CIS Benchmarks 完全ガイド

すべての IT 資産にわたって安全な設定を維持することは、サイバーセキュリティ、コンプライアンス、そして事業継続にとって重要です。たとえ 1 件の設定ミスであっても、セキュリティ侵害や業務上の混乱につながり得るため、環境全体で一貫したポリシーを徹底することが不可欠です。

CIS Benchmarks は、安全なシステム設定のためのフレームワークとして、最も広く認知されているものの一つです。Center for Internet Security により開発され、これらのベストプラクティスは世界中の専門家コミュニティによって作成・維持されています。クラウドプラットフォーム、OS（オペレーティングシステム）、デスクトップアプリケーション、 ネットワーク機器 などにおける「安全な設定」がどのようなものかを定義しています。

CIS Benchmarksに従うことで、組織はシステムを強化し、リスクを低減し、全体的なセキュリティ態勢を改善するための実践的なガイダンスを得られます。

CIS Benchmarks がサイバーセキュリティに重要な理由

サイバーセキュリティのように複雑で、しばしば抽象的な分野では、「どのような保護が必要で、どこに適用するべきか」を定義する、確立された標準に頼るのが最善です。CIS Benchmarks は、そのようなベストプラクティスの中でも特に広く利用されており、25種類以上のさまざまな技術に対応したベンチマークを備えた、IT環境を安全に設定するための包括的なアプローチを提供します。

実際には、CIS Benchmarks は誤った設定を修正することで攻撃対象領域（攻撃面）を減らすために欠かせません。未使用のポートや過剰な管理者権限といった問題に対処することで、システムの効率が向上し、残存する脆弱性も減少するため、運用上のセキュリティが強化されます。

このように整合性が高まったことで、Benchmarks 内にある、整理された構成と具体的な監査ガイドラインのおかげで、IT チームはシステム監査をより適切に実施できるようになります。これらのプロトコルに従うことでコンプライアンスが強化されるため、監査もしやすくなります。CIS Benchmarks は効果的なセキュリティのベストプラクティスを定義しているため、NIST、PCI DSS、HIPAA、ISO 27001 のようなフレームワークにも自然に対応しており、これらはいずれも CIS のプロトコルをサイバーセキュリティにおける業界標準として認識しています。

CIS 設定とハードニングの解説

CIS Benchmarks で概説されている安全なシステム設定に従うと、一般に CIS Configuration、つまり CIS のベストプラクティスに整合したシステム構成が得られます。通常は、CIS 認定基準に従って設定されたシステム設定の初期的な全体像を提供する安全なテンプレートによって実現されます。

CIS Configuration を達成することは、安全なシステム構成を実現するために不可欠です。これは「ハードニング（hardening）」として知られるプロセスです。安全な設定により、IT チームは誤った設定と、それに関連する脆弱性を排除・防止し、設定ドリフトを防ぎながらセキュアなポリシーを維持し、システム全体の攻撃面を減らせるため、ネットワークのハードニングは信頼できる防護を確立するうえで非常に重要です。システムに残っている誤設定や不安全な構成が少なければ少ないほど、攻撃者が成功する攻撃を行う機会も減ります。

このプロセスは、適切な設定（コンフィグレーション）によって実現されるため、ほとんどのシステムは保護できます。とはいえ、最も重要なのは、サーバー、ファイアウォール、クラウド環境、ワークステーションなど、組織の重要なシステムを確実に保護することです。

システムを十分に強化（ハードニング）したら、ベースライン設定（baseline configuration） の使用状況を記録しておくことが不可欠です。これらのベースラインは、対象のシステムにおいて「安全な設定」とは何かを定める社内基準として機能します。監査時やインシデント後のレビューでネットワークを分析するのに役立つだけでなく、予期しない変更が発生した場合に IT チームが設定を復元できるよう、構成（設定）のバックアップも提供します。

