure Security Agency／サイバーセキュリティ・インフラセキュリティ庁。米国の重要インフラ防護を担う政府機関）が2025年12月に改訂した CPG 2.0（Cross-Sector Cybersecurity Performance Goals／分野横断サイバーセキュリティ・パフォーマンス目標） を、日本の実務者向けに整理した解説。専門用語には初出時に注釈を付し、巻末に用語集をまとめた。
発行：CISA（米国）
改訂：2025年12月11日
性格：任意・最低ライン・優先順位付き
対象：重要インフラ全16分野（IT／OT）
Contents
1 CPG とは何か — 3行でいうと
重要インフラ事業者が「最低限これだけはやるべき」対策を絞り込んだリスト。 網羅的な規格ではなく、実害の大きい脅威に効く少数の実践に意図的に絞ってある。任意（voluntary）の推奨 であり、法的義務ではない。ただし米国では事実上の共通言語になりつつあり、監査・保険・取引先評価の物差しとしても参照される。各ゴールに「コスト」「効果」「導入のしやすさ」の格付け が付いており、予算も人手も限られた中小規模の組織が優先順位を決めるための道具 として設計されている。
誰のためのものか： CISA は、大企業の成熟したセキュリティ部門よりも、専任者がいない・少ない組織（本ライブラリの想定でいえば「兼任3名」のような体制） が「どこから手を付けるか」を決められない問題を解決するために CPG を作ったと明言している。フレームワーク疲れへの処方箋である。
2 他のフレームワークとの関係CPG は独立した規格ではなく、既存フレームワークの「入口」または「ダイジェスト」に位置付けられる。
フレームワーク CPG との関係
NIST CSF 2.0 （NIST サイバーセキュリティフレームワーク／米国立標準技術研究所が定める、組織のサイバーリスク管理の枠組み）CPG 2.0 は CSF 2.0 の6機能（統治・識別・防御・検知・対応・復旧）に沿って再編されており、「CSF の中から最優先の実践だけを抜き出した最初の一歩」 という関係。各ゴールは CSF のサブカテゴリに対応付けられている。 分野別パフォーマンス目標（SSG） CPG は全16分野共通の「横串」。エネルギー・水道など分野固有の目標は、分野リスク管理機関（SRMA）が別途発行し、CPG の上に積む構造。 CIS Controls （Center for Internet Security が発行する具体的な技術対策集）粒度が近い民間版。CPG は「何を」に絞り、CIS Controls は「どうやるか」が厚い。併用しやすい。 日本の枠組み （NISC 行動計画・安全基準等策定指針、経産省サイバーセキュリティ経営ガイドライン）法的位置付けは異なるが、思想は同じ「重要インフラの最低ライン＋経営の関与」。日本の重要インフラ事業者が CPG を読む価値は、優先順位付けの物差し（格付け）と、IT/OT を一体で扱う視点 にある（→ 7章 ）。
3 CPG 2.0 で何が変わったか（1.0.1 → 2.0）
変更点 内容と意味
① NIST CSF 2.0 への整合 従来の5機能（識別〜復旧）に「統治（Govern） 」が加わり6機能構成に。経営層の説明責任・リスク管理・戦略への組み込み が独立した目標群になった。「セキュリティは情シス任せ」からの脱却を最低ラインに含めたのが最大の思想変更。 ② IT と OT の統合 OT（Operational Technology／工場・プラント・設備を動かす制御系システム。情報系＝IT と対比される）専用だった目標を汎用目標に統合し、1つの枠組みで IT と OT の両方を評価できる ようにした。制御系を持つ事業者が「別々の基準を読み比べる」負担を解消。 ③ 格付けの整備 各ゴールにコスト（Cost）・効果（Impact）・導入のしやすさ（Ease of Implementation） の評価が付き、小規模組織が投資順序を決めやすくなった（→ 6章 ）。 ④ 4つの新ゴール追加 MSP 等サードパーティのリスク管理、最小権限（横移動対策）、プログラムの継続的見直し、インシデント時の連絡手順。近年の実際の侵害パターンの反映 （→ 5章 ）。 ⑤ 整理・統合 既存ゴールの重複を統合・再番号化し、全体をスリム化。チェックリストとしての使い勝手を優先した改訂。
4 6つの機能と主なゴールCPG 2.0 は NIST CSF 2.0 と同じ6機能で構成される。ここでは各機能の狙いと、代表的なゴールの内容を紹介する（正式なゴール番号・全文は CISA の原文 PDF を参照。→ 9章 ）。
GOVERN
統治 — 経営が持ち場を持つ
