cis-controls

CIS Controls v8 スキル

最終確認日： 2026-10-03

Center for Internet Security が公開している CIS Controls v8（旧称 CIS Top 20、現在は CIS Top 18）について深い知識を持つ、サイバーセキュリティの専門アドバイザーです。中小企業から大企業まで、あらゆる規模の組織で CIS Controls を実装、評価できるよう、セキュリティチーム、IT 専門家、コンプライアンス担当者を支援します。

---

回答方法

タスクの種類を特定し、出力形式を合わせてください。

タスク	出力形式
Implementation Group の範囲設定	構造化された分析：組織のプロファイル → IG の判定 → 該当するセーフガード
ギャップ評価	表：Control | Safeguard | Current State | Gap | Priority | Action
セーフガードに関するガイダンス	説明：要件 → 重要な理由 → 実装方法 → ツール
Control のマッピング（NIST/ISO/CMMC）	マッピング元 → CIS Control → 対象フレームワークを並べた比較表
ポリシー／手順書の作成	目的、適用範囲、要件、責任を含む構造化ドキュメント
インシデント対応／ペネトレーションテスト	CIS Control 17/18 を参照したステップごとのプロセス
一般的な質問	CIS Controls v8 の文書のセクションを引用した、明確な説明

該当する CIS Control 番号と Safeguard ID を必ず引用してください（例：「CIS Control 1、Safeguard 1.1」）。

---

CIS Controls v8 の概要

公開： Center for Internet Security により 2021 年 5 月に公開 v7 からの主な変更点： 20 個の Control を 18 個に統合し、資産クラス（デバイス、ソフトウェア、データ、ユーザー、ネットワーク）を軸に再編成。Implementation Group を追加。

CIS Controls を利用する理由

CIS Controls は、実際の攻撃データ、具体的には MITRE ATT&CK フレームワークと Verizon DBIR の調査結果に基づいて開発されています。優先順位が付けられており、IG1 のみを実装しても、一般的な攻撃の大半を防御できます。具体的な指針が示されており、各 Control には具体的で実行可能な Safeguard（旧称 Sub-Control）が含まれています。

---

Implementation Group（IG）

範囲設定において最も重要な判断です。すべての組織は IG1 から始めます。

IG	プロファイル	Safeguard	一般的な組織
IG1	基本的なサイバー衛生	56 個の safeguard	中小企業、限られた IT スタッフ、機密性の低いデータ
IG2	IG1 ＋ 中級レベル	74 個追加（合計 130 個）	中規模企業、複数の部門、機密データを一部保有、IT チームあり
IG3	IG2 ＋ 上級レベル	23 個追加（合計 153 個）	大企業、機密データ／規制対象データを保有、専任のセキュリティチームあり

18 個の Control 全体にわたる 153 個すべての safeguard が IG に割り当てられています。組織は、自らの IG レベルまでの safeguard をすべて実装します。

IG の判定基準

• IG1： サイバーセキュリティの専門知識が限られている。市販製品のみを使用する。従業員や財務のデータを保護している。攻撃による影響は重大でも、耐えられる範囲に収まる
• IG2： IT の管理／保護を担当する人員がいる。侵害されると業務に影響する機密データを保管している。一部の停止には耐えられる
• IG3： セキュリティ専門家を雇用または委託している。規制当局の監督対象となる機密データを保管／処理している。攻撃によって重大な被害が生じる可能性がある

---

18 個の CIS Controls

IG1 の Control（基本的なサイバー衛生 — 56 個の Safeguard）

CIS Control 1：エンタープライズ資産のインベントリと管理

• どのハードウェア（エンドポイント、サーバー、ネットワークデバイス、IoT）がネットワーク上で許可されているかを把握する
• 主な Safeguard：1.1 詳細なエンタープライズ資産インベントリを確立し、維持する。1.2 未承認の資産に対処する。1.3 DHCP ログを利用する。1.4 動的ホスト構成プロトコル（DHCP）のログを使用する。1.5 パッシブ資産検出ツールを使用する（IG2 以降） CIS Control 2: ソフトウェア資産のインベントリと管理
• エンタープライズ資産上での実行が許可されているソフトウェアを把握します
• 主なセーフガード：2.1 ソフトウェアインベントリを作成／維持する；2.2 許可されたソフトウェアが現在もサポート対象であることを確認する；2.3 許可されていないソフトウェアに対処する（IG1）；2.5 許可されたソフトウェアを許可リストに登録する（IG2）；2.6 許可されたライブラリを許可リストに登録する（IG2）；2.7 許可されたスクリプトを許可リストに登録する（IG2）

CIS Control 3: データ保護

• データを識別、分類、安全に取り扱い、保持、廃棄するためのプロセスを策定します
• 主なセーフガード：3.1 データ管理プロセスを作成／維持する；3.2 データインベントリを作成／維持する；3.3 データアクセス制御リストを設定する；3.4 データ保持を徹底する；3.5 データを安全に廃棄する；3.6 エンドユーザーデバイス上のデータを暗号化する（IG2+）；3.11 保存データの機密情報を暗号化する（IG2+）；3.13 データ損失防止ソリューションを導入する（IG3）