CIS Benchmarks と CIS Controls の違い

CIS Benchmarks が特定の技術に対して具体的な設定ガイドラインを提供する一方で、Critical Security Controls は、システムのセキュリティを高めるための優先順位付きの戦略的な手順を提示します。これらの Controls は、組織の IT 環境におけるさまざまな領域をどのように保護するかを示す具体的なアクションに分かれています。たとえば Control 4 は、ソフトウェア資産とハードウェア資産の双方について正しい設定をセットアップし維持するのに役立つサイバー防御のベストプラクティスを説明します。

CIS の推奨に含まれるこの 2 つのよく似た要素は、システム強化（system hardening） に向けた統一ガイドとして連携して機能します。CIS Controls は、特定の脆弱性に対処するうえで不可欠な防護策が何かを示しますが、CIS Benchmarks は、これらのポリシーを実装するための技術固有のベストプラクティスを提供します。

同様に、Control 4 を例に考えてみましょう。企業の資産やソフトウェアを安全に設定しようとしているとします。Control 4 はこの領域のセキュリティをカバーしているため、安全な設定を実現するには優先順位の高い順に従うべき初期のベストプラクティスを提示してくれます。続いて CIS Benchmarks を実装することで、これらの設定をオペレーティングシステム、サーバーソフトウェア、または強化（ハードニング）が必要なその他の特定技術に適用できるようになります。

CIS ベンチマークのレベルとプロファイル

CIS Security Benchmarks は、環境のセキュリティ要件に応じて厳格さを3つのレベルに分けた、技術ごとのセキュリティに関するベストプラクティスの完全なセットです。

レベル 1：影響は最小、基本的なセキュリティ衛生

レベル 1 の CIS 設定は最も基本的なセキュリティ水準を表し、すべてのシステムが備えるべき必須の防護を定義します。これらのベンチマークは最もシンプルな保護策の一つであるため、導入が容易で、業務の運用やシステムの可用性を妨げることはまれです。

レベル 2：高度な環境向けの、より厳格な管理

CIS Benchmarks の第2レベルは、機密性の高いデータや機密データを扱う環境に最適です。これらのコントロールはより複雑であるため、コンプライアンス基準への適合度も高くなります。その結果、レベル2のベンチマークは実装により多くの技術的専門知識を必要としますが、通常はビジネス上の支障は限定的です。

STIG（レベル3）：連邦および軍事用途向けの高セキュリティ基準

CIS Benchmarks の第3レベルである Security Technical Implementation Guide（STIG）は、政府データをホストするサーバーや、軍のネットワークと連携するシステムなど、最高レベルのセキュリティを必要とする環境のみに向けて設計されています。これらの高い基準は米国防総省によって定義されており、米国政府のサイバーセキュリティ要件を満たすために特別に開発されています。STIG の要件にはレベル1および2のすべての保護が含まれているため、STIG 認証済みのシステムは本質的に CIS に準拠しています。

CIS Benchmarks が対象とするシステムおよびプラットフォーム

CIS Benchmarks では、保護対象となる各技術ごとに必要な保護策が定められています。主なカテゴリには次のものが含まれます：

• オペレーティングシステム： Windows、macOS
• クラウドプラットフォーム： AWS、Azure、Google Cloud
• ネットワーク機器： ルーター、スイッチ、ファイアウォール
• デスクトップアプリケーション： Office 365、Zoom、ブラウザ
• モバイル端末： iOS および Android のスマートフォン、タブレット
• IoT資産： スマートデバイス、GPSデバイス

技術に特化した制御策を提供することで、CIS Benchmarks は、攻撃対象領域を減らし、潜在的な侵入口を排除するための明確で実用的な手順を提示します。

CIS Benchmarks を段階的に実装する方法

1. システムを評価： 企業環境を調査して、どのシステムにハードニングが必要か、どの CIS Benchmarks を適用すべきかを判断します。
2. セキュリティの優先順位を設定： システムのセキュリティにとって最も重要な Benchmarks を特定し、構成における最初のステップとして優先度を付けます。
3. 実装計画： 必要な Benchmarks を実装するために、チームが取るべき行動の流れを、段階的な手順、期限、および各チームメンバーの責任を含めて詳細に概説します。
4. スタッフの教育： 適用する CIS Benchmarks の機能と重要性について、チームメンバーに指示し、新しいセキュリティ基準に合わせてスタッフを最適化します。
5. パイロットを開始： 優先度の高い Benchmarks を1つまたは2つだけ使用するパイロットプログラムで更新されたポリシーをテストし、その後、各セットの新しいコントロールが正常に実装されるたびに、優先順に従って追加の Benchmarks を取り入れていきます。
6. 監視と改善： システムを継続的に調査し、Benchmarks の有効性を追跡するとともに、脆弱性に対処し、変化するセキュリティ要件を満たすためにコントロールを調整します。