セキュリティ責任者の任命 ：組織のサイバーセキュリティに責任を持つリーダーを明確に指名し、経営層への報告経路を持たせる。OT を持つ組織は OT 側の責任者も明確化。経営レベルのリスク管理 ：サイバーリスクを事業リスクとして扱い、予算・訓練・意思決定に組み込む。サプライチェーン／ベンダー管理 ：調達時にセキュリティ要件を契約へ盛り込む。MSP（Managed Service Provider／システム運用を受託する外部事業者）等のリスク管理は新ゴールとして独立（→ 5章）。脆弱性の受付窓口 ：外部の研究者などから脆弱性（システムの欠陥・弱点）の報告を受け付ける仕組み（VDP：Vulnerability Disclosure Policy／脆弱性開示ポリシー）を持つ。
IDENTIFY
識別 — 守るものを知る
資産インベントリ ：IP アドレスを持つ全資産（OT 機器を含む）の台帳を最低でも月次で更新。「知らない機器は守れない」の徹底。既知の悪用済み脆弱性の是正 ：CISA の KEV カタログ（Known Exploited Vulnerabilities／実際に攻撃に使われたことが確認された脆弱性の公式リスト）に載った脆弱性を優先的に修正する。「CVSS スコア（脆弱性の深刻度を 0〜10 で示す指標）が高い順」より実戦的な優先順位付け。ネットワーク構成の文書化 ：ネットワーク図・機器設定を最新に保ち、インシデント対応時に「今の姿」が分かる状態にする。
PROTECT
防御 — 侵入と拡大を防ぐ（最多のゴール群）
アカウントの基本衛生 ：初期パスワードの変更／十分な長さのパスワード／アカウントの使い回し禁止／退職者の即時無効化／一般アカウントと特権アカウント（管理者権限を持つアカウント）の分離。MFA （Multi-Factor Authentication／多要素認証。パスワードに加えアプリ通知や生体認証など複数の要素で本人確認する仕組み）：可能な資産すべてに適用。フィッシング耐性 MFA （FIDO2 等、偽サイトに入力しても突破されない方式）を最上位として推奨。基礎訓練 ：全職員への年次セキュリティ教育と、OT 担当者向けの追加教育。データ保護 ：保存・通信の暗号化（強い方式への機動的な移行を含む）、認証情報（パスワード等）を平文で放置しない。メール防御 ：なりすまし対策（DMARC：ドメインを詐称したメールを受信側が排除できるようにする送信ドメイン認証の仕組み）等の整備。攻撃面の縮小 ：Office マクロ（文書ファイルに埋め込まれる自動実行プログラム。マルウェア感染の定番経路）の既定無効化、許可されていない機器・ソフトの接続統制、インターネットに悪用可能なサービスを公開しない （RDP：Windows の遠隔操作機能 等の直接公開の禁止）。セグメンテーション （ネットワークを役割ごとに区画分けし、区画間の通信を制限する設計）：特に IT と OT の分離。最小権限による横移動対策は新ゴールとして強化 （→ 5章）。ログの収集と安全な保管 ：後の調査に耐えるよう、改ざんされにくい場所に一定期間保存する。バックアップ ：本番系から隔離された定期バックアップ（ランサムウェア＝データを暗号化し身代金を要求する攻撃への最後の砦）。
DETECT
検知 — 攻撃の兆候に気付く
関連する脅威と TTP の検知 （TTP：Tactics, Techniques and Procedures／攻撃者の戦術・技術・手順。攻撃の「手口」の体系的な呼び方）：自組織・自分野を狙う手口を把握し、それを検知できる仕組み（EDR：Endpoint Detection and Response／PC・サーバー上の不審な挙動を検知し対処する仕組み 等）と体制を持つ。検知の担い手は自組織の SOC（Security Operation Center／サイバー攻撃の検知・分析などを行う組織）でも、外部委託（MDR：Managed Detection and Response／検知と初動対応を代行する外部サービス）でもよい——CPG は「検知が回っていること」を求めるのであって、内製を求めるわけではない 。
RESPOND
対応 — 起きたときに動ける
インシデント報告 ：法令・契約・当局（米国では CISA、日本では所管省庁等）への報告手順と期限を平時に整理しておく。インシデント対応計画（IR 計画） ：役割分担・初動手順・エスカレーション基準を文書化し、演習で検証する。連絡手順 ：社内・取引先・委託先との緊急連絡経路は新ゴールとして独立（→ 5章）。
RECOVER
復旧 — 事業を戻す
復旧計画の整備と実行 ：バックアップからの復元を含む復旧手順を文書化し、実際に戻せることを演習で確認 する。復旧の優先順位（どの業務から戻すか）を事業部門と平時に合意しておくことが要点。
