NIST SP80053とSP800171の違いは何ですか？

NIST SP800-53 SP800-171 違い：1,000以上 vs 110項目の管理策

政府機関向けの高度な基準と民間企業向けのガイドラインでは、求められる対策の規模が大きく異なります。NIST SP800-53 SP800-171 違いを理解することは、自社に必要なセキュリティ水準を正しく見極め、過剰な投資や対策漏れを防ぐために不可欠です。

NIST SP 800-53とSP 800-171の本質的な違いとは何か？

NIST SP 800-53とSP 800-171の最大の違いは、保護する対象のシステムや組織、そして情報の種類にあります。一言で言えば、SP 800-53はNIST基準 民間企業 政府 機関の全体像に関わる米国の政府機関向けに設計された網羅的なセキュリティ基準であり、SP 800-171は政府と取引する民間企業向けの管理対象非機密情報（CUI）を保護するための基準です。

多くのエンジニアやセキュリティ担当者が最初に直面する疑問がこれです。なぜ似たような名前の基準が複数存在するのでしょうか。理由は明確で、求めるセキュリティの厳格さと適用先が完全に分かれているからです。ここを混同すると、無駄なコストを支払うことになります。

保護対象の情報と対象組織の線引き

SP 800-53が想定するのは、連邦政府機関が保有し運用するあらゆる情報システムです。国家機密や重要インフラ、行政データなど、リスクの大小を問わず政府全体をカバーしています。これに対してSP 800-171がターゲットにしているのは、CUI とは NISTの定義による管理対象非機密情報と呼ばれる情報です。

CUIとは、最高機密ではないものの、漏洩すれば国の安全保障や経済活動に悪影響を与える情報のことを指します。防衛装備品の設計図や仕様書などが典型例です。つまり、政府機関そのものが使うか、あるいは政府と取引するサプライチェーン上の民間企業が使うかという点が、二者を分ける最初の分水嶺になります。

親子関係にある2つの基準と管理策のボリューム

この2つの基準はまったく無関係に作られたわけではありません。SP 800-171は、巨大なマスターカタログであるSP 800-53から、民間企業が自社のシステムでCUIを保護するために最低限必要な要素だけを抽出して作られた派生版、いわばSP800 53 SP800 171 関係で言えば「子」にあたる存在です。本質的なセキュリティの思想は共通しています。

1,000以上のコントロール対110の要件

ボリュームの差は圧倒的です。SP 800-53（Rev.5など）は、組織のあらゆる側面を網羅しているため1,000以上のコントロールを含んでおり、コストや手間を度外視して完璧な防御を目指す高度な内容が含まれています。民間企業が自社システムにこれら全てをそのまま導入するのは、現実的に考えてほぼ不可能と言えます。^[1]

一方のSP 800-171は、民間企業が既存 of IT環境に無理なく適用できるよう配慮されており、SP800-171 項目数 違いを見てもセキュリティ要件は110項目に絞り込まれています。要求水準についても、SP 800-53の中（Moderate）水準をベースとして原則一律に適用されるため、対策のゴールが見えやすいという特徴があります。^[2]

どちらの基準を自社で意識すべきか？実務上の判断基準

防衛省や米国国防総省（DoD）などのサプライチェーンに連なる企業にとって、実務上直接的に求められるのは基本的にSP 800-171です。NIST SP800 171 とは 簡単に言えば民間企業に求められる基準であり、CMMC（サイバーセキュリティ成熟度モデル認証）などの制度に対応する際も、このSP 800-171の要件がベースとなります。

しかし、その背景にあるより高度なセキュリティフレームワークの根底を理解したい場合や、政府基準に準拠した強固なシステムアーキテクチャをゼロから構築する場合には、親にあたるSP 800-53を参照することが不可欠になります。対象とするシステムの範囲や、参照すべきガイドラインのバージョンをあらかじめ確認しておくことが、プロジェクト成功の鍵を握ります。

NIST SP 800-53とSP 800-171の比較

両者の違いを理解するために、対象組織や情報、管理策のボリュームなどを多角的に比較します。

NIST SP 800-53

• セキュリティ管理策のマスターカタログ（親）
• システムの重要度（低・中・高）に応じて変動
• 連邦政府機関、および政府の基幹システムを運用する受託業者
• 政府が保有する全ての情報（機密情報から低リスク情報まで）
• 非常に膨大（Rev.5では1,000以上のコントロール）

NIST SP 800-171

• SP 800-53から民間向けに抜粋・最適化したもの（子）
• 原則として一律（SP 800-53の中水準がベース）
• 民間企業（防衛産業をはじめとする政府のサプライチェーン企業）
• CUI（管理対象非機密情報）※重要だが国家機密ではない情報
• 比較的軽量（110のセキュリティ要件）

SP 800-53が政府全体をカバーする巨大なマスターカタログであるのに対し、SP 800-171は民間企業が現実に対応可能な110項目に絞り込まれた派生版です。自社の立ち位置がサプライチェーンにある場合は、原則として171を意識することになります。

防衛産業サプライチェーン企業A社のセキュリティ対応

A社は、米国防総省向けの部品を納入する日本の製造業のパートナー企業です。ある日、調達要件としてセキュリティ基準への準拠を求められ、社内は大混乱に陥りました。

最初は膨大なSP 800-53の文書をすべて読み込もうとしましたが、1,000項目を超える管理策の多さにエンジニアたちが疲弊し、どこから手をつければいいのか分からない状態に陥りました。

そこでコンサルタントの助言を受け、自社が扱うべき対象がCUIに限定されていることに気づき、参照する基準をSP 800-171へと切り替えました。

要件を110項目に絞り込んだことで対策のロードマップが明確になり、6ヶ月かけてアクセス制御やログ監視を整備し、無事に要件をクリアすることに成功しました。