CIS Implementation Group 1（IG1）：必須のサイバー衛生

COVID-19 パンデミックの開始以来、サイバー犯罪はより一般的になってきました。実際に、McAfee Enterprise と FireEye の 2021 年のレポートによると、世界中の組織の 81% がサイバー脅威の増加を経験し、さらに 79% が繁忙期にサイバー攻撃によるダウンタイムを被りました。 2021 年の McAfee Enterprise および FireEye によるレポート 。攻撃もまた、より複雑になっています。IBM と Ponemon Institute は、2021 年に データ侵害 を発見して封じ込めるまでの平均時間は 287 日であり、2020 年より 1 週間長かったと報告しています。

幸いなことに、Center for Internet Security (CIS) は Critical Security Controls（CSCs）を提供しており、組織がサイバーセキュリティを強化するのに役立ちます。これらのベストプラクティスのガイドラインは、リスクを低減するための実行可能な手段を提供する、18 の推奨コントロールで構成されています。

CSC の実装グループ

これまで、CSCs は「basic（基本）」「foundational（基盤）」「organizational（組織）」の 3 つのカテゴリに分けられていました。ところが、現在の CSC のバージョン 8 では、コントロールを 3 つの実装グループ（IGs）に分割しています。これは、組織の規模、種類、リスクプロファイル、リソースといった要因が、コントロールの実装プロセスにどのように影響し得るかを考慮しているためです。

• Implementation Group 1 (IG1)は、サイバー衛生（cyber hygiene）の最低基準を定義しており、すべての企業は 56 のセーフガード（safeguards）を実装する必要があります。多くの場合、IG1 の企業は中小規模で、サイバーセキュリティの予算と IT リソースが限られており、感度の低い情報を保管しています。
• Implementation Group 2 (IG2)は、より多くのリソースを持ち、かつ中程度に機密性のあるデータを扱う企業向けです。IG2 の 74 のセーフガード（safeguards）は、IG1 の 56 のセーフガードを土台としており、セキュリティチームが運用の複雑さの増大に対処できるよう支援します。セーフガードの中には、導入や設定のために専門知識とエンタープライズ品質の技術を必要とするものがあります。IG2 の企業は、IT システムおよびデータを監視・管理・保護する人員を雇用するためのリソースを持っています。これらの企業は通常、機密性の高い企業および顧客情報を保存・処理するため、データ侵害が起きると世間の信頼を失うことになります。
• Implementation Group 3 (IG3)は、企業および顧客のデータが非常に機密性の高い、成熟した組織向けです。追加で 23 のセーフガード（保護策）を備えています。IG3 の企業は、IG2 の企業よりも規模がはるかに大きい傾向があります。したがって、侵入テスト、リスク管理、アプリケーションなど、サイバーセキュリティのさまざまな側面に特化した IT 専門家を採用することが多くなります。これらの企業の IT 資産には機密データが含まれており、また、コンプライアンスおよび規制当局の監督の対象となる機密性の高い機能を実行しているため、企業は高度な攻撃を防止し、無力化するとともに、ゼロデイ攻撃の影響を低減できる必要があります。

CIS IG1：セキュリティにとって不可欠なセーフガード（保護策）はどれですか？

IG1 のすべてのコントロールは、13（ネットワーク監視と防御）、16（アプリケーションソフトウェアのセキュリティ）、18（侵入テスト）を除き必須です。これらの要件は、企業の成熟度レベル、規模、リソースに依存するためです。残りのすべての基本的な CIS コントロールには、必須のセーフガード（保護策）が含まれており、それらが IG1 を構成しています。では、これらの必須のセーフガードを早速見ていきましょう。

CIS Control 1. 企業資産の棚卸しと管理

In CIS Control 1 では、5 つのセーフガード（保護策）のうち 2 つが IG1 に含まれます：

1.1 包括的なエンタープライズ資産インベントリを確立し、維持します。 組織の攻撃対象領域（attack surface）を減らすには、ネットワーク上のすべての資産を包括的に把握する必要があります。

1.2 未承認の資産に対処します。 認可されたデバイスのみがアクセスできるように、ネットワーク上のすべてのハードウェア デバイスを積極的に管理する必要があります。未承認のデバイスは、何らかの損害が発生する前に、速やかに特定して切断（切り離し）しなければなりません。

CIS Control 2. ソフトウェア資産のインベントリと管理

CIS Control 2 には 7 つのセーフガードがありますが、IG1 に含まれるのは最初の 3 つだけです:

2.1 最新のソフトウェア インベントリを確立し、維持します。 ネットワーク上のコンピューターにあるすべてのソフトウェアについて、タイトル、提供元（出版社）、インストール日、対応システム、業務目的、関連 URL、デプロイ方法、バージョン、廃止日など、詳細情報を含めて記録しておくことが重要です。

2.2 承認済みソフトウェアが現在もサポートされていることを確認します。 セキュリティパッチやアップデートが提供されないサポート外のソフトウェアをそのまま使用し続けると、組織のサイバーセキュリティ上のリスクが高まります。

2.3 未承認のソフトウェアに対処します。 未承認のソフトウェアをインストールできないようにする、またはインストールされた場合でも速やかに検出して削除できるよう、ネットワーク上のすべてのソフトウェアを積極的に管理することを忘れないでください。

CIS Control 3. データ保護

CIS Control 3 は CIS Control 1 を土台にしつつ、包括的なデータ管理および保護計画の必要性を強調しています。以下は、その 14 の保護策のうち 6 つで、いずれも必須です：

3.1 データ管理プロセスを確立し、維持します。 データの機密性、保管（保持）期間、保存、バックアップ、廃棄に対応する、最新の文書化されたプロセスを維持してください。

3.2 データインベントリを確立し、維持します。 自社で保有しているデータが何で、どこにあるのかを正確に把握しないと、data security の取り組みに優先順位を付け、重要なデータを適切に保護し、規制順守を確実にすることができません。

3.3 データのアクセス制御リストを設定します。 ユーザーの職務内容に応じてアクセス権限を制限することは非常に重要です。定期的なスケジュールでアクセス権を見直し、過剰な権限付与（overprovisioning）を避けるためのプロセスを導入してください。

3.4 データ管理プロセスに従ってデータ保持を徹底します。 コンプライアンス要件やその他の業務上のニーズに基づいて、データの種類ごとにどのくらいの期間保持するかを決め、保持スケジュールが確実に守られるようにプロセスを構築してください。

3.5 データを安全に廃棄し、廃棄方法とプロセスがデータの機密性（sensitivity）に見合うことを確認します。 データの廃棄プロセスが、取り扱っているデータの種類に適していることを確認してください。

3.6 ノートパソコンや携帯電話などのエンドユーザー端末上でデータを暗号化します。 データを暗号化すると、端末が紛失または盗難に遭っても判読できず、悪意のある攻撃者にとって役に立たなくなるため、結果としてコンプライアンス上の罰則を回避するのに役立ちます。

CIS Control 4. エンタープライズ資産およびソフトウェアの安全な設定

CIS Control 4 は、ハードウェアおよびソフトウェア資産に対して適切な設定を維持できるようにするためのベストプラクティスを示しています。このセクションには合計 12 個の safeguard があります。ただし、最初の 7 個のみが IG1 に該当します:

4.1 安全な設定プロセスを確立し、維持します。 ベストプラクティスのガイドラインに基づいて IT 資産の標準設定を作成し、それらを展開および維持するためのプロセスを実装します。

4.2 ネットワーク インフラストラクチャ向けの安全な設定プロセスを確立し、維持します。 ネットワーク デバイス の標準設定を確立し、そのベースラインからの逸脱やドリフトを継続的に監視して、ネットワーク セキュリティを弱める変更を速やかに是正してください。

4.3 定めた非アクティブ時間が経過したら、企業の資産で自動セッションロックを設定します。 この安全対策は、権限のあるユーザーが端末を保護せずにその場を離れた場合に、悪意のある攻撃者がワークステーション、サーバー、モバイル端末へ不正にアクセスするリスクを軽減するのに役立ちます。

4.4 サーバーにファイアウォールを導入し、管理します。 ファイアウォールは、ネットワーク経由での不正アクセスからサーバーを保護し、特定の種類の通信（トラフィック）を遮断し、信頼できるプラットフォームやその他のソースからのプログラム実行のみを可能にします。

4.5 エンドユーザー端末にファイアウォールを導入し、管理します。 インベントリにあるすべてのエンドユーザー端末に、ホストベースのファイアウォールまたはポートフィルタリングツールを追加し、デフォルト拒否（default-deny）ルールを有効にします。明示的な許可がある、あらかじめ決めたサービスとポートのリスト以外のすべての通信を禁止してください。

4.6 企業のソフトウェアと資産を安全に管理します。 この安全対策では、バージョン管理された infrastructure-as-code によって構成を管理することを推奨しています。 さらに、SSH や HTTPS のようなセキュアなネットワークプロトコルを介して管理用インターフェイスにアクセスすること、暗号化サポートが不十分であるため中間者攻撃や盗聴攻撃に対して脆弱になり得る Telnet や HTTP のような安全でない管理プロトコルは避けることも推奨しています。