CIS Configuration Hardening：重要な理由と実施方法

先に説明したとおり、システムのハードニングは、不必要な機能を削除しながら、システムを安全にするための効果的な設定を行うことで脆弱性を減らすことです。この継続的な取り組みにより、ネットワーク効率が向上し、攻撃対象領域（attack surface）が縮小され、システム全体の防御が強化されます。

CIS Configurations は、システムを保護するための基本的な標準を提供していますが、個々のサーバーに対する詳細な推奨というよりは、幅広いベストプラクティスとして機能します。したがって、CIS Configurations は、コントロールを調整してシステム固有の要件により適合させることでカスタマイズできます。実際に、CIS Benchmarks には、このプロセスに関する提案も含まれています。

設定を強化するために、CIS Benchmarks では以下に関する具体的なガイドラインを提供しています：

• 安全でないサービスを無効化（例：Telnet、SMBv1）
• 強力な認証およびアクセス ポリシーを適用する
• OS、ネットワーク、アプリケーション各レイヤで設定を保護する

CIS のハードニング チェックリストで資産保護を強化することは不可欠であり、攻撃リスクを低減するために、資産を本番環境に投入する前に技術固有の設定を適用する必要があります。

Netwrix のソリューションは、アイデンティティ、データ、ディレクトリ、エンドポイントにまたがるハードニングとコンプライアンスを効率化します。

• Netwrix Change Tracker CIS 認定テンプレート、ドリフト検知、そして自動ロールバックにより、最初から安全な設定を実現します。
• Netwrix Auditor 設定変更を継続的に監視し、CIS ベンチマークとの整合性を検証し、結果を PCI DSS、HIPAA、NIST などのコンプライアンス フレームワークに直接マッピングします。
• Netwrix 1Secure DSPM 機密データまたはシャドーデータを発見・分類し、リスクを評価し、感度ラベルを適用して、CIS コントロールが重要データにまで確実に適用されるよう支援します。
• Netwrix Privilege Secure (PAM) は ジャストインタイムアクセス（just-in-time access） を適用し、常駐（standing）の特権を削除し、管理者セッションを厳密に監視して、CIS Control 4 に合わせます。
• Netwrix Directory Manager プロビジョニング、プロビジョニング解除（deprovisioning）、グループのメンバーシップ確認を自動化し、CIS のベストプラクティスに沿った最小権限を確実にします。
• Netwrix PolicyPak はエンドポイント全体にわたり安全な GPO を適用し、同時に Netwrix Endpoint Protector がデバイスと データ損失防止（data loss prevention） の制御を追加します。
  この identity-first のアプローチにより、CIS のハードニングがシステム、ユーザー、データ全体にわたって一貫して適用されます。
• Netwrix Threat Manager and Threat Prevention (ITDR) リアルタイムで異常な挙動、特権の悪用、リスクの高い設定変更を検知し、CIS のハードニングが継続的に適用されるようにします。

CIS ベンチマークからの主要な技術的実践

CIS ベンチマークは、システムを保護するための包括的な一連の実践を提供しており、特に関連する CIS Controls と組み合わせることで効果を発揮します。これらの標準が推奨する最も重要なサイバーセキュリティの実践には、以下が含まれます。

Controls 4.3 および 4.10：セッションとデバイスのロック

ユーザーが席を外したときにワークステーション、サーバー、モバイル端末への不正アクセスのリスクを最小限に抑えるため、 自動セッションロックを有効にしてください。汎用のオペレーティングシステムでは、不活性のタイムアウトは 15 分を超えないようにします。モバイル端末では、このタイムアウトは 2 分を超えてはなりません。

