サイバー防御のための CIS 重要なセキュリティコントロール 18選

データ 侵害 のコストが 過去最高の 435 万ドルに達していることに加え、世界中でコンプライアンス違反に対する罰則がより厳しくなっているため、組織はデータを安全に保つために必要なすべてのセキュリティ対策（セキュリティ制御）を講じている必要があります。 CIS ControlsCIS Controls は、サイバー脅威に対する効果的な防御のための確かな土台を提供します

CIS Controls は 2008 年に最初に開発され、その後、技術の進化と脅威の状況の変化に応じて定期的に更新されています。これらのコントロールは、一般的な攻撃に関する最新情報に基づいており、商用フォレンジックの専門家、個々のペネトレーションテスター、そして米国政府機関からの貢献者による知見を合わせたものを反映しています。

この記事では CIS バージョン 8 の 18 のコントロール について詳しく説明します。これらのガイドラインは、リモートワークの増加と、それに伴うアクセス・ポイントの増大、そして perimeter-less security（境界のないセキュリティ）の必要性を踏まえています。

コントロール 01：企業資産の棚卸しと管理

包括的なサイバーセキュリティ戦略を策定し、実装するための最初のステップは、自社の資産、その資産を管理しているのが誰か、そしてそれらが果たす役割を理解することです。これには、従業員の個人用携帯電話のように自社の管理下にない資産も含め、インフラストラクチャに接続されているすべてのハードウェアについて、正確で最新かつ詳細なリストを作成し、維持することが含まれます。ポータブルなユーザーデバイスは定期的にネットワークへ参加し、その後は姿を消すため、現在利用可能な資産の棚卸し情報は非常に変動しやすくなります。

なぜこれは重要なのでしょうか？ この情報がなければ、考えられるすべての攻撃面（attack surfaces）を確実に保護できているかどうかを判断できません。ネットワークに接続するすべての資産を棚卸し（inventory）し、未承認のデバイスを削除することで、リスクを大幅に下げられます。

コントロール 02：ソフトウェア資産の棚卸しと管理

Control 2 は、現代の企業が業務運営のために使用する目まぐるしいほど多様なソフトウェアに起因する脅威に対処します。ここには、次の主要な実践が含まれます：

• すべてのソフトウェア資産を特定して文書化し、古くなっている、または脆弱性があるものは削除します。
• 承認済みソフトウェアの許可リスト（allowlist）を作成することで、未承認ソフトウェアのインストールと使用を防止します。
• 自動化されたソフトウェア追跡ツールを使用して、ソフトウェアアプリケーションを監視し管理します

なぜこれが重要なのでしょうか？ 未パッチのソフトウェアは引き続き ランサムウェア攻撃の主要な侵入経路 となります。包括的なソフトウェアインベントリにより、すべてのソフトウェアが最新の状態であること、また既知の脆弱性がパッチ適用または緩和されていることを確認できます。特に、オープンソースのコンポーネントを含むソフトウェアでは、その脆弱性が公知であるため、これはきわめて重要です。

コントロール 03. データ保護

CIS Controls のバージョン7では、データ保護はコントロール13でした。

あなたのデータは、会社にとって最も価値のある資産の1つです。 CIS Control 3 は、データを識別・分類し、安全に取り扱い、保管し、そして廃棄するためのプロセスと技術的コントロールを詳述することで、データを保護する方法を示しています。次の事項に関する規定を必ず含めてください：

• データ インベントリ
• データ アクセス コントロール
• データ保管
• データ廃棄
• すべての段階とリムーバブルメディアでのデータ暗号化
• データ分類
• データフローマップ
• 機密性に基づいてデータ処理と保存を分離する
• データ損失防止
• 機密データへのアクセスと活動を記録する

なぜこれが重要なのでしょうか？ 多くの データ漏えい は故意の窃盗の結果ですが、人的ミスや不十分なセキュリティ運用によって、データの損失や破損が発生することもあります。データの外部流出（エクスフィルトレーション）を検知できるソリューションは、これらのリスクを最小限に抑え、データ侵害の影響を軽減します。

統制 04. 企業資産およびソフトウェアの安全な設定

この保護策は、バージョン7の統制5および11を統合したものです。ハードウェアおよびソフトウェア資産上で安全な設定を確立し、維持するためのベストプラクティスを詳述します。

なぜこれが重要なのでしょうか？ わずかな設定ミスでも、セキュリティ上のリスクが発生し、業務運営が妨げられる可能性があります。自動化ソフトウェアを使うことで、IT資産のハードニングと監視のプロセスが簡素化されます。たとえば、 Netwrix Change Tracker は CIS 認定のビルドテンプレートを提供し、強固なベースライン設定を素早く確立できるよう支援するとともに、予期しない変更をリアルタイムで通知してくれるため、リスクを最小化するために迅速に対応できます。