4.7 企業のソフトウェアと資産におけるデフォルトアカウントを管理します。 デフォルトアカウントは攻撃者にとって格好の標的になりやすいため、事前設定を変更し、可能な限りデフォルトアカウントを無効化することが重要です。

CIS コントロール 5. アカウント管理

CIS コントロール 5は、ユーザー、管理者、サービスアカウントが適切に管理されていることを確実にするための戦略を示します。このコントロールでは、6 つのセーフガードのうち 4 つが必須です：

5.1 アカウントの一覧を確立し、維持する。 すべてのアカウントの棚卸し（インベントリ）を定期的に見直し、更新して、使用中のアカウントが承認されていることを確認します。アカウントの目的を含むあらゆる詳細を文書化してください。

5.2 一意のパスワードを使用する。 パスワードのセキュリティに関するベストプラクティスは パスワードポリシーを構築し 、適切で信頼されているフレームワークを使って手順を定めることです。おすすめの選択肢は Special Publication 800-63B（米国国立標準技術研究所 National Institute of Standards and Technology（NIST））です。そのガイドラインは、サイバーセキュリティを改善したいあらゆる企業に役立ちます。

5.3 休眠アカウントを無効化する（少なくとも 45 日間使用されていないアカウント）。 休眠アカウントを定期的にスキャンして無効化することで、攻撃者がそれらのアカウントを侵害し、あなたのネットワークに侵入するリスクを低減できます。

5.4 管理者権限を専用の管理者アカウントに限定します。 特権アカウントは、管理タスクを完了する必要がある場合にのみ使用してください。

CIS Control 6. アクセス制御の管理

Control 6 は、ユーザーのアクセスと権限を管理・設定するためのベストプラクティスを示します。8つのセーフガードのうち5つがIG1に含まれます：

6.1 アクセス付与のプロセスを確立します。 理想的には、特権の付与および変更のプロセスを、各ユーザーの役割に対する標準的な権限セットに基づいて自動化すべきです。

6.2 アクセス（権限）を取り消すプロセスを確立します。 未使用または過剰な権限を保持するとセキュリティ上のリスクが高まるため、従業員が退職するか、または役割（ロール）を変更したらすぐにアクセス権を取り消すか更新する必要があります。

6.3 外部に公開されているアカウントには多要素認証（MFA）を必須にします。 MFAでは、ユーザーはユーザーID/パスワードの組み合わせに加えて、メールに送信されるセキュリティコードなど、2つ以上の認証要素を提示する必要があります。顧客やパートナーが使用するアカウントには、MFAを有効にすることが必要です。

6.4 リモートネットワークアクセスにはMFAを必須にします。 ユーザーがリモート接続を試みるたびに、そのアクセスはMFAで検証される必要があります。

6.5 管理者アクセスにはMFAを必須にします。 管理者アカウントはより高度なセキュリティが必要なため、MFAを有効にすることが重要です。

CIS Control 7. 継続的な脆弱性管理

CIS Control 7 は、IT 環境における脆弱性の特定、優先順位付け、文書化、および修正に重点を置いています。 継続的な脆弱性管理 は、攻撃がますます巧妙化し頻度も高まっていること、そしてこれまで以上に機密性の高いデータがあることから推奨されます。

7 つのセーフガードのうち 4 つは Implementation Group 1 に含まれています：

7.1 脆弱性管理プロセスを確立し、維持します。 企業は、想定されるセキュリティ脆弱性を特定、評価、是正（修復）し、報告する方法をどのように行うかを決定する必要があります。

7.2 是正（修復）プロセスを確立し、維持します。 企業は、特定された脆弱性に対してどのように対応するかを決定する必要があります。

7.3 自動化されたオペレーティングシステムのパッチ管理を実施します。 すべてのオペレーティングシステムを適時にパッチ適用しておくことが重要です。

7.4 自動化されたアプリケーションのパッチ管理を実施します。 アプリケーションのパッチを維持することは、オペレーティングシステムにパッチを適用することと同じくらい重要です。

CIS Control 8. 監査ログ管理

CIS Control 8 は、攻撃を検知し、理解し、そして復旧するのに役立つ可能性のある事象の監査ログを収集、アラート通知、レビュー、保管するためのガイドラインを示します。

このコントロールの必須の保護策は以下のとおりです。

8.1 監査ログ管理プロセスを確立し、維持します。 企業は、エンタープライズ資産に関する監査ログを誰が収集・レビュー・保管するのか、またそのプロセスがいつ、どのように実施されるのかを決定する必要があります。このプロセスは、重大な変更によってこの保護措置に影響が及ぶ可能性がある場合に加えて、毎年見直しおよび更新を行うべきです。