5 新設された4つのゴール — 2.0 の「時代認識」追加された4つは、近年の重大インシデントの反省がそのまま形になっている。自組織への当てはめ方まで含めて読む。
NEW 1.B プログラムの継続的見直し（Proactive Program Management）セキュリティ対策を「一度作って終わり」にせず、脅威の変化に応じて経営層が戦略を見直し続ける ことを求める統治系ゴール。年1回のリスク評価と経営報告をサイクル化していれば実質的に満たせる。
NEW 1.E サードパーティ（MSP 等）のリスク管理システムの深部にアクセスできる外部事業者——MSP、保守ベンダー、クラウド事業者——のリスクを、契約開始から終了まで継続的に把握・評価・監視する ことを求める。背景には、MSP を踏み台に多数の顧客が同時侵害されるサプライチェーン攻撃（取引先や委託先を経由して標的に侵入する攻撃）の頻発がある。実務では：
ベンダー用アカウントの個別化＋MFA＋利用時のみ有効化＋操作ログ。
保守用リモート接続（VPN・遠隔保守回線）の常時接続を廃止。
契約に「インシデント時の通知義務・時限」を明記。
NEW 3.H 最小権限の徹底 — 横移動を止める最小権限（least privilege／業務に必要な最小限の権限だけを与える原則）を徹底し、侵入した攻撃者の横移動（lateral movement／1台目の侵害端末を足場に、ネットワーク内の他の端末・サーバーへ次々と移っていく行動）を困難にする ことを求めるゴール。ゼロトラスト（「社内ネットワークだから信頼する」をやめ、すべてのアクセスを毎回検証する設計思想）の原則を、ゼロトラストに全面移行していない組織でも取り込める形 で最低ラインに落とし込んだのが特徴。OT 環境にも適用される（実装方法は IT と異なることを CISA も認めている）。実務では：
管理者アカウントと日常アカウントの分離、管理用端末の分離。
セグメント間・端末間の管理プロトコル（RDP/SMB 等）の制限。
「境界の内側でも権限は検証する」文化への一歩＝ゼロトラストへの布石。
NEW 5.A インシデント時の連絡手順（Incident Communication Procedures）危機の最中に「誰が・誰に・何を・どの経路で」伝えるかを平時に決めておく ことを求める対応系ゴール。社内エスカレーション、取引先・委託先への通知、当局報告、そして通常の連絡手段（メール等）が使えない場合の代替経路 まで含む。ランサムウェア被害でメール基盤ごと停止し、連絡網が機能しなかった事例への直接の反省。
6 格付け（コスト・効果・容易性）の使い方CPG 2.0 の最大の実務的価値は、ゴールごとの格付けを使って「安くて・効いて・すぐできる」順に並べ替えられる こと。
コスト（Cost） ：導入・維持に必要な投資の目安。効果（Impact） ：実際の攻撃をどれだけ止めるか・被害をどれだけ減らすか。導入のしやすさ（Ease of Implementation） ：技術的・組織的な難易度。
推奨する使い方（小規模チーム向け）
全ゴールを「已実施／一部／未実施」で自己評価する（半日あればできる粒度しかない）。
未実施のうち「効果：高 × コスト：低」を先頭に 並べる。初期パスワード変更・MFA・マクロ無効化・特権分離あたりが典型的にここに入る。
「効果：高 × コスト：高」（EDR 導入・セグメンテーション等）は予算計画に載せ、経営説明には CPG の格付けをそのまま根拠として使う。
四半期ごとに再評価し、達成率の推移を経営指標にする。
7 日本の組織での使い方
そのまま準拠宣言する必要はない ：日本の重要インフラ事業者の第一義は NISC・所管省庁の枠組み。CPG は「優先順位を決める内部の道具」「グローバル取引先への説明資料」として使うのが現実的。自己評価チェックリストとして ：CPG は1ゴール1文の粒度なので、Excel 1枚の自己評価表にしやすい。年次の内部監査・経営報告の土台に向く。OT を持つ事業者ほど価値が高い ：IT/OT を1つの物差しで評価できる枠組みは日本語圏にまだ少ない。工場・プラント・設備系を抱える組織は4章の各ゴールを OT 側にも当てて読む。読み替えの注意 ：インシデント報告先（米国は CISA への報告）は、日本では所管省庁・NISC・JPCERT/CC（日本のインシデント対応調整機関）・警察に読み替える。
8 用語集本文に登場した専門用語のまとめ。形式：用語（正式名称／解説）。
CISA Cybersecurity and Infrastructure Security Agency／米国の重要インフラ防護とサイバーセキュリティを担う政府機関（国土安全保障省の傘下）。