管理策 4.3 で推奨されている自動セッションロックに加えて、一定回数の失敗したログイン試行の後、携帯型のエンドユーザー端末で自動ロックアウトを設定してください。ラップトップは 20 回の失敗でロックするか、組織のリスクプロファイルがそれより低い設定を示唆している場合はそれ以下の回数にします。スマートフォンおよびタブレットでは、上限を最大 10 回の失敗試行までに減らしてください。

管理策 4.4 および 4.5：ホストベースおよびサーバーのファイアウォールを確保する

ファイアウォールは、機密データを保護するために不可欠です。サーバーにファイアウォールを導入することで、不正アクセスを防ぎ、特定の種類のトラフィックを遮断し、プログラムが信頼できるプラットフォームおよびソースからのみ実行されるようにできます。仮想ファイアウォール、OS（オペレーティングシステム）ファイアウォール、サードパーティ製ファイアウォールなど、さまざまな選択肢があります。

エンドユーザー端末と企業のサーバーには、ファイアウォールを導入する必要があります。インベントリ内のすべての端末にホストベースのファイアウォールまたはポートフィルタリングツールをインストールし、既定は拒否（default-deny）とすることで、明示的に許可された特定のサービスおよびポートの一覧以外のすべてのトラフィックをブロックしてください。

ファイアウォールは、適切に設定され、効果的に機能していることを確認するために、定期的にテストおよび更新する必要があります。少なくとも年 1 回はファイアウォールを確認し、環境やセキュリティ要件が大きく変わったときにも確認してください。

管理策 4.7 と 4.8：不要なサービスとデフォルトアカウントの無効化

デフォルトアカウントは、環境内で広範な権限を付与できるため、攻撃者にとって格好の標的になります。したがって、すべての企業にとってのベストプラクティスは、資産をインストールした直後にデフォルトアカウントを無効化し、広く知られていない固有の名前の新しいアカウントを作成することです。これにより、攻撃者が管理者アカウント名を推測することがより困難になります。NIST などの組織が推奨するように強力なパスワードを選び、少なくとも 90 日ごとに定期的に変更してください。

これらの特権アカウントにアクセスできる担当者が、それらが特定の状況でのみ使用されるものであることを理解していることを確認してください。それ以外の作業は、標準のユーザーアカウントを使用する必要があります。

企業の資産やソフトウェアを構成するときは、不要なサービスは無効化するかアンインストールすることが重要です。例として、使用していないファイル共有サービス、不要な Web アプリケーションモジュール、余計なサービス機能などがあります。

これらのサービスは攻撃対象領域を広げ、攻撃者が悪用できる可能性のある脆弱性を持ち込むことがあります。したがって、可能な限り最小限かつ安全な構成にし、本当に必要なものだけを含めるのが最善です。

管理策 4.9：安全な DNS 構成の実装

資産では、企業が管理する DNS サーバ、または信頼でき、外部からアクセス可能な DNS サーバを使用してください。マルウェアは DNS サーバを介して拡散することが多いため、感染を防ぐために最新のセキュリティ更新プログラムを速やかに適用してください。攻撃者が DNS サーバを侵害した場合、それを悪意のあるコードのホスティングに利用される可能性があります。

管理策 4.11 および 4.12：リモートワイプの有効化とワークスペースの分離

ユーザーが携帯用デバイスを紛失したり、置き忘れたりした場合、許可されていない第三者がそのデバイスに含まれる機密データにアクセスできてしまう可能性があります。このような侵害や、潜在的なコンプライアンス上の罰則を防ぐために、リモートワイプ 機能を設定し、物理的なアクセスを必要とせずに携帯用デバイスから機密データをリモートで消去できるようにしてください。この機能が正しく動作することを確認するため、定期的にテストするようにしましょう。

さらに、ユーザーのモバイルデバイス上に、連絡先、ネットワーク設定、メール、Web カメラ専用の別個の企業用ワークスペースを用意する必要があります。これにより、攻撃者がユーザーの個人用アプリケーションにアクセスしたとしても、企業のファイルや専有データに到達することを防ぐのに役立ちます。