8.2 監査ログを収集します。 ログ監査は、システム、デバイス、アプリケーションなどの企業資産全体で有効にする必要があります。

8.3 十分な監査ログの保管領域を確保します。 適用されるコンプライアンス要件およびその他の業務上のニーズに基づいて、監査ログデータをどこに、どれくらいの期間保管するかを決定し、必要なデータが上書きされたり、その他の理由で失われたりしないように十分なストレージを割り当ててください。

CIS Control 9. 電子メールとWebブラウザーの保護

CIS Control 9 Webおよび電子メールのブラウザー向けに7つの保護策があり、そのうち2つが必須です：

9.1 完全にサポートされている電子メールクライアントとブラウザーのみを使用します。E 電子メールクライアントとブラウザーは更新されており、安全な設定が施されている必要があります。

9.2 ドメイン ネーム システム（DNS）フィルタリング サービスを使用する 。これらのサービスは、既知の悪意のあるドメインへのアクセスをブロックするために、すべてのエンタープライズ資産で使用する必要があります。これにより、セキュリティ態勢の強化につながります。

CIS Control 10. マルウェア防御

CIS Control 10 は、企業の資産における悪意のあるコード、アプリ、スクリプトのインストールと拡散を防止し、制御する方法を示しています。7つの保護策のうち3つは必須です：

10.1. アンチマルウェア ソフトウェアを導入し、維持管理する。 IT 資産のすべての入口ポイントで、マルウェア防御を有効化する。

10.2. 自動アンチマルウェア（anti-malware）シグネチャの更新を設定します。 自動更新は手動のプロセスよりも信頼性が高くなります。更新は毎時間または毎日リリースされることがあり、インストールの遅れがあると、システムが悪意のある攻撃者に対して無防備な状態になる可能性があります。

10.3. リムーバブルメディアに対する autorun（自動実行）および auto-play（自動再生）を無効化します。 リムーバブルメディアはマルウェアに対して非常に脆弱です。自動実行（auto-execute）機能を無効化することで マルウェア の感染を防ぎ、高額なデータ漏えいまたはシステム停止につながるリスクを軽減できます。

CIS Control 11. データ復旧

CIS Control 11 データ復旧とバックアップの必要性を示しています。このコントロールには 5 つのセーフガードがあり、最初の 4 つが必須です：

11.1. データ復旧プロセスを確立し、維持します。 組織全体で一貫して実行できる、堅実なデータ復旧プロセスを確立し、維持します。データ復旧の範囲に対応し、どのデータが最も重要かを定めることで優先順位を設定する必要があります。

11.2. 自動化されたバックアップ手順を実装します。 自動化により、人の介入なしでシステムデータが予定どおりにバックアップされます。

11.3. 復旧データを保護します。 バックアップにも適切なセキュリティが必要です。これは、お客様の データ保護ポリシーに基づいて、暗号化やセグメンテーション（分割）を含む場合があります。

11.4. バックアップデータの隔離されたコピーを確立し、維持します。 ランサムウェアのような脅威からバックアップを守るために、オフラインに保存するか、クラウドまたはオフサイトのシステムやサービスに保存することを検討してください。

CIS Control 12. ネットワーク基盤の管理

Control 12 は、攻撃者が脆弱なアクセス・ポイントやネットワークサービスを悪用できないようにするため、ネットワーク機器を管理するためのガイドラインを定めています。IG1における唯一の防御策では、安全なネットワーク・アーキテクチャを構築・維持し、ネットワーク基盤を最新の状態に保つことが求められます。

CIS コントロール 14. セキュリティ意識およびスキル研修

CIS コントロール 14 は、従業員のサイバーセキュリティに関する意識とスキルを高めることに重点を置いています。研修の頻度や種類はさまざまです。多くの場合、組織は従業員に対し、3〜6か月ごとに短いテストに合格することで、セキュリティ規則に関する知識を定期的に更新させます。

9 つのセーフガードのうち 8 つは必須とされています：

14.1 セキュリティ意識プログラムを確立し、維持する。 従業員に対して重要なセキュリティ実践を教育するセキュリティ意識プログラムを構築する。

14.2 従業員に対してソーシャルエンジニアリング攻撃を認識できるように訓練する。 例として、テールゲーティング、フィッシング、電話詐欺があります。

14.3 従業員に対して認証のベストプラクティスを教育します。 安全な認証を使用すべき理由を説明することが重要です。ベストプラクティスに従わない場合のリスクや結果も含めて理解させてください。