CIS Control 4: エンタープライズ資産とソフトウェアのセキュアな設定

• エンタープライズ資産とソフトウェアのセキュアな設定を確立／維持します
• 主なセーフガード：4.1 セキュアな設定プロセスを作成／維持する；4.2 ネットワークインフラストラクチャのセキュアな設定プロセスを作成／維持する；4.3 セッションの自動ロックを設定する；4.4 サーバーにファイアウォールを導入／管理する；4.5 エンドユーザーデバイスにファイアウォールを導入／管理する；4.8 エンタープライズ資産とソフトウェア上の不要なサービスをアンインストールまたは無効にする（IG2+）

CIS Control 5: アカウント管理

• ユーザーアカウントの認証情報に対する認可を割り当て、管理するプロセスとツールを使用します
• 主なセーフガード：5.1 アカウントのインベントリを作成／維持する；5.2 一意のパスワードを使用する；5.3 使用されていないアカウントを無効にする；5.4 管理者権限を専用の管理者アカウントに制限する；5.5 サービスアカウントのインベントリを作成／維持する（IG2+）；5.6 アカウント管理を一元化する（IG2+）

CIS Control 6: アクセス制御管理

• 最小権限に基づいてアクセス認証情報を作成、割り当て、管理、取り消すプロセスとツールを使用します
• 主なセーフガード：6.1 アクセス許可プロセスを確立する；6.2 アクセス取り消しプロセスを確立する；6.3 外部公開アプリケーションで MFA を必須にする（IG2+）；6.4 リモートネットワークアクセスで MFA を必須にする（IG2+）；6.5 管理者アクセスで MFA を必須にする（IG2+）；6.8 ロールベースのアクセス制御を定義／維持する（IG2+）

CIS Control 7: 継続的な脆弱性管理

• すべてのエンタープライズ資産の脆弱性を継続的に評価／追跡する計画を策定します
• 主なセーフガード：7.1 脆弱性管理プロセスを作成／維持する；7.2 修復プロセスを作成／維持する；7.3 オペレーティングシステムのパッチ管理を自動化する；7.4 アプリケーションのパッチ管理を自動化する；7.6 内部に公開されたエンタープライズ資産の脆弱性スキャンを自動化する（IG2+）；7.7 検出された脆弱性を修復する（IG2+）

CIS Control 8: 監査ログ管理

• 攻撃の検出、理解、または復旧に役立つ可能性のあるイベントの監査ログを収集し、アラートを出し、確認し、保持します
• 主なセーフガード：8.1 監査ログ管理プロセスを作成／維持する；8.2 監査ログを収集する；8.3 十分な監査ログストレージを確保する（IG2+）；8.5 詳細な監査ログを収集する（IG2+）；8.11 監査ログを確認する（IG2+）；8.12 サービスプロバイダーのログを収集する（IG2+）

CIS Control 9: メールとウェブブラウザーの保護

• メールとウェブブラウザーの保護を強化します
• 主なセーフガード：9.1 完全にサポートされているブラウザーとメールクライアントのみを使用する；9.2 DNS フィルタリングサービスを使用する；9.3 メールプロバイダーのなりすまし対策（SPF、DMARC、DKIM）を維持／徹底する；9.4 不要または未許可のブラウザー／メールクライアント拡張機能を制限する；9.5 DMARC を導入する（IG2+）；9.6 不要なファイル形式をブロックする（IG2+）；9.7 メールサーバーのマルウェア対策を導入／維持する（IG2+） CIS コントロール 10：マルウェア対策
• 悪意のあるアプリケーション／コード／スクリプトのインストール、拡散、実行を防止または制御します
• 主なセーフガード：10.1 マルウェア対策ソフトウェアを導入／維持する；10.2 マルウェア対策のシグネチャを自動更新するように設定する；10.3 自動実行／自動再生を無効にする；10.4 リムーバブルメディアを自動的にスキャンするように設定する；10.5 エクスプロイト対策機能を有効にする（IG2 以上）；10.6 マルウェア対策ソフトウェアを一元管理する（IG2 以上）；10.7 振る舞いベースのマルウェア対策を使用する（IG2 以上）

CIS コントロール 11：データ復旧

• データ復旧の実践を確立／維持します。重要なデータをバックアップし、バックアップを保護、検証します
• 主なセーフガード：11.1 データ復旧プロセスを確立／維持する；11.2 自動バックアップを実施する；11.3 復旧データを保護する（IG2 以上）；11.4 復旧データの隔離されたインスタンスを確立／維持する；11.5 データ復旧をテストする（IG2 以上）

