CIS Control 4：企業資産およびソフトウェアの安全な構成

CIS Control 4 誤った設定（misconfigurations）による脆弱性を減らすために、企業の資産およびソフトウェアに対する安全な構成を確立します。12の保護策は、基準（baselines）、ファイアウォール、アカウント管理、モバイルデバイスの制御をカバーし、環境をまたいで一貫したセキュリティを確保します。これらの対策を適用することで、防御力が強化され、設定のドリフト（drift）を防ぎ、セキュリティ・フレームワークへの準拠（compliance）を支援します。

IT資産全体で安全な構成を維持することは、サイバーセキュリティ、コンプライアンス、そして事業継続のために不可欠です。たった1つの誤った設定（misconfiguration）でも脆弱性が生まれ、高額な侵害（breaches）や業務の中断（disruptions）につながり得ます。

CIS Critical Security Controls の CIS Control 4 v8 では、エンタープライズのハードウェアおよびソフトウェアに対して安全な設定を確立し維持するためのベストプラクティスを詳しく説明します。（バージョン 7 では、このトピックは Control 5 と Control 11 で扱われていました。）本記事では、このコントロールに含まれる 12 の保護策と、それらを効果的に実装する方法を解説します。

CIS Controls とは何ですか？

CIS Critical Security Controls は、Center for Internet Security（CIS）が維持管理しているベストプラクティスの集合です。これは、組織がサイバー攻撃を軽減し、 データ漏えい を防止し、全体的なセキュリティ態勢を強化するための、優先順位付きのロードマップを提供します。バージョン 8 では 18 のコントロールを定義しており、それぞれがサイバーセキュリティの重要な側面をカバーしています。

CIS Control 4 とは何ですか？

CIS Control 4 は、エンドポイントを含む企業資産の確保に焦点を当てています。 ネットワーク デバイス、IoT デバイス、サーバー、オペレーティング システム、ソフトウェア アプリケーションが対象です。脆弱な標準設定を強化された構成に置き換え、環境間で一貫性を確保することを重視しています。

BYOD、クラウド導入、ハイブリッド勤務の拡大に伴い、一貫して安全な設定を確保することが不可欠です。脆弱な設定は、攻撃者にとってシステムへ容易に侵入できる入口となります。

4.1. 安全な設定プロセスを確立し、維持する

ノートパソコン、サーバー、IoT、ネットワーク デバイスを含む、すべての企業資産に対して初期の安全な設定を定義し、適用します。CIS ベンチマークおよび業界標準をベースにしてください。年に1回、または重大な変更が発生したときに見直し、更新します。

成功の鍵： – セキュリティ フレームワークをロードマップとして採用する。 – ベースラインのアプリケーションを設定し、すべての変更を追跡する。 – 脆弱性と設定ミスを継続的にスキャンする。 – 承認済みの変更とリスクのある変更を区別できるツールを使う。 – 文書化し、定期的に監査する。

4.2. 安全なネットワーク インフラストラクチャの設定を確立し、維持する

ネットワーク機器は接続性を制御しており、攻撃者にとって最重要の標的です。設定を強化し、ネットワークをセグメント化し、ドリフトを監視してください。

成功のポイント： – 大きな変更の後にプロセスを更新する。– 承認には人の監督を適用する。– ハードウェア設定を定期的に見直す。– 障査（監査）のために構成履歴を保持する。

4.3. エンタープライズ資産で自動セッション ロックを設定する

自動でセッションをロックすることで、放置されたデバイスによるリスクを軽減します。ワークステーションは 15 分後にロックし、モバイル デバイスは 2 分以内にロックしてください。

成功のためのポイント： – 複雑なパスワードを必須にします。 – デバイスの機密性に応じてロックアウト設定を調整します。 – パターンを隠せるディスプレイまたはスクリーンセーバーを使用します。