14.4 従業員にデータの取り扱いに関するベストプラクティスを教育します。 この保護策は、機微性の高いデータや規制対象のデータにとって特に重要です。

14.5 従業員に対して、意図しないデータ露出の原因を教育します。 例としては、携帯用デバイスを紛失すること、機微なデータを誤った受信者にメールで送信すること、意図しない相手が閲覧できる場所にデータを公開することなどがあります。

14.6 従業員に対して、潜在的なセキュリティインシデントを認識し報告するよう教育します。 たとえば以下のような質問に答える詳細なガイドを作成してください。詐欺の兆候として考えられるものは何か？セキュリティインシデントが発生した場合、従業員は何をすべきか？インシデントについて誰に連絡すべきか？

14.7 従業員に対して、企業の資産にソフトウェアのパッチやセキュリティアップデートが不足している場合に、それを特定して報告する方法を教育します。 従業員には、なぜアップデートが重要なのか、またアップデートを拒否するとどのようにセキュリティ上のリスクにつながり得るのかを理解させる必要があります。

14.8 従業員に対して、不安定な（不安全な）ネットワークへの接続や、その上でのデータ送信がもたらす危険性を教育してください。 誰もが、不安全なネットワークに接続することの危険性を認識している必要があります。リモートワーカーには、家庭用ネットワークが安全に構成されていることを確認するための追加トレーニングを実施してください。

CIS Control 15. サービスプロバイダーの管理

CIS Control 15 は、機密データを取り扱うサービスプロバイダーを評価し、管理することの重要性を示しています。組織に関連するすべてのサービスプロバイダーを棚卸し（インベントリ）として管理し、それらのセキュリティ要件を等級付けするための基準を作成し、各プロバイダーのセキュリティ要件を評価することが求められます。

8つの保護策のうち、必須なのは最初の1つだけです。これは、サービスプロバイダーのリストを作成し、維持することを求めています。

CIS Control 17. インシデント対応の管理

最後に、CIS Control 17 は、攻撃を検知し、準備し、そして迅速に対応できるインシデント対応能力を開発・維持することに関係しています。インシデントを管理する人員を指定し、インシデント報告のためのプロセスを確立して維持することが必要です。さらに、セキュリティインシデントを報告するための連絡先情報も作成し、維持してください。

9 つの保護策のうち、3 つが必須です：

17.1 インシデント対応を管理する人員を指定する。 この担当者は、インシデント管理に精通している必要があり、潜在的な問題に関する報告を受けることが明確な主要連絡先でなければなりません。

17.2 セキュリティインシデントを報告するための連絡先情報を確立し、維持する。 従業員は、起こり得るインシデントについて適切な担当者にどのように連絡すればよいかを正確に理解している必要があります。また、インシデント対応を担当するチームは、重要な意思決定を行う権限を持つ人々の連絡先情報を持っている必要があります。

17.3 インシデントを報告するための企業全体のプロセスを確立し、維持する。 このプロセスは文書化され、定期的に見直される必要があります。プロセスには、インシデントをどのように報告するか（報告の期限、報告の仕組み、報告すべき情報：たとえばインシデントの種類、時間、脅威のレベル、影響を受けたシステムまたはソフトウェア、監査ログなど）を含めて説明する必要があります。

次のステップ

CIS Critical Controls Implementation Group 1 は、健全なサイバーセキュリティ態勢のための基本的なガイダンスを提供します。IG1 のセーフガード（保護策）は必須のサイバー衛生（cyber hygiene）活動であり、理念・リソース・学び（教訓）を共有し、連携した行動を通じてセキュリティを高めることに専念するコミュニティによる長年の共同経験によって形作られています。

IG1 のセーフガード（保護策）を実装する準備はできていますか？ Netwrix products はお手伝いできます。データ、アイデンティティ、インフラストラクチャという主要な攻撃対象領域すべてにわたって組織を保護することで、サイバーセキュリティ上の課題に対する包括的なアプローチを提供します。

主要なソリューションについて詳しく：

• データアクセスのガバナンス — 機密データへのアクセスを再びコントロールしましょう。
• Active Directory のセキュリティ — オンプレミスとクラウドの両方で、 ADをエンドツーエンドで保護します。
• ランサムウェア対策 — ランサムウェア感染のリスクを軽減し、進行中の攻撃を検知します。
• Privileged access management — 特権アクティビティによるリスクを大幅に低減します。
• 情報ガバナンス — データを整理し、見つけやすくし、より安全にします。