Adobe Common Controls Framework（CCF）
企業として成功するには製品戦略が非常に重要ですが、健全なコンプライアンスとリスク管理の戦略もそれに劣らず極めて重要です。アドビは重要な各種業界標準への対応や、データのセキュリティとプライバシーに関する各種法規制への準拠を通じて、セキュリティ対策に注力しています。また、新しいセキュリティ基準や規制要件ができ、業界で取り入れられていくなかで、見直しをおこないながらアドビの顧客にとって関連性の高いものを取り入れています。
アドビは、継続的なコンプライアンスへの取り組みを支援するため、Common Controls Framework（CCF）と呼ばれるオープンソースのセキュリティ保護プロセスのフレームワークを導入しました。CCFは、アドビのインフラ、アプリケーション、サービスの保護だけでなく、業界が認定する数々のベストプラクティス、基準、規則、認証の準拠にも役立っています。CCFを策定するにあたり、アドビはクラウドビジネスにおける主なセキュリティ認証の基準を分析。21種類の業界標準にまたがる4,300項目以上の要件を、アドビ独自の対策に落とし込みました。
図解と説明
このファネル図は、アドビが様々な管理領域にわたる共通の管理項目を作成するために合理化したセキュリティ基準と管理要件を示しています。
図の左側には「20以上の基準、約4,300の管理要件（CR）」というタイトルがあります。タイトルの下には、各基準とそれに対応する管理要件数が記載されています。
• AICPA Trust Service Principles Service Organization Control（SOC）– 40
• Cloud Computing Compliance Criteria Catalogue（BSI C5）– 120
• Cyber Essentials、英国 – 24
• Critical Security Controls（CIS V8）– 150
• FedRAMP TailoredおよびModerate – 320
• 金融保安員CSP 評価、韓国 – 56
• 医療保険の携行性と責任に関する法律（HIPAA）– 70
• InfoSec Registered Assessors Program、オーストラリア（IRAP）– 880
• 政府情報システムのためのセキュリティ評価制度、日本（ISMAP）– 1160
• ISO 27001:2022および27002:2022 – 110
• ISO 27017:2015 – 7
• ISO 27018:2019 – 26
• ISO 22301:2019 – 200
• シンガポール金融管理局（MAS）– 230
• 多層保護スキーム、中国（MLPS）– 300
• NISTサイバーセキュリティ – 100
• Payment Card Industry Data Security Standard（PCI DSS v4）– 290
• スペイン国家セキュリティスキーム（ENS）– 100
• TXRAMP L1 – 120
図の中央には、CCF合理化と名付けられたファネルが描かれています。図の左側にリストされた基準と管理項目は、ファネルに入る少数の黄色い点で表されています。ファネルの右側からは少数の緑の点が出ており、これらは結果として得られる共通の管理項目を表しています。
図の右側には「25の管理領域にわたる約315の共通管理項目」というタイトルが付けられています。タイトルの下には、以下の各管理領域とそれに対応する共通管理項目の数がリストされています。
• アセット管理 – 11項目
• バックアップ管理 – 5項目
• 事業継続性 – 6項目
• 変更管理 – 4項目
• 構成管理 – 15項目
• 暗号化 – 15項目
• お客様管理セキュリティ – 4項目
• データ管理 – 21項目
• エンティティ管理 – 11項目
• IDおよびアクセス管理 – 39項目
• インシデント対応 – 8項目
• モバイルデバイス管理 – 4項目
• ネットワーク運用 – 18項目
• 人事 – 10項目
• プライバシー – 10項目
• 予防的セキュリティ – 4項目
• リスク管理 – 8項目
• セキュリティガバナンス – 17項目
• サービスライフサイクル – 7項目
• サイト運用 – 16項目
• システム設計ドキュメンテーション – 2項目
• システム監視 – 32項目
• サードパーティ管理 – 13項目
• 研修および意識向上 – 9項目
• 脆弱性管理 – 23項目
アドビの継続的な取り組み
コンプライアンスは、定期的な内部監査、社外機関による評価、対策の改善などを継続していくプロセスです。アドビは、コミットメントを一貫して満たすために、定期的な第三者監査とレビューを受けています。また、コンプライアンスプログラムの効果的なガバナンスモデルを維持するため、企業全体のガバナンス、リスク、コンプライアンス（GRC）自動化プラットフォームの開発にも投資しています。
オープンソースですぐに利用可能
Common Controls Framework（CCF）は、セキュリティとリスク管理の広範なコミュニティが独自のコンプライアンス目標を達成できるよう、オープンソース化されました（現在バージョン5.0）。規制が進化したり新しい業界標準がコンプライアンス体制に組み込まれたりすると、フレームワークを定期的に更新しています。継続的なコンプライアンス活動を加速・標準化するために、このフレームワークを活用ことをお勧めします。CCFをダウンロードし、開発に関するフィードバックをお寄せください。