正解：ウ
各選択肢の解説
ア識別（Identify）
誤り。識別は、資産やサプライヤを把握し、組織の現在のサイバーセキュリティリスクを 理解する機能です。旧版の資料には統治の機能が無いので、近そうな識別に入れたく なりますが、リスクを「把握する」のと、戦略や方針を「決めて監視する」のは別です。
イ防御（Protect）
誤り。防御は、リスクを管理するためのセキュリティ対策（セーフガード）を 実際に使う機能です。方針に沿って対策が行われる点で関係はありますが、 方針そのものを定める取組ではなく、対策を実施する側の機能です。
ウ統治（Govern）
正解。統治は、組織のサイバーセキュリティリスクマネジメントの戦略・期待・方針が 確立され、伝達され、監視される機能です。CSF 2.0 で新たに加わった6つ目の機能で、 旧版の5機能の資料には出てきません。
エ対応（Respond）
誤り。対応は、検知されたサイバーセキュリティインシデントに対して行動をとり、 影響を抑える機能です。経営層の関与は事故の場面でも求められますが、 平時に戦略や方針を定めて監視する取組は、インシデント発生後の対応とは別です。
理解を深めるために
2.0 で「決めて監視する」機能が独立した
NISTサイバーセキュリティフレームワーク（CSF）は、米国国立標準技術研究所（NIST）が 示す、サイバーセキュリティのリスク管理の枠組みです。2024年2月に公開された 2.0 では、 機能が5つから6つになり、統治（Govern） が加わりました。 チームにたとえると、試合で動く選手（識別・防御・検知・対応・復旧）に加えて、 作戦を決めて選手の動きを見守る監督の役割が、はっきり1つの機能として書かれた形です。
6つの機能
IPAの日本語訳では、6つの機能は次のように説明されています（要約）。
- 統治: リスクマネジメントの戦略・期待・方針が確立され、伝達され、監視される
- 識別: 組織の現在のサイバーセキュリティリスクを理解する
- 防御: リスクを管理するためのセキュリティ対策を使う
- 検知: 攻撃や侵害の可能性を発見し、分析する
- 対応: 検知したインシデントに対して行動をとる
- 復旧: インシデントの影響を受けた資産や業務を元に戻す
統治は、残りの5つの機能で何をどの順に達成するかを方向づける位置にあります。 また 2.0 は、重要インフラに限らず、規模や業種を問わずすべての組織を対象としています。
混同しやすいものとの違い
| 機能 | 中身 | 時間軸 |
|---|---|---|
| 統治（Govern） | 戦略・方針を定め、伝え、監視する | 平時の方向づけ |
| 識別（Identify） | 資産とリスクを把握する | 平時の現状把握 |
| 防御（Protect） | 対策を実施する | 平時の守り |
| 対応（Respond） | 検知したインシデントに行動する | 事故の発生後 |
旧版の知識で「CSFは5機能」と覚えていると、統治を選べません。 経営層が方針を決めて見守る取組が出てきたら、2.0 で加わった統治を思い出してください。