4.4. サーバー上でファイアウォールを導入し、管理する

ファイアウォールは、データを未授权のアクセスから保護し、悪意のある通信をブロックし、信頼できるアプリケーションのみを許可します。

成功のためのポイント： – ファイアウォールのルールを定期的に見直します。 – ネットワークをセグメント化して、横方向への移動（lateral movement）を抑えます。 – ファイアウォールの性能を監査し、侵入テストの演習で確認します。

4.5. エンドユーザーのデバイス上でファイアウォールを導入し、管理する

すべてのデバイスに、デフォルト拒否（default-deny）ルールを適用したホスト型ファイアウォールを導入します。設定を定期的にテストし、更新してください。

成功の鍵： – ファイアウォールのポリシーをコンプライアンス要件に合わせる。 – 分析のためにネットワークトラフィックを一元的にログ記録し、分類する。

4.6. 企業の資産とソフトウェアを安全に管理する

安全なプロトコルを使用し、Telnet や HTTP のような時代遅れの手法は避けてください。インターフェイスや管理ツールを悪用から保護します。

成功の鍵： – 管理しやすくレビュー可能な変更のために、インフラストラクチャー・アズ・コード（infrastructure-as-code）を使用する。 – 安全なプロトコル（SSH、HTTPS）を強制する。 – 安全でないプロトコルを段階的に廃止する。

4.7. デフォルト アカウントを管理する

デフォルトの管理者アカウントを無効化するか名前を変更し、強力で一意の認証情報を必ず適用してください。

成功の鍵： – 長くて安全なパスワードでドメイン管理者アカウントを厳格に保護します。 – すべてのロールに対して最小権限を適用します。 – 機め細かな パスワード ポリシーを適用します。

4.8. 不要なサービスをアンインストールまたは無効化する

未使用または冗長なサービスを削除して、攻撃対象領域を最小化します。

成功のためのポイント： – 新しいサービスがないか定期的にスキャンします。 – サービスの稼働状況をログに記録して可視性を確保します。 – 無効化する前に互換性を評価します。

4.9. 信頼できる DNS サーバーを設定する

通信を保護し、更新を素早く適用するために、企業が管理する、または信頼できる DNS サーバーを使用します。

成功のためのポイント： – 冗長化のために内部 DNS サーバーを複数台デプロイします。 – 監査と異常検知のためにクエリをログに記録します。 – 管理者のみにアクセスを制限します。

4.10. 携帯用エンドポイントでデバイスのロックアウトを強制する

ログイン失敗後にロックアウトを強制して、総当たり攻撃を阻止します（ラップトップは20回、モバイルは10回以下）。

成功のポイント： – すべてのデバイスでロックアウトを適用する。– ポリシーについて従業員を教育する。– 解錠には MFA を使用する。

4.11. ポータブル端末でリモートワイプを強制する

紛失または盗難にあった端末に対してリモートワイプを有効化し、データ損失とコンプライアンス違反を防ぎます。

成功のポイント： – 明確なワイプのトリガーを定義する。– 機能を定期的にテストする。

4.12. モバイルデバイス上でエンタープライズの作業スペースを分離する

モバイルデバイス上で、企業データを個人用アプリから分離します。

成功のポイント： – デバイス管理のためのセルフサービス ポータルを提供します。 – リモートでのパッチ適用と更新を確実に行います。

Netwrix が CIS Control 4 のセーフガードを満たすために役立つ方法

CIS Control 4 を実装することは、安全な設定を導入し、時間の経過とともにその一貫性を維持することを意味します。Netwrix のソリューションは、これらのセーフガードに直接対応しています。

安全なベースラインを確立し、維持する： Netwrix Change Tracker は、サーバー、データベース、エンドポイント全体の構成を継続的に監視します。許可されていない、またはリスクのある変更をリアルタイムで検知し、承認済みのベースラインからの逸脱（ドリフト）を明確に示し、監査を簡素化するためにCIS認定レポートを生成します。これにより、誤った設定を悪用しようとする攻撃者の機会を減らしながら、コンプライアンスを立証できます。