統制 05. アカウント管理

アカウント管理は、CIS Controls バージョン7における統制16でした。

ユーザー、管理者、サービスアカウントを安全に管理することは、攻撃者による悪用を防ぐうえで非常に重要です。統制5には、脆弱なアカウントに起因するセキュリティ問題を回避するための6つのステップが含まれています：

• すべてのアカウントのインベントリを作成し、維持します。
• 固有のパスワードを使用します。
• 45日間使用されていないアカウントを無効化します。
• 特権アカウントの使用を制限します。
• サービスアカウントのインベントリを作成し、維持します。
• すべてのアカウント管理を一元化します。

なぜこれは重要なのでしょうか？ 特権アカウントや使用されていないアカウントは、攻撃者がネットワークを狙うための足がかりになります。これらのアカウントを最小化し、適切に管理することで、データとネットワークを不正アクセスから保護することにつながります。

コントロール 06. アクセス制御の管理

この保護策は、CIS Controls バージョン 7 のコントロール 4 と 14 を統合しています。

コントロール 6 は、ユーザー権限の管理に関するものです。ベストプラクティスとしては、アクセスの付与および取り消しのプロセスを確立すること、多要素認証を使用すること、アクセス制御のためのシステムの棚卸し（インベントリ）を維持することなどが挙げられます。

なぜこれは重要ですか？ 手早く進めるために過度に広い権限を付与すると、攻撃の入口が生まれます。各ユーザーのアクセス権を、業務を遂行するのに必要な範囲のみに制限すれば、攻撃対象領域（アタックサーフェス）を抑えられます。

コントロール 07. 継続的な脆弱性管理

CIS Controls のバージョン 7 では、継続的な脆弱性管理 はコントロール 3 で扱われていました。

このコントロールは、ネットワーク上の各セキュリティ脆弱性を特定し、優先順位を付け、文書化し、そして是正（修復）することを対象としています。例として、公開されているサービスやネットワークポート、ならびにデフォルトのアカウントやパスワードなどが挙げられます。

なぜこれは重要ですか？ インフラの脆弱性を積極的に特定し、是正措置を講じない組織では、資産が侵害されたり、業務上の支障が生じたりする可能性が高くなります。

コントロール 08. アカウントログ（監査ログ）管理

このトピックは、CIS Controls バージョン 7 のコントロール 6 で取り上げられていました。

監査ログ管理には、監査ログの収集、保存、保管期間の確保、時刻同期、および監査ログの確認（レビュー）に関する管理策が含まれます。

なぜこれが重要なのでしょうか？ セキュリティのログ記録と分析は、攻撃者が自身の所在や活動を隠すことを防ぐのに役立ちます。セキュリティインシデントで侵害されたシステムがどれかを把握できているとしても、ログが不完全だと、攻撃者がこれまでに何を行ったのかを理解し、効果的に対応することが難しくなります。さらに、ログは、フォローアップ調査や、長期間未検知のままであった攻撃の起点（攻撃元）を特定するためにも必要になります。

コントロール 09. メールおよび Web ブラウザの保護

この保護策は、CIS Controls バージョン7における Control 7 でした。

メールとWebブラウザは、攻撃の一般的な侵入口です。メールサーバーとWebブラウザを保護するための主要な技術的統制には、悪意のあるURLやファイル形式のブロックが含まれます。こうした攻撃に対してより包括的に防御するには、最善のセキュリティ実践に関する全社的なトレーニングも提供する必要があります。

なぜこれが重要なのでしょうか？ スプーフィングやソーシャルエンジニアリングのような手法を使うことで、攻撃者はユーザーをだまして、マルウェアを拡散したり機密データへのアクセスを可能にしたりする行動を取らせることができます。

Control 10. マルウェア対策

このトピックは、CIS Controls バージョン7における Control 8 で取り上げられていました。

ランサムウェアやその他のマルウェアを扱う組織は、主流のビジネスと同じくらいプロフェッショナルになっています。この管理策は、悪意のあるソフトウェアのインストール、実行、および拡散を防止または制御するための保護策を説明します。自動更新とともに、振る舞いベースのアンチマルウェアとシグネチャベースのツールの両方を中央で管理することで、マルウェアに対する最も堅牢な保護が得られます。

なぜこれは重要なのでしょうか？ マルウェアは、データを盗む、暗号化する、または破壊するトロイの木馬、ウイルス、ワームといった形で現れます。ランサムウェアは大きなビジネスであり、世界規模の費用総額は 2031年までに2,650億ドルに達する見込み です。管理策9で概説されている実践に従うことで、高額で被害の大きいマルウェア感染から組織を守るのに役立ちます。