ベンチマーク準拠の自動化と監視

CIS ハードニングのチェックリストに従い、自社組織向けにベンチマークを実装したら、継続的な適用を確実にするために、それらの監視と管理のプロセスを自動化することが重要です。理論上は CIS ハードニング基準に従ってこれらの制御を手動で強制することも可能ですが、維持すべき設定項目の範囲が非常に広いため、IT チームに過度な責任がのしかかり、手作業によるミス、新たな誤設定、そして燃え尽き（バーンアウト）のリスクが高まるため、現実的ではありません。

効果的かつ確実な強制実施のためには、次のように業界標準のツールを使ってプロセスを自動化するのが最適です。

• Netwrix Change Tracker: システムのセキュリティを強化できる機会を検出します。リアルタイムのドリフト監視も提供します。
• Netwrix Auditor: 集中データ収集とレポート生成により監査プロセスを自動化します。システム制御に対する重要な変更をリアルタイムでチームに通知します。

自動化による強制適用は、「設定の劣化（configuration decay）」を防ぐために不可欠です。これは、基準となるシステムの初期設定が、小さな変更の積み重ねによって徐々に安全性が低下していく状態を指します。手動の構成監視では人為的なミスが起こりやすく、その結果、脆弱性の発見が難しくなります。自動化による強制適用を行うことで、変更は即時かつ確実に検知できるため、常にシステムの基線設定と、それ以外の変更内容を把握できます。

CIS ベンチマークと規制コンプライアンス

CIS ベンチマークはデータ保護における業界標準であるため、組織が関連するあらゆる規制へのコンプライアンスを達成するための非常に優れた手段になります。実際に、ベンチマークには大きな法的要件を満たせるだけの十分に強力な推奨事項が含まれており、どの主要な法的要件にも容易に合わせて調整できます。

IT チームは CIS ベンチマークを次のように簡単に対応付けできます：

• NIST サイバーセキュリティフレームワーク
• PCI DSS
• HIPAA
• ISO 27001

ただし、最初に設定をコンプライアンス基準へ合わせることは、プロセスの一部にすぎません。脅威が進化し、ビジネス上の課題が変化していく中で、継続的なコンプライアンスを示し、ポリシーのドリフトを防ぐことが不可欠です。

Netwrix solutions は、CIS 認定のレポーティング ツールを使用して、システム保護に関するコンプライアンスを示します。ネットワークを徹底的にスキャンすることで、Netwrix suite のツールは、システム コントロールが CIS Control 4 に従って構成されていることを確認し、データ保護を評価し、異常なユーザー権限を特定するなどを行います。この包括的な監視により、Netwrix は、レポーティングのコンプライアンスに関連するすべての CIS Controls および監査を簡単にサポートします。

ベンチマーク導入におけるよくある落とし穴

CIS Benchmarks と Controls を実装する際は、必要以上の保護を適用してシステムを過度に強化（ハードニング）しないでください。これは「over-hardening」という傾向です。過剰な保護は一般的に保護不足よりもましですが、システムを過度にハードニングすると、機能上の問題が発生したり、ネットワークが遅くなったり、設定エラーが起きたり、業務の運用を妨げるその他の問題が生じたりする可能性があります。

さらに、enforcement（施行）を維持するために、システムを継続的に監視することも不可欠です。効果的なシステム構成は、「set it and forget it（設定したら忘れる）」という前提では確実に機能しません。ビジネス目標や課題は必ず変化していきます。IT スタッフがそうした変化に対応するためにシステム設定を調整する場合、その調整内容を把握して、セキュリティ態勢を維持する必要があります。継続的な enforcement がないと、設定ドリフト（configuration drift）が簡単に発生し、予期しない（そして多くの場合見過ごされる）脆弱性につながる恐れがあります。同様に、残っている設定変更は、ポリシー更新の記録を残すために、集中管理されたデータベースに徹底的に文書化する必要があります。

さまざまなアセットを保護する際は、各アセットに適切な保護が適用されるよう、関連する CIS Benchmarks を慎重に確認してください。保護策は異なる技術間でそのまま置き換えられるものではないため、すべてのアセットはそれぞれの特性に基づいて構成する必要があります。

