CIS Control 5：アカウント管理

CIS Critical Security Controlsは、企業が自社の脆弱性を評価し、効果的なサイバーセキュリティのリスク管理を実施し、セキュリティ体制を強化し、サイバーセキュリティの要件に対するコンプライアンスを確立・維持するための強力なツールです。

CIS Control 5 は、ユーザー、管理者、サービスアカウントが適切に管理されるようにするための戦略を提供します。たとえば、強力なデータアクセス制御の設定や、攻撃者によるアカウントの悪用を防ぐための継続的な監視の実装などを扱っています。この記事では、脆弱なアカウントが原因で発生するサイバーセキュリティ上の問題を回避できるよう、これらの CIS ベンチマークをより詳しく説明します。

（一部の CIS controls はバージョン 8 で番号が付け直されています。以前は、アカウント管理は CIS Control 16 でした。）

5.1 アカウントのインベントリを確立し、維持する

CIS Control 5 は、組織内の管理者アカウントおよびユーザーアカウントのインベントリを確立し、維持することに重点を置いています。アカウント所有者の氏名、開始/停止日、ユーザー名、部署は記録しておく必要があります。加えて、アカウントの目的も記録すると効果的な場合があります。

インベントリを維持するには、現在使用されているすべてのアカウントが許可されたものであることを定期的に確認する必要があります。通常、検証は四半期ごとに実施しますが、必要に応じてそれより頻繁に行うこともできます。このプロセスは、以下のように他のコントロールに記載されているインベントリの保護策と関連付けて使用することが重要です。

• 1.1：アクティブ ディスカバリ（Active Discovery）ツールを活用する
• 2.1：承認済みソフトウェアのインベントリを維持する
• 3.2：認証済みの脆弱性スキャンを実施する
• 5.1：安全な設定（Secure Configurations）を確立する
• 6.6：SIEM またはログ分析ツールを導入する
• 16.4：すべての認証情報を暗号化またはハッシュする

5.2 一意のパスワードを使用する

ネットワーク内のすべてのアカウントに固有のパスワードを使用することは、無断アクセスから企業の資産を守るうえで極めて重要です。CIS が示すベストプラクティスには次が含まれます:

• 多要素認証（MFA）と併用する場合はパスワードの最小長を8文字にし、MFAを使用しないアカウントは少なくとも14文字の長さを要求します。
• 名前や生年月日など、ハッカーに推測されやすいパスワードは使用しないでください。
• 過去のパスワードを使い回さないでください。漏えいしている可能性があり、データのリスクが高まります。
• すべてのアプリケーションのデフォルトパスワードを変更してください。

5.3 未使用アカウントを無効化する

休眠アカウントとは、少なくとも45日間使用されていないアカウントのことです。これらのアカウントを環境内で定期的に監査し、無効化または削除することで、ハッカーがアカウントを侵害してネットワークに侵入するリスクを低減できます。社内のシステムが対応している場合は、有効期限（失効日）を設定して、これらのアカウントを自動的に無効化することも可能です。

5.4 管理者権限を専用の管理者アカウントに制限する

特権アカウントは、管理タスクを完了する必要がある場合に限って使用すべきです。管理者が、インターネットの閲覧やメール作業などの通常のタスクを実行したい場合は、セキュリティリスクを最小限に抑えるために、非特権アカウントを使用する必要があります。

5.5 サービスアカウントのインベントリを確立し維持する

すべてのサービスアカウントのインベントリを作成することが重要です。少なくとも、部門の所有者の氏名、レビュー日、アカウントの目的を含める必要があります。インベントリは、有効なアカウントが引き続き必要であることを確認するため、少なくとも四半期ごとに、予定どおりに見直してください。

5.6 アカウント管理を一元化する

たとえば Active DirectoryのようなIDサービスやディレクトリを使って、すべてのアカウント管理を1か所に集中させると、作業がより簡単になり、正確性の確保にも役立ちます。