管理策 11. データ復旧

データ復旧は、CIS Controls バージョン 7 では管理策 10 でした。

管理策11では、データがバックアップされていることを確実にするための5つの保護策について説明します。これらには次の要素が含まれます:

• データ復旧プロセス
• 自動バックアップ
• バックアップデータの保護
• バックアップデータの隔離
• データ復旧プロトコルのテスト

なぜこれが重要なのですか？ 保護され、隔離された場所にデータの最新バックアップを確保しておくことで、ランサムウェア攻撃の後にデータへ再びアクセスするために高額な身代金の要求に屈する必要を回避できる可能性があります。さらに、効果的なデータのバックアップと復旧は、誤って削除してしまうことやファイルの破損といった脅威から組織を守るためにも必要です。

統制 12. ネットワーク基盤の管理

ネットワーク基盤の管理は、バージョン8の新しい統制です。侵害されたネットワークサービスやアクセス・ポイントを狙った攻撃のリスクを軽減するために、すべての ネットワーク機器を積極的に管理する必要があります。

なぜこれが重要なのですか？ ネットワークセキュリティは、攻撃に対して防御するうえでの土台となる要素です。企業はネットワーク基盤を強化するために、設定、アクセス制御、トラフィックの流れを常に評価し、更新する必要があります。ネットワーク基盤のあらゆる側面を十分に文書化し、許可されていない変更がないかを監視することで、セキュリティ上のリスクにいち早く気付けます。

統制 13. ネットワークの監視と防御

コントロール 13 は、CIS Controls への新たな追加項目でもあります。これは、プロセスとツールを用いて、ネットワーク インフラストラクチャとユーザーベース全体にわたるセキュリティ上の脅威を監視し、防御することに焦点を当てています。このコントロールの 11 の保護策では、侵入を検知するために必要なデータの収集と分析方法、トラフィックのフィルタリング、アクセス制御の管理、トラフィック フロー ログの収集、セキュリティ イベントに関するアラートの発行方法を扱います。

なぜこれが重要なのでしょうか？ 自動化技術と、ネットワークの脅威を検知・分析・軽減するためのプロセスを実装できるよう訓練されたチームを組み合わせることで、サイバーセキュリティ攻撃からの防御に役立ちます。

コントロール 14. セキュリティ意識とスキル訓練

このトピックは、CIS Controls バージョン 7 のコントロール 17 で取り上げられていました。

コントロール 14 は、すべてのユーザーに対してサイバーセキュリティの意識とスキルを向上させるための教育プログラムを実施することに関わります。このトレーニング プログラムは次の内容を含むべきです：

• ソーシャルエンジニアリング攻撃を認識できるように人々をトレーニングします。
• 認証に関するベストプラクティスを取り上げます。
• 安全でないネットワークでデータを送信することの危険性を含め、データ取り扱いのベストプラクティスを取り上げます。
• 意図しないデータ露出が起こる原因を説明します。
• ユーザーがセキュリティインシデントを認識して報告できるようにトレーニングします。さらに。
• 欠落しているセキュリティ更新プログラムを特定して報告する方法を説明します。
• 職務に応じたセキュリティ意識とスキルのトレーニングを提供します。

なぜこれは重要なのでしょうか？ 多くのデータ侵害は、人為的なミス、フィッシング攻撃、そして パスワードポリシーの不備 によって引き起こされます。従業員にセキュリティ意識のトレーニングを行うことで、高額なデータ侵害、ID窃盗、コンプライアンス違反による罰則、その他の被害を防ぐことができます。

コントロール 15。サービスプロバイダー管理

コントロール 15 は、バージョン 8 における最後の新しいコントロールです。これは、第三者が取り扱うデータ、プロセス、システムを対象とします。サービスプロバイダーの棚卸し（インベントリ）を作成するためのガイドライン、サービスプロバイダーの管理および分類、契約へのセキュリティ要件の組み込み、サービスプロバイダーの評価・監視、ならびに安全にサービス提供を終了（解消）するための手順が含まれます。

なぜこれが重要なのでしょうか？ サービスを外部委託している場合でも、最終的には自社データのセキュリティに対して責任を負い、万一の侵害について責任を問われる可能性があります。サービス提供事業者を利用すれば業務運営を簡素化できますが、第三者が管理するデータが安全であることを保証するための詳細なプロセスがないと、問題がすぐに複雑化してしまうことがあります。

