米国国立標準技術研究所（NIST）は、小規模事業者向けの新たなサイバーセキュリティガイダンスを公開しました。ID保護、ランサムウェア対策、セキュリティ監視、インシデントからの復旧に重点を置いています。
2026年11月2日に公開された「NIST CSWP 50」（「Small Business Cybersecurity: Non-Employer Firms」）は、事業主本人以外に従業員を持たない事業者を対象としています。
この文書は、サイバーセキュリティフレームワーク（CSF）2.0 の成果を、最小限のIT基盤と限られたセキュリティリソースで事業を営む組織向けの実践的な対策に落とし込んだものです。
ガイダンスは、ガバナンス（Govern）、識別（Identify）、防御（Protect）、検知（Detect）、対応（Respond）、復旧（Recover）の6つの機能に沿ってサイバーセキュリティ活動を整理しています。NIST IR 7621 Revision 1に代わるもので、従来の文書が扱っていた幅広い情報セキュリティの視点を、従業員を持たない事業者向けのサイバーセキュリティに絞り込んでいます。
nvlpubsによると、米国の小規模事業者3,480万社のうち81.9%は、事業主以外に給与を支払う従業員がいません。NISTは、推奨する活動はあくまで出発点であり、コンプライアンスのチェックリストでも、あらゆる事業者に一律に適用できる実装基準でもないと強調しています。
なかでも重視されているのがIDのセキュリティです。NISTは、特にメール、銀行、パスワードマネージャー、機密データの保管先、事業に不可欠なクラウドアカウントで、利用可能な限りフィッシング耐性のある多要素認証を使うよう推奨しています。
ガイダンスは、パスワードに頼らずパスキーを使うことを勧めています。パスワードを使う場合は、15文字以上の固有のパスフレーズを推奨しています。事業主は、日常業務には標準アカウントを使い、管理者権限を制限し、権限を定期的に見直すことが求められます。従業員の退職時やサードパーティとのサービス契約の終了時には、アクセス権も削除する必要があります。
システムの堅牢化は、ルーター、プリンター、接続機器に設定されたメーカー出荷時のパスワードを変更することから始まります。事業者は、ハードウェア、ソフトウェア、機密データ、サービス、取引先を網羅した一覧を管理するべきです。これには、一般的なITの範囲外にあるネットワーク接続機器も含まれます。
NISTは、自動更新の有効化、少なくとも月に1回の更新確認、サポートが終了したシステムの入れ替えを推奨しています。
ランサムウェア対策としては、許可されたアプリケーションのみの実行を認めること、マルウェア検知ソフトウェアを維持すること、自動化されたパスワード推測攻撃に備えて認証の遅延やアカウントの自動ロックアウトを設定することも挙げています。
NISTは、ランサムウェアの脅威がローカルネットワークにとどまらず、クラウドアカウントやSaaS（Software as a Service）にも及ぶと警告しています。推奨する対策には、悪意のあるサーバー名、IPアドレス、ポート、プロトコルの遮断に加え、バックアップの保護とテストが含まれます。
事業者は複数のバックアップを保持し、そのうち1つは機器から切り離した媒体に保管するべきです。ランサムウェアの封じ込めについては、ネットワークの切断、影響を受けたシステムの隔離、セッションの失効を挙げています。一方で、侵害された機器やアカウントを復旧作業に使わないよう注意を促しています。
検知のための対策には、ウイルス対策、利用可能なセキュリティログの取得、新規ログインの通知、パスワードリセットのアラート、銀行取引のアラート、ドメインレコードの変更の監視があります。
事業の拡大に伴い、NISTは侵入検知・防止システム、マネージド監視、統合型のエンドポイントセキュリティ製品の導入を提案しています。成長中の事業者は、EDR（エンドポイントでの検知と対応）技術や自動封じ込め機能の検討も考えられます。
これらの選択肢は、インシデント対応計画を補完するものです。計画には、専門家の連絡先、報告義務、事業継続の取り決めを盛り込み、事業主が定期的に更新して訓練する必要があります。
復旧にあたっては、復元前にバックアップの整合性を確認し、アカウント設定を見直す必要があります。見直す項目には、MFAの設定、アクティブなセッション、ファイル共有の権限、転送ルールが含まれます。
事業主は、インシデントの説明、セキュリティログ、スクリーンショット、対応措置の記録を保存し、事後報告書を作成するべきです。NISTはさらに、サイバーセキュリティを外部に委託しても、事業のシステムとデータを保護する責任は移転しないと強調しています。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。 チームで試す
翻訳元: https://cyberpress.org/nist-releases-cybersecurity-guidelines/