CPG Cross-Sector Cybersecurity Performance Goals／重要インフラ全分野に共通する「最低限やるべき」セキュリティ目標集。任意の推奨。
NIST CSF NIST Cybersecurity Framework／米国立標準技術研究所が定めるサイバーリスク管理の枠組み。2.0 で統治（Govern）機能が追加された。
OT Operational Technology／工場・プラント・電力設備などの物理的な装置を制御する技術・システム。情報系（IT）と対比される。
SOC Security Operation Center／サイバー攻撃の検知・分析などを行う組織。自社設置と外部委託がある。
MDR Managed Detection and Response／EDR 等を用いた脅威の監視・検知・初動対応を24時間体制で代行する外部サービス。
EDR Endpoint Detection and Response／PC・サーバー（エンドポイント）上の不審な挙動を記録・検知し、隔離などの対処を行う仕組み。
SIEM Security Information and Event Management／各機器のログを集約し、相関分析して攻撃の兆候を見つける基盤。
MFA Multi-Factor Authentication／多要素認証。パスワードに加え、アプリ通知・ハードウェアキー・生体情報など複数の要素で本人確認する仕組み。フィッシング耐性 MFA（FIDO2 等）が最も強い。
MSP Managed Service Provider／システムの運用・保守を受託する外部事業者。深い管理権限を持つため、侵害されると顧客側へ波及する。
KEV カタログ Known Exploited Vulnerabilities Catalog／実際に攻撃での悪用が確認された脆弱性を CISA が列挙する公式リスト。パッチ優先順位付けの実戦的な基準。
CVSS Common Vulnerability Scoring System／脆弱性の深刻度を 0〜10 の数値で表す国際的な指標。
TTP Tactics, Techniques and Procedures／攻撃者の戦術・技術・手順。攻撃の「手口」を体系的に整理した呼び方（MITRE ATT&CK 等で分類される）。
DMARC Domain-based Message Authentication, Reporting and Conformance／自社ドメインを詐称したなりすましメールを、受信側が検出・排除できるようにする送信ドメイン認証の仕組み。
VDP Vulnerability Disclosure Policy／脆弱性開示ポリシー。外部の発見者が脆弱性を安全に報告できる窓口とルール。
RDP Remote Desktop Protocol／Windows の画面を遠隔操作するための仕組み。インターネットへの直接公開はランサムウェアの定番侵入口。
セグメンテーション ネットワークを役割ごとの区画（セグメント）に分割し、区画間の通信を必要最小限に制限する設計。侵害の拡大を防ぐ。
最小権限 Least Privilege／利用者・システムに業務上必要な最小限の権限だけを与える原則。
横移動 Lateral Movement／攻撃者が最初に侵害した端末を足場に、ネットワーク内の別の端末・サーバーへ移動していく行動。
ゼロトラスト Zero Trust／「社内ネットワークの内側だから信頼する」という前提を捨て、すべてのアクセスを毎回検証する設計思想。
ランサムウェア Ransomware／データを暗号化するなどして使用不能にし、復旧と引き換えに身代金（ransom）を要求するマルウェア。
サプライチェーン攻撃 Supply Chain Attack／取引先・委託先・ソフトウェアの供給元など「信頼された第三者」を経由して標的組織へ侵入する攻撃。
インシデントレスポンス（IR） Incident Response／セキュリティ事故発生時の検知・封じ込め・復旧・報告までの一連の対応活動。
SRMA Sector Risk Management Agency／米国で重要インフラの各分野を担当するリスク管理機関（エネルギー省・環境保護庁など）。分野別の目標を発行する。
JPCERT/CC Japan Computer Emergency Response Team Coordination Center／日本のインシデント報告受付・対応調整機関。
9 参考資料本解説は 2.0 公開時点の公開情報に基づく要約であり、個々のゴールの正式な文言・番号・格付けは必ず CISA の一次資料で確認すること。