【RMFシリーズ③】NATO-RMF（CISセキュリティ・リスクマネジメントおよびセキュリティ認可プロセス）の経緯と現状、今後のリスク管理枠組みの行方（前編）（2026/7/24公開）

1.　はじめに

　北大西洋条約機構 NATO(North Atlantic Treaty Organization)には、「CIS^※1 セキュリティ・リスクマネジメントおよびセキュリティ認可プロセス」と呼ばれる仕組みがあり、これは DoD8510.01 (リスク管理枠組み)と同じ役割を果たしています(本稿では、以降これをNATO-RMF と呼びます)。

　本稿では、公開資料を基に、NATOのサイバーセキュリティに関する歴史と現状を整理し、NATO-RMF との現状を明らかにするとともに、米国の CSRMC(後述)の今後の方向性について述べます。更に、わが国の防衛省の状況に触れたうえで、最近の関連トピックとしてGCAP^※2 について、サイバーセキュリティリスク管理の側面から考察し、今後の業務に資することを目的としています。

（以下、目次のみ）

2.　NATOについて

3.　サイバーセキュリティを巡るNATOの歴史

4.　NATO-RMFの概要、進化過程と課題

細部については、「防衛技術ジャーナル」2026年7月号紹介ページをご覧ください。

• NATO Standard AJP-6, ALLIED JOINT DOCTRINE FOR COMMUNICATION AND INFORMATION SYSTEMS, Edition A Version, Feb. 2017, https://www.coemed.org/files/stanags/01_AJP/AJP-6_EDA_V1_E_2525.pdf (Accessed on March 30, 2026) 通信システムとは「情報の伝達(転送)を達成するために組織された機器、方法、手順および必要に応じた人員の集合体」、情報システムとは「情報の処理機能を達成するために組織された機器、方法、手順及び必要に応じた人員の集合体」を指す。CIS は、これら通信システムおよび情報システムを合わせた総称。日本国内では、防衛省の情報システム(ハードウェア、インフラ)に、それを運用する要員を含めたものを「システム」と定義している。
• Global Combat Air Program の略。日、英、伊による第6世代戦闘機共同開発プログラム。