Netwrix が CIS ベンチマークの成功を支援する方法

Netwrix は、組織が CIS Benchmarks（基準）と Controls（管理策）を導入し、継続的に運用できるようにする包括的なソリューション群を提供します。構成モニタリング、Identity governance、およびデータ保護を組み合わせることで、Netwrix は CIS のハードニングがシステム、ユーザー、機微情報にわたって一貫して確実に適用されることを保証します。

• Netwrix Change Tracker – CIS 認定テンプレートを提供し、リアルタイムのドリフト検出と自動ロールバックにより、安全な構成を最初から適用して構成の劣化を防ぎます。
• Netwrix Auditor – すべてのシステムおよびディレクトリの変更を可視化し、監査（audit）に向けて活動をログに記録します。また、CIS と HIPAA、PCI DSS、ISO 27001 などのフレームワークに対応する事前定義済みのコンプライアンス レポートを提供します。
• Netwrix 1Secure DSPM – 機微データおよびシャドーデータを検出・分類し、機微度ラベルを適用してリスクを評価することで、ハードニングがシステム構成だけでなくデータ保護にも確実に及ぶようにします。
• Netwrix Privilege Secure (PAM) – 恒常的な特権（standing privileges）を排除し、ジャストインタイムのアクセスを強制し、特権セッションをリアルタイムで監視して、安全な設定と特権管理のための CIS Control 4 の要件に合わせます。
• Netwrix Directory Manager – プロビジョニング、デプロビジョニング、グループメンバーシップの見直しを自動化し、最小特権を徹底し、CIS の推奨に準拠したクリーンなディレクトリを維持します。
• Netwrix Identity Manager – 承認（attestation）、ワークフロー、ロールベースのモデルによってユーザーアクセスを統制し、CIS Control 5 のアカウントおよびアイデンティティ管理への適用を支援します。
• Netwrix PolicyPak – Group Policyを集約し、ベースラインを検証し、エンドポイントのハードニングポリシーを強制することで、エンドポイントセキュリティを強化します。
• Netwrix Endpoint Protector – 高度なデバイス制御とデータ損失防止（DLP）を追加し、エンドポイントからの機密データの無許可な転送を阻止します。これは CIS ハードニングの重要な構成要素です。
• Netwrix Threat Manager and Threat Prevention (ITDR) – 実時間で異常な挙動、特権の不正利用、およびリスクの高い設定変更を検知し、CIS コントロールが進化する脅威に対しても有効な状態を維持できるようにします。

このように連携された、ID を起点とするアプローチにより、CIS ベンチマークが導入されるだけでなく、時間の経過とともに維持され続けることが保証されます。Netwrix を活用することで、組織は安全なベースラインを確信をもって強制し、ドリフトを防止し、特権アクセスを統制し、重要なデータを保護していくことで、強靭なコンプライアンスとセキュリティ体制を構築できます。

最後に

CIS ベンチマークは、組織のデジタル資産のあらゆる領域を保護するための包括的なベストプラクティスの集合であり、強固なサイバーセキュリティの衛生（cybersecurity hygiene）を実現するうえでの重要な要素です。

CIS Benchmarks を適切に実装することは、組織のコンプライアンスを強化し、侵害（ブリーチ）のリスクを低減するための実証済みの方法です。システムのコントロールをこれらの標準に照らして評価することで、IT チームは脆弱性をより容易に特定し、より強力な防御策を構築し、業界標準と規制要件の双方により適切に整合できます。Benchmarks を関連する CIS Controls と組み合わせることで、こうした取り組みをさらに後押しし、特定の脅威から重要な資産を守るための詳細なベストプラクティスを提供します。

Netwrix は、CIS Benchmarks および Controls に沿って組織の資産を確実に保護するための、包括的なソリューションを提供します。CIS 認定の構成ハードニング、継続的な監視、Privileged Access Management、Identity Governance、機微データの保護、エンドポイント セキュリティといった機能により、Netwrix は CIS 標準がシステム、ユーザー、データ全体に一貫して適用されることを保証します。主要なコンプライアンス フレームワークに対応付けた自動レポートにより、監査をより迅速かつ簡単に実施できる一方、リアルタイム アラートと ITDR の機能が、コンプライアンスの維持と侵害の防止を支援します。Netwrix を活用することで、組織はシステムをハードニングし、重要なデータを保護し、確かな自信をもってコンプライアンスを継続的に証明できます。