コントロール 16. アプリケーションソフトウェアのセキュリティ

この保護策は、CIS Controls の 7th 版におけるコントロール 18 でした。

ソフトウェアのセキュリティのライフサイクルを管理することは、セキュリティ上の弱点を検出して是正するために不可欠です。各アプリケーションで常に最新のバージョンのみを使用しており、関連するパッチがすべて速やかにインストールされていることを定期的に確認してください。

なぜこれが重要なのでしょうか？ 攻撃者は、Webベースのアプリケーションやその他のソフトウェアにある脆弱性を悪用することがよくあります。バッファオーバーフロー、SQLインジェクション攻撃、クロスサイトスクリプティング、コードのクリックジャッキングなどの手法により、ネットワークのセキュリティ制御やセンサーを回避することなく、あなたのデータを侵害できてしまう可能性があります。

コントロール 17. インシデント対応の管理

インシデント対応の管理は、CIS Controls の 7th 版ではコントロール 19 でした。

適切なインシデント対応は、単なる迷惑と大惨事の分かれ目になり得ます。計画、役割の定義、トレーニング、マネジメントの監督、そして、攻撃をより効果的に発見し、被害を抑えるために必要となるその他の対策が含まれます。

なぜこれは重要なのでしょうか？ 残念ながら、ほとんどの場合、成功するサイバー攻撃は「起こるかどうか」ではなく「いつ起こるか」です。インシデント対応計画がないと、攻撃が深刻な被害を与えるまで発見できない可能性があります。堅牢なインシデント対応計画があれば、攻撃者の存在を排除し、ネットワークとシステムの完全性を大きなダウンタイムなしに復旧できるかもしれません。

コントロール 18. ペネトレーションテスト

本トピックは、CIS Controls の第7版における Control 20 で取り上げられています。

このコントロールでは、定期的に外部および内部の侵入テストを実施し、防御の強度を評価することが求められます。このコントロールを実装することで、攻撃者がネットワークに侵入して被害を与えるために悪用し得る、技術・プロセス・人に存在する脆弱性を特定できるようになります。

なぜこれは重要なのでしょうか？ 攻撃者は、プロセスに存在する隙（例：パッチのインストール遅延）を悪用することに積極的です。技術が絶えず進化している複雑な環境では、攻撃者がそれらを利用する前に隙を見つけて修正できるよう、防御を定期的にテストすることが特に重要です。

コントロールの実装：実践的なアプローチ

CIS Critical Security Controls から価値を得ることは、必ずしも 18 個すべてのコントロールを同時に実装することを意味しません。コントロール一式を同時に実装するための予算・人的リソース・時間を確保できる組織は多くありません。

以下の手順は、開始に役立つ実践的なガイドです：

1. 情報資産を洗い出し、その価値を見積もります。 リスク評価 を実施し、初期の侵入経路、拡散、被害などを含めて、システムやデータに対する潜在的な攻撃を検討します。統制（controls）の実装を導くためのリスク管理プログラムを策定してください。
2. 現在のセキュリティ統制を CIS Controls と比較します。セキュリティ機能が存在しない、または追加の作業が必要な各領域をメモしてください。
3. 最も価値の高い新しいセキュリティ統制を導入し、既存の統制の運用上の有効性を高めるための計画を策定します。
4. 計画について経営層の賛同を得、必要な財務・人員支援に関して事業部門のコミットメントを形成します。
5. コントロール（対策）を実装します。組織に新たなリスクをもたらし得るトレンドに注目してください。リスク低減に関する進捗を測定し、調査結果を共有します。

「18 のクリティカル セキュリティ コントロール」についてもっと知りたいですか？CIS Center for Internet Security の公式ウェブサイトをご覧ください：https://www.cisecurity.org/controls/

よくある質問（FAQ）

CIS Controls とは何ですか？

CIS Controls は、最も一般的で、かつ甚大な被害をもたらすサイバーセキュリティ攻撃に対抗するために、組織が有効で優先度の高いタスクのリストを活用できるようにしたガイドラインです。これは、あらゆる組織がサイバーセキュリティを改善するための出発点を提供します。

CIS Controlsは全部でいくつありますか？

最新バージョン（バージョン8）では、CIS Controls は18個あります。

CIS Controls は誰が作成しましたか？

CIS Controls は、政府機関と民間部門の双方から、サイバーセキュリティの専門家や政策立案者を含む国際的なボランティアのグループによって作成されました。

なぜ組織は CIS Controls を導入する必要があるのでしょうか？

CIS Controls の最大の利点の一つは、18 のアクションステップに内在する優先順位付けです。サイバーセキュリティは幅広い領域であり、戦略の策定を始めたばかりの組織にとっては圧倒されるほど複雑に感じられることがあります。CIS Controls では、システムとデータを保護するために取れる最も価値の高いアクションを挙げています。