コンテンツにスキップ
LevelUp101.net

CIS Controlsとは？18の管理策と導入の考え方

Section titled “CIS Controlsとは？18の管理策と導入の考え方”

CIS Controlsとは

Section titled “CIS Controlsとは”

CIS Controlsは、サイバー攻撃への備えとして「何を実施し、何から着手するか」を示す、優先順位のあるセキュリティ対策集です。 正式名称はCIS Critical Security Controlsで、米国の非営利団体Center for Internet Security（CIS）が、世界の専門家の知見と攻撃に関するデータをもとに整備しています。

端末やソフトウェアの管理、認証、更新、バックアップ、従業員教育、委託先管理、事故対応までを扱います。セキュリティ担当者だけでなく、経営者や情報システム担当者が、対策の抜け漏れと改善の優先順位を共有するためにも使えます。CIS公式概要

本記事は、提供された日本語訳PDFと公式資料に基づくv8.1の独自要約です。原文の全訳や、153項目すべての実装手順ではありません。情報確認日は2026年10月8日です。

何のために使うのか

Section titled “何のために使うのか”

セキュリティ対策には多くの選択肢があります。CIS Controlsは、一般的な攻撃への備えを具体的な作業に落とし込み、限られた人員・予算でも改善を進めやすくするための指針です。

  • 現状を確認する： 管理できていない端末、不要なアカウント、未更新のソフトウェアなどを洗い出す。
  • 改善計画をつくる： リスクと利用できるリソースに合わせ、実施範囲と優先順位を決める。
  • 運用を継続する： 担当者、手順、定期点検を定め、導入した対策が機能し続ける状態をつくる。
  • 実施状況を説明する： 台帳、設定記録、訓練結果などを根拠に、経営層や取引先へ説明する。

これらは、添付PDFの「概要」「導入にあたり」をもとに整理した活用方法です。製品の購入だけで完了するものではなく、人・手順・技術を組み合わせて運用することが重要です。

構成：18のコントロールと153のセーフガード

Section titled “構成：18のコントロールと153のセーフガード”

v8.1は、18のコントロール（対策分野） と、その下にある153のセーフガード（具体的な対策項目） から構成されます。添付日本語訳では、セーフガードを「保護手段」と表記しています。

たとえば、コントロール5は「アカウント管理」という分野で、その中にはアカウントの一覧を維持する、休眠アカウントを無効化する、といった個別の対策があります。

PDFの各コントロールには、概要、重要な理由、手順とツール、セーフガードが記載されています。個々の項目には対象資産、セキュリティ機能、該当する実装グループなども示されています。項目数はCIS公式の実装グループ解説でも確認できます。

18のコントロールには何が含まれるか

Section titled “18のコントロールには何が含まれるか”

以下は各分野の要約です。日本語名称は添付PDFに合わせています。記載した実務例がすべてIG1に含まれるわけではなく、適用範囲は各セーフガードで確認します。

No. コントロール 内容・実務の例
1 組織の資産のインベントリと管理 PC、スマートフォン、サーバー、ネットワーク機器、IoT機器などを把握し、未承認・未管理の機器に対処する。仮想・クラウド環境も対象に含める。
2 ソフトウェア資産のインベントリと管理 OSやアプリケーションの一覧を維持し、未承認ソフトウェアやサポート終了製品に対処する。
3 データ保護 データを分類し、アクセス権、暗号化、保存期間、安全な廃棄などを管理する。
4 組織の資産とソフトウェアの安全な構成 安全な設定を標準化し、初期設定の見直しや不要なサービスの無効化を行う。
5 アカウント管理 利用者・管理者・サービスアカウントを把握し、不要なアカウントの無効化や管理者用アカウントの分離を行う。
6 アクセス制御管理 権限の付与・変更・取り消しを管理する。多要素認証（MFA）や業務に必要な範囲の権限付与を行う。
7 継続的な脆弱性管理 脆弱性情報を収集し、OS・アプリケーションの更新、診断、修正状況の追跡を続ける。
8 監査ログ管理 ログを収集・保存・確認し、不審な活動の検知や事故調査に役立てる。
9 電子メールとWebブラウザの保護 安全なメール・ブラウザ利用を整備し、不正サイト、危険な添付ファイル、なりすましメールなどへの対策を行う。
10 マルウェアの防御 悪意あるプログラムの侵入・実行・拡散を防ぐ。対策ソフトの導入・更新や検知機能を運用する。
11 データ復旧 バックアップと復旧手順を整備する。バックアップを保護・分離し、復元できることを検証する。
12 ネットワークインフラストラクチャ管理 ルーターなどのネットワーク機器を更新し、安全な構成や管理方法を維持する。
13 ネットワークの監視と防御 通信やセキュリティイベントを監視し、侵入検知・防御、ネットワーク分離などを運用する。
14 セキュリティ意識向上とスキルのトレーニング フィッシングへの対応、安全な認証・データの扱い、事故の報告方法などを教育する。
15 サービスプロバイダーの管理 クラウド事業者や委託先を把握し、重要度に応じた評価、契約、監視、利用終了時の対応を行う。
16 アプリケーションソフトウェアセキュリティ 自社開発・運用・調達するソフトウェアについて、設計、開発、依存部品、テスト、修正を管理する。
17 インシデントレスポンスと管理 事故対応の責任者、連絡先、報告・対応手順を定め、演習と振り返りを行う。
18 ペネトレーションテスト 攻撃を模擬したテストで、人・手順・技術を含む防御の有効性を確認し、見つかった弱点を改善する。

