NIST SP 800-53 r4 管理フレームワークを組織に適切に導入するには、まず情報システムのセキュリティ分類を実施する必要があります。セキュリティ分類とは、情報システムおよびそのシステムによって処理、保存、または送信される情報の機密性、完全性、または可用性の喪失が、組織の業務、組織資産、個人、他の組織、そして国家に及ぼす潜在的な影響を判断するプロセスです。セキュリティ分類は、FIPS 199 規格（連邦情報および情報システムのセキュリティ分類に関する標準）の適用に基づいており、この規格では、影響度を低、中、高の 3 つのレベルに定義しています。
セキュリティ分類は、NIST SPに記載されているリスク管理フレームワーク（RMF）の最初のステップです。
800-37、改訂2版、情報システムおよび組織のリスク管理フレームワーク：セキュリティとプライバシーのためのシステムライフサイクルアプローチ。セキュリティ分類は、情報システムのセキュリティ要件を特定し、NIST SP 800-53 r4「連邦政府の情報システムおよび組織のためのセキュリティとプライバシー管理」に基づいて、ベースラインセキュリティ管理策の初期セットを選択するのに役立ちます。その後、ベースラインセキュリティ管理策は、組織固有のニーズ、リスク要因、およびコンプライアンス義務12に対応するために、必要に応じてカスタマイズおよび補足することができます。
参考文献:
* SP 800-53 Rev. 4、連邦情報システムのセキュリティとプライバシー制御 ...
* SP 800-37 Rev. 2、情報セキュリティのリスク管理フレームワーク...

ヒートマップとは、変数の相対的な強度、頻度、または大きさを色分けして示すデータのグラフィカル表現です1。ヒートマップは、クラウドサービスをビジネスインパクト、可用性、セキュリティ、パフォーマンス、コストなどのさまざまな側面にマッピングすることで、組織におけるクラウドサービスの重要度、依存関係、リスクを視覚化するために使用できます。ヒートマップは、監査人が最も重要または脆弱なクラウドサービス、およびそれらの間の関係性やトレードオフを特定するのに役立ちます2。
例えば、Azure Charts は、Azure クラウド サービスのさまざまな側面（更新、トレンド、ピラー、エリア、地理、カテゴリなど）のヒート マップを提供します3。これらのヒート マップは、監査人が Azure クラウド サービスの現在の状態と動向を理解し、さまざまな側面で比較するのに役立ちます4。
クラウド サービス プロバイダーの契約文書は、関係当事者の役割、責任、義務など、クラウド サービスの利用規約を定義する法的契約です。
組織内のクラウド サービスの重要度に関する情報は得られるものの、ヒート マップほど視覚的でも包括的でもありません。データ セキュリティ プロセス フローは、不正なアクセス、使用、変更、開示からデータを保護する手順とアクティビティを示す図です。監査人が組織内のクラウド サービスのデータ セキュリティ制御とリスクを理解するのに役立つ可能性がありますが、ビジネスへの影響やパフォーマンスなど、重要度の他の側面はカバーされていません。タートル ダイアグラムは、プロセスの入力、出力、リソース、基準、方法、相互作用を表示することでプロセスを分析するツールです。監査人が組織内のクラウド サービスのプロセス フローと依存関係を理解するのに役立つ可能性がありますが、各プロセス要素の相対的な重要度やリスクは示されません。
参考文献:
* ヒートマップとは？ WhatIs.com1のヒートマップのセクションからの定義
* クラウドコンピューティングのセキュリティに関する考慮事項 | Cyber.gov.au2、クラウドサービスの重要度に関するセクション
* Azure Charts - Cloud3 の明確化、ヒートマップのセクション
* Azure サービス概要 4、ヒートマップのセクション
* クラウド サービス デューデリジェンス チェックリスト | Trust Center、チェックリストの使用方法に関するセクション
* データセキュリティプロセスフロー - 概要 | ScienceDirect Topics、データセキュリティプロセスフローのセクション
* タートルダイアグラムとは？ WhatIs.comのタートルダイアグラムのセクションからの定義