最小特権の徹底と Group Policy（グループポリシー）への準拠： Netwrix PolicyPak は、生産性を損なうことなくローカル管理者権限を削除します。Group Policy setting が Windows のエンドポイント全体に正しく適用されていることを検証し、GPO の過剰な拡散を整理し、未承認の変更をブロックします。これらの機能は、安全なアカウント管理、ファイアウォールルール、デバイスのロックアウトに対する保護策を直接支援します。

エンドポイントでのデータ損失を防ぐ： Netwrix Endpoint Protector USBドライブ、プリンター、またはその他の“出口”経由で機密データが外部に出るのを止めます。コンテンツに応じた保護と強制暗号化により、リムーバブルメディアを管理し、データ流出（exfiltration）のリスクを減らすために CIS の推奨に沿った対策を行えます。

これらのツールを組み合わせることで、CIS Control 4 の最も難しい部分に取り組む支援ができます。初期設定の確実な保護から、ハイブリッド環境やリモート環境でも“ロックダウン”された状態を維持できるようにするところまでカバーします。

CIS Control 4 よくある質問（FAQ）

CIS Controls とは何ですか？
Center for Internet Security が開発した、優先順位付きのセキュリティ・フレームワークです。組織がサイバー攻撃を防ぐのに役立ちます。企業のセキュリティにおけるあらゆる領域をカバーする 18 のコントロールで構成されています。

CIS Control 4 とは何ですか？
CIS Control 4 は、CIS Critical Security Controls におけるサイバーセキュリティのベストプラクティスで、企業の資産およびソフトウェアの安全な設定に焦点を当てています。デフォルト設定を安全なベースラインに置き換え、さらにそれらの設定を定期的に維持することで、システムが攻撃に対して強化（ハードニング）されることを保証します。

企業はどのように安全な設定プロセスを実装できますか？
企業はまず資産の完全な棚卸し（インベントリ）を作成し、その後 CIS Benchmarks に基づいて強化（ハードニング）されたベースラインを確立することで、安全な設定を実装できます。セキュリティポリシーはすべてのシステムに適用し、Netwrix Change Tracker のようなツールで継続的に監視することで、設定のドリフトを検知し、監査準備を効率化できます。

CIS Controls は標準ですか？

CIS Critical Security Controls（CIS Controls）は正式な標準ではありませんが、広く受け入れられている事実上のグローバルなサイバーセキュリティのフレームワークとなっています。非営利団体の Center for Internet Security（CIS）によって開発されたこのコントロールは、運用上のセキュリティのための、優先順位付きでコミュニティ主導のベストプラクティス群を提供します。
最新のサイバー脅威に対して防御するための実用的なロードマップを示しており、幅広い採用と定期的な更新によって強化されています。

なぜ CIS Controls を使うのですか？

組織が CIS Controls を採用するのは、次のような価値があるからです:

• インパクトが大きく、優先順位が明確なガイダンス。 攻撃対象となる表面（アタックサーフェス）を減らし、一般的な攻撃手法を止めるための最も効果的な行動に焦点を当てています。
• 実用的で拡張可能な導入。 Implementation Groups (IGs) により、あらゆる規模の組織が中核となる保護策から始め、時間の経過とともに段階的に拡大できます。
• コンプライアンスとの整合。 これらのコントロールは、NIST CSF をはじめ、ISO 27001、PCI DSS、HIPAA などの広く利用されているフレームワークに直接対応しており、規制整合のための強力な出発点になります。
• シンプルで実行可能なステップ。 CIS Controls は、より抽象的なフレームワークとは異なり、IT チームがすぐに実装できる実践的な防御策を提供します。
• 実証済みの有効性。 CIS Controls のバージョン 8 は、MITRE ATT&CK の技術の約 86% を軽減します（または基本の IG1 レベルで 74%）。