出典：添付PDFの本文pp.11–61。英語の名称と概要はCIS公式の18コントロール一覧を参照できます。

実装グループ：どこまで取り組むか

Section titled “実装グループ：どこまで取り組むか”

実装グループ（Implementation Group：IG）は、リスクと利用できるリソースに応じて、実施するセーフガードを選ぶための区分です。 従業員数だけで決めるものではありません。扱う情報、事業停止の影響、専門人材、攻撃へのさらされ方なども考慮します。

グループ セーフガード数 位置づけと想定する状況
IG1 56 すべての組織の出発点となる基礎的な対策。専門人材や予算が限られる組織でも、一般的な攻撃への備えを整える。
IG2 累計130（IG1の56＋追加74） ITの管理・保護を担う人材がおり、複数部門や機密情報を扱うなど、運用が複雑な組織向けに対策を拡充する。
IG3 累計153（IG2の130＋追加23） 高い機密性やサービス継続性が求められ、専門人材を持つ組織向け。高度な標的型攻撃やゼロデイ攻撃の影響にも備える。

IG2はIG1を、IG3はIG1とIG2を含みます。CISはすべての組織にIG1から始めることを推奨しています。IGは認証の等級ではなく、実装の優先順位を決めるための目安です。CIS公式IG解説、IG2、IG3

コントロールを1から18まで順番に完成させる、という使い方は適切ではありません。 IG1には、後半のデータ復旧、教育、委託先の把握、事故対応なども含まれます。一方、コントロール13・16・18にはIG1対象のセーフガードがありません。番号順に進めてバックアップや事故連絡体制を後回しにせず、IGと自社のリスクをもとに計画します。根拠：添付PDFの「導入にあたり」と各コントロールのIG欄。

v8.1で更新された点

Section titled “v8.1で更新された点”

v8.1は、v8の枠組みを維持した段階的な更新です。主な変更は、NIST Cybersecurity Framework（CSF）2.0との対応関係、資産区分、用語の定義、セーフガードの説明の見直しです。特に、CSF 2.0のGovern（統治） に対応するセキュリティ機能のマッピングが加わりました。

「ガバナンス」という19番目のコントロールが追加されたわけではありません。18のコントロール、153のセーフガード、IGの構成は維持されています。CIS公式v8.1解説、添付PDFの本文pp.2–3

CIS Benchmarksや他の枠組みとの関係

Section titled “CIS Benchmarksや他の枠組みとの関係”

CIS Controlsは組織として行う対策を示し、CIS BenchmarksはOSやクラウドなどの製品・技術ごとの安全な設定を示します。 たとえば、コントロール4の設定標準を整備するときに、対象製品のBenchmarkを参照できます。CIS Benchmarks公式

NIST CSFなどの枠組みとの対応関係も提供されています。日本の組織では、既存のISMS活動や取引先からの要求に対し、具体的な対策を検討・確認する補助として活用できます。ただし、対応表や実装実績だけで、別の規格の認証や法令への適合が自動的に証明されるわけではありません。

組織で始めるための手順

Section titled “組織で始めるための手順”

以下は本記事で提案する進め方です。CISの必須手順や、固定された導入日程ではありません。

  1. 対象を決める。 本社・拠点、在宅勤務端末、クラウド、SaaS、委託先を含め、どこまで評価するかを明確にする。
  2. 守る資産と重要な業務を把握する。 端末、ソフトウェア、アカウント、データ、外部サービスを整理し、停止・漏えいの影響を確認する。
  3. 目標IGを決め、IG1の現状を確認する。 実施済み・一部実施・未実施・適用外を、記録や設定などの証拠で判断する。適用外には理由を残す。
  4. 不足を改善計画にする。 各項目の責任者、期限、確認方法を決める。委託先任せの項目も、誰が実施し、誰が確認するかを明確にする。
  5. 効果を確認し、見直す。 更新状況、不要アカウント、ログ収集、バックアップの復元、訓練結果などを確認する。事業・システム・脅威の変化に合わせて改善する。

たとえば、台帳の有無だけでなく「現在の端末が載っているか」、バックアップの有無だけでなく「必要なデータを復元できるか」を確認すると、実際の運用まで評価できます。

出典・参考資料

Section titled “出典・参考資料”

本文の基準資料は添付日本語訳とCIS公式資料です。以下の日本語記事も参照していますが、旧版の説明や異なる訳語を含むため、版と項目番号を確認して読む必要があります。