チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「うちはゼロトラストよりまず何から始めるべきなんでしゅか？」
「CPG 2.0日本語版って、何を見ればいいんでしゅか？」
チップスボス、IPAが米CISAのCPG 2.0を日本語にして公開したそうなんでしゅ。中身を見てみたら『デフォルトパスワード変更を優先』って書いてあって、いまさら？って思ったんでしゅけど…。
ボスふふふ、その違和感が肝だ。ゼロトラストの前にやることが多くの現場で残っている、というのが世界共通の現実だ。基本に立ち返るためのガイドだな。
2026年6月1日、IPAは米国CISAの『Cross-Sector Cybersecurity Performance Goals Ver.2.0(CPG 2.0)』の日本語版を公開しました。
統治・識別・防御・検知・対応・復旧の6機能を軸に、ゼロトラスト導入前に押さえるべき基本対策を体系化したのが特徴です。
本記事では翻訳版のポイントと、自社の重要インフラ業務に落とし込む際の使い方を整理します。
記事を読み終える頃には、CPG 2.0をどの順番で社内チェックリストに落とし込むかが明確になります。
オススメ求人・フリーランス案件
【Microsoft Sentinelログ集約基盤構築】豊洲・常駐／Azure・Sentinel・設計構築
【金融機関セキュリティ方針策定・統制】東京・品川（常駐）／方針策定・脆弱性対応・統制
【全社セキュリティ戦略の策定・推進】西新宿（週2リモート）／戦略・インシデント対応・AI統制
【銀行グループ向け サイバーセキュリティ強化・改善推進PMO】中野（リモート併用）／セキュリティガバナンス・プロジェクト推進
【グローバル製造業向けSASE導入PMO・設計構築】高輪（リモート併用）／Prisma Access・海外拠点展開
【ゼロトラスト基盤構築・VPN廃止移行推進】フルリモート／Zscaler ZPA・マイクロセグメンテーション
【公共系閉域網環境SplunkES統合・構築】東京・豊洲（常駐）／設計・構築・運用
【CSIRT運用・インシデントハンドリング】フルリモート（出張併用）／SOC Tier1・インシデント対応
【電力制御システムCEマーキング取得・セキュリティコンサルティング】神戸（フルリモート可）／IEC62443・リスクアセスメント・ガイドライン設計
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
セキュリティエンジニア（PM/PL候補）【年収500-1000万】AWS/Azure経験を活かす
セキュリティエンジニア｜インフラ運用からのキャリアチェンジ（年収350～500万）
セキュリティエンジニア（iOS）【年収700～900万】
まずIPAが日本語版を出した背景と、文書全体の構成を見ていきましょう。
CPG 2.0はNIST CSFと整合する6機能を採用し、各機能で重要インフラ事業者が満たすべき基本目標を提示します。
ゼロトラスト導入のような高度な施策ではなく、攻撃被害の大半を防げる現実的な対策に焦点を絞っているのが特徴です。
6機能の対応関係を整理します。
| 機能 | 代表的な目標 |
|---|---|
| 統治 | 経営層関与とインシデント対応体制の整備 |
| 識別/防御 | 資産棚卸、既定パスワード変更、MFA導入 |
| 検知/対応/復旧 | 既知悪用脆弱性監視、報告プロセス、バックアップ復旧 |
チップスえっ、これ全部できてる現場って実は少ないんでしゅか？
ボス残念ながら多くの中小事業者では既定パスワードのまま稼働する機器が残っている。CPGは「派手な新技術より、まずここを締めろ」というメッセージだ。
次に、なぜ基本対策がここまで強調されているのかと、自社で取り組む際の勘所を見ていきましょう。
CPG 2.0が指摘する課題は、OT(運用技術)環境のリスクが軽視されがちな点と、中小組織のリソース不足です。
パッチ適用が難しい制御系機器、人員不足で運用が回らない現場ほど、攻撃側に狙われやすくなっています。
取り残されがちなポイントを整理しました。
CPG 2.0は各目標について、コスト・インパクト・容易性の3軸で評価しています。
限られたリソースを使う以上、効果が高く実装が容易な順に着手するのが現実的です。
初期90日で着手したい代表項目を以下にまとめます。
チップス「ゼロトラスト導入」って何度も会議で話してたんでしゅけど、まずはパスワードからって聞くと気が楽になるでしゅ。
ボス気を楽にするのではなく、地道に積み上げろ、という話だ。基本対策を侮ると、最新技術を入れても穴は塞がらん。
CPG 2.0日本語版は、ゼロトラスト議論に走りがちな現場を「まず基本」に引き戻す指針です。
6機能の最低目標を起点に、既定パスワード変更・MFA・バックアップ復旧訓練など効果の大きい項目から90日計画で着手するのが現実的です。
OT環境とサプライチェーン中小事業者の取り残しを意識し、コストと効果のバランスで判断していくことが大切です。
CPG 2.0の社内展開や評価には、重要インフラの実装経験を持つフリーランス人材の活用も有効です。
翻訳版の詳細は ITmedia @ITの報道 をご確認ください。
オススメ求人・フリーランス案件
【Microsoft Sentinelログ集約基盤構築】豊洲・常駐／Azure・Sentinel・設計構築
【金融機関セキュリティ方針策定・統制】東京・品川（常駐）／方針策定・脆弱性対応・統制
【全社セキュリティ戦略の策定・推進】西新宿（週2リモート）／戦略・インシデント対応・AI統制
【銀行グループ向け サイバーセキュリティ強化・改善推進PMO】中野（リモート併用）／セキュリティガバナンス・プロジェクト推進
【グローバル製造業向けSASE導入PMO・設計構築】高輪（リモート併用）／Prisma Access・海外拠点展開
【ゼロトラスト基盤構築・VPN廃止移行推進】フルリモート／Zscaler ZPA・マイクロセグメンテーション
【公共系閉域網環境SplunkES統合・構築】東京・豊洲（常駐）／設計・構築・運用
【CSIRT運用・インシデントハンドリング】フルリモート（出張併用）／SOC Tier1・インシデント対応
【電力制御システムCEマーキング取得・セキュリティコンサルティング】神戸（フルリモート可）／IEC62443・リスクアセスメント・ガイドライン設計
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
セキュリティエンジニア（PM/PL候補）【年収500-1000万】AWS/Azure経験を活かす
セキュリティエンジニア｜インフラ運用からのキャリアチェンジ（年収350～500万）
セキュリティエンジニア（iOS）【年収700～900万】