よくある質問

CIS Benchmarks は何に使われますか？

CIS Benchmarks は、特定の技術に対するセキュリティを強化するための、具体的な一連のガイドラインを提供します。これらのコントロールは、クラウドサービス、オペレーティングシステム、デスクトップアプリケーション、ネットワークデバイスなどのコンポーネントを対象に分類されています。これらのサイバーセキュリティのプロトコルに従うことで、IT 担当者は効果的なシステム設定がどのようなものかをより的確に理解し、保護策を実装することで、企業のシステムをサイバー攻撃から強化できます。

CIS Control 4 は CIS Benchmark と同じものですか？

Control 4 を含むすべての CIS Controls は CIS Benchmarks と関連していますが、同一ではありません。CIS Controls は、サーバーの特定の部分をどのように保護するかについての指針を示します。たとえば CIS Control 4 は、企業の資産やソフトウェアを安全に設定する方法を詳述し、CIS Control 5 は安全なアカウント管理を扱います。一方で CIS Benchmarks は、これらの保護策を特定の技術にどのように適用するかに関する推奨事項を示します。一般に、CIS Controls は幅広い保護戦略を概説し、CIS Benchmarks は企業サーバーの各コンポーネントに対して的を絞った助言を提供します。

CIS の設定はどれくらいの頻度で見直すべきですか？

構成のドリフトを監視し、出現しつつある脆弱性に対処するために、CIS の設定を定期的に見直して更新してください。月次でも、場合によっては週次でも構いません。システムのコントロールに関する継続的な認識は、それらの有効性を維持するうえで不可欠です。また、確認頻度は低いよりも高いほうが常に安全です。

CIS ベンチマークの強制適用を自動化できますか？

はい、CIS ベンチマークの強制適用はほぼ完全に自動化できます。CIS はこの目的のために、CIS-CAT Pro や SCAP Tools のような独自ツールを提供しており、より効果的な強制適用のために CIS のハードニング基準をサポートするよう設計された Netwrix ツールと統合できます。

Level 1 と Level 2 の CIS Security Benchmarks の違いは何ですか？

Level 1 の CIS ベンチマークは、最も基本的なサイバーセキュリティのベストプラクティスを対象としており、あらゆるシステムに必要な保護を表しています。一方、Level 2 は、機密データを含む環境を確実に保護するために設計された、より高度な保護内容を詳しく説明しています。両方の保護レベルは、各環境のセキュリティ要件に応じて、サーバーの異なる部分に適用できます。

CIS ベンチマークの導入に役立つ Netwrix ツールはどれですか？

Netwrix は、幅広いソリューションで CIS Benchmark の導入を支援します。

• Netwrix Change Tracker — CIS 認定テンプレート、ドリフト検知、ロールバックのため。
• Netwrix Auditor — 変更の可視化、レポーティング、監査対応のため。
• Netwrix 1Secure DSPM — 機密データを発見・分類し、機密ラベルを適用するため。
• Netwrix Privilege Secure (PAM) — ジャストインタイムの特権アクセスを強制し、常駐の管理者権限を削除するため。
• Netwrix Directory Manager プロビジョニング、プロビジョニング解除、グループ メンバーシップのレビューを自動化するために。
• Netwrix Identity Manager アテステーション、ワークフロー、ロールベースの制御によってユーザー アクセスを統制するために。
• Netwrix PolicyPak セキュアな GPO とベースライン設定を適用するために。
• Netwrix Endpoint Protector エンドポイントで高度な DLP とデバイス制御を提供するために。
• Netwrix Threat Manager and Threat Prevention (ITDR) 異常な挙動、特権の悪用、リスクのある設定変更をリアルタイムで検知し、CIS コントロールの継続的な適用を確実にするために。