はじめに
「うちの会社も、そろそろ何かしらのセキュリティフレームワークに沿った体制を整えないと」
そう思いながらも、NIST CSFやISO 27001といった名前を見るだけで手が止まってしまう。そんな一人情シスの方は多いのではないでしょうか。
大手企業向けの重厚な基準をそのまま中小企業に当てはめようとして、途中で挫折してしまうケースをこれまで何度も見てきました。
実はこの「フレームワーク選びの難しさ」自体が、ここ数年で様変わりしていることをご存知でしょうか。調査会社のIDCが2026年7月、AIと量子コンピュータの時代を踏まえたセキュリティフレームワーク選定の指針を公表しました（ITmedia エンタープライズ）。今回は、その内容をもとに、中小企業が押さえておくべきポイントを整理します。
これまでの「フレームワーク選び」は何が違ったのか
IDCの分析によると、これまでのフレームワーク選定は「業界の慣習に合わせて、有名な基準をそのまま採用する」という発想が主流でした。NIST CSFやISO 27001といった定番の基準から選んでおけば、大きく外すことはない、という考え方です。
ですが2022年以降、選定の前提を根本から変える構造変化が4つ起きたとIDCは指摘しています。この変化を理解しないままフレームワークを選んでしまうと、せっかく体制を整えても実態に合わない「作っただけ」の仕組みになりかねません。
4つの変化を、噛み砕いて解説します
1. NIST CSF 2.0への刷新
米国の標準化機関NIST（National Institute of Standards and Technology）は2024年2月、サイバーセキュリティフレームワーク（CSF）を10年ぶりに大幅改定しました。新たに「Govern（統治）」という機能が追加され、セキュリティは現場の運用担当だけの話ではなく、経営レベルのガバナンス課題として位置づけられるようになっています。
2. DORAの全面適用
DORA（Digital Operational Resilience Act、EUのデジタル運用レジリエンス法）は2025年1月に全面適用となりました。EU域内の金融機関と取引する企業には、ICTリスク管理やサードパーティ管理の枠組みが求められます。直接の取引がなくても、サプライチェーンの先にEU企業が絡む場合は無関係ではいられません。
3. PQC（耐量子暗号）の標準化
NISTは2024年8月、量子コンピュータによる暗号解読に備えたPQC（Post-Quantum Cryptography、耐量子暗号）の標準規格を確定しました。量子コンピュータの実用化自体はまだ先の話とされていますが、「今のうちに暗号化して盗んだデータを、将来の量子コンピュータで解読する」というHNDL（Harvest Now, Decrypt Later）と呼ばれるリスクが既に指摘されています。長期保存が必要な重要データを扱う企業は、他人事ではありません。
4. AIによる新たなリスク
NISTは2025年12月、AIリスクをCSF 2.0にどう組み込むかを示した「Cyber AI Profile」を公開しました。生成AIを業務に取り入れている組織は、AIガバナンスをフレームワーク選びの判断材料に加える必要が出てきています。攻撃側もAIを使った巧妙なフィッシングメールの生成など、悪用の動きが進んでいると指摘されています。
中小企業がやるべき3つの勘どころ
これだけの変化をすべて完璧に反映させようとすると、中小企業の限られたリソースでは現実的ではありません。IDCも「組織の成熟度を超える枠組みを選んでも定着しない」と述べています。ここでは実践しやすい3つのポイントに絞ります。
勘どころ1：重要情報資産の分類から始める
いきなりフレームワーク全体を採用しようとせず、まずは「何を守りたいのか」を洗い出すところから始めます。顧客情報、決算データ、取引先とのやり取りなど、優先度をつけて分類しておくと、後の判断がぐっと楽になります。
勘どころ2：規制対象かどうかで道筋を分ける
自社がDORAのような特定の規制の対象になるかどうかを、まず確認しましょう。対象でなければ、IDCが薦めるように、比較的軽量な「CIS Controls v8 Implementation Group 1」のような、中小企業向けに設計された基準から始めるのが現実的です。
勘どころ3：AIの利用状況を棚卸しする
社内でどんな生成AIツールが、どんな業務で使われているかを一度棚卸ししてみてください。従業員が個人判断で導入している「シャドーAI」も含めて把握しておくことが、AIガバナンスの第一歩になります。
落とし穴——「とりあえず有名な基準を選ぶ」は逆効果
IDCが強調しているのは、自社の成熟度を超えた枠組みや、法令要件を十分反映しない枠組み、サプライチェーンのリスクを見落とす枠組みを選ぶと、組織に定着した「シンプルな枠組み」よりも成果が劣るという点です。名前の知名度だけでフレームワークを選んでしまうと、現場が形骸化した運用に疲弊し、結局続かなくなるリスクがあります。
背伸びしすぎず、自社の体力に合った基準から始めて、必要に応じて拡張していく。これが遠回りに見えて、実は一番着実な進め方です。
まとめ
セキュリティフレームワーク選びは、もう「有名な基準を選んでおけば安心」という時代ではなくなりました。NIST CSF 2.0のガバナンス強化、DORAの適用範囲拡大、PQCの標準化、AIによる新たなリスク。この4つの変化を踏まえたうえで、自社の情報資産と規制対象かどうかを基準に、無理のない枠組みを選ぶことが、これからの実践的なアプローチになりそうです。