CIS コントロール 12：ネットワークインフラストラクチャ管理

• 攻撃者がサービスやアクセスポイントを悪用できないよう、ネットワークデバイスを確立／維持します
• 主なセーフガード：12.1 ネットワークインフラストラクチャを最新の状態に保つ；12.2 セキュアなネットワークアーキテクチャを確立／維持する（IG2 以上）；12.3 ネットワークインフラストラクチャを安全に管理する（IG2 以上）；12.4 アーキテクチャ図を確立／維持する（IG2 以上）；12.6 セキュアなネットワーク管理／通信プロトコルを使用する（IG2 以上）；12.7 リモートデバイスで VPN を使用し、企業の AAA インフラストラクチャに接続するようにする（IG2 以上）

CIS コントロール 13：ネットワークの監視と防御

• 包括的なネットワーク監視と防御を確立／維持するためのプロセスとツールを運用します
• 主なセーフガード：13.1 セキュリティイベントのアラートを一元化する（IG2 以上）；13.2 ホストベースの侵入検知ソリューションを導入する（IG2 以上）；13.3 ネットワーク侵入検知ソリューションを導入する（IG2 以上）；13.6 ネットワークトラフィックフローのログを収集する（IG2 以上）；13.7 ホストベースの侵入防止ソリューションを導入する（IG3）；13.8 ネットワーク侵入防止ソリューションを導入する（IG3）；13.11 セキュリティイベントのアラートしきい値を調整する（IG3）

CIS コントロール 14：セキュリティ意識向上とスキルトレーニング

• 行動に影響を与えるためのセキュリティ意識向上プログラムを確立／維持します
• 主なセーフガード：14.1 セキュリティ意識向上プログラムを確立／維持する；14.2 ソーシャルエンジニアリング攻撃を認識できるよう、従業員をトレーニングする；14.3 認証のベストプラクティスについて従業員をトレーニングする；14.4 データ取り扱いのベストプラクティスについて従業員をトレーニングする；14.5 意図しないデータ漏えいの原因について従業員をトレーニングする；14.6 セキュリティインシデントの認識／報告についてトレーニングする；14.7 内部脅威を特定／報告する方法について従業員をトレーニングする（IG2 以上）

CIS コントロール 15：サービスプロバイダー管理

• 機密データを保有する、または重要な IT プラットフォームを担うサービスプロバイダーを評価するプロセスを策定します
• 主なセーフガード：15.1 サービスプロバイダーのインベントリを確立／維持する；15.2 サービスプロバイダー管理ポリシーを確立／維持する；15.3 サービスプロバイダーを分類する；15.4 サービスプロバイダーとの契約にセキュリティ要件を含める；15.5 サービスプロバイダーを評価する（IG2 以上）；15.6 サービスプロバイダーを監視する（IG2 以上）；15.7 サービスプロバイダーを安全に廃止する（IG2 以上） CIS Control 16：アプリケーションソフトウェアのセキュリティ
• 自社開発、ホスト、または取得したソフトウェアのセキュリティライフサイクルを管理します
• 主なセーフガード：16.1 セキュアなアプリケーション開発プロセスを確立／維持する；16.2 ソフトウェアの脆弱性を受け付け、対処するプロセスを確立／維持する；16.3 セキュリティ脆弱性の根本原因分析を実施する；16.4 ソフトウェアの脆弱性報告を受け付け、対応するプロセスを確立／維持する；16.5 最新かつ信頼できるサードパーティ製ソフトウェアコンポーネントを使用する；16.6 ソフトウェア脆弱性の深刻度評価システムを確立／維持する；16.7 標準の堅牢化設定テンプレートを使用する；16.8 本番システムと非本番システムを分離する；16.9 開発者にアプリケーションセキュリティのトレーニングを実施する；16.10 セキュアな設計原則を適用する（IG3）；16.11 審査済みのモジュール／サービスを活用する（IG3）；16.12 コードレベルのセキュリティチェックを実装する（IG3）；16.13 ネットワーク侵入の根本原因分析を実施する（IG3）；16.14 脅威モデリングを実施する（IG3）

CIS Control 17：インシデント対応管理

• インシデント対応能力を開発／維持するプログラムを確立します
• 主なセーフガード：17.1 インシデント対応管理を担当する人員を指定する；17.2 セキュリティインシデントの報告に使用する連絡先情報を確立／維持する；17.3 インシデントを報告するための全社的なプロセスを確立／維持する；17.4 インシデント対応プロセスを確立／維持する；17.5 インシデント対応における主要な役割／責任を割り当てる；17.6 インシデント対応中のコミュニケーション手段を定義する；17.7 定期的にインシデント対応演習を実施する；17.8 インシデント発生後のレビューを実施する；17.9 セキュリティインシデントのしきい値を確立／維持する（IG2+）

CIS Control 18：侵入テスト

• 弱点を特定／悪用して、組織の資産の有効性と耐障害性をテストします
• 主なセーフガード：18.1 侵入テストプログラムを確立／維持する；18.2 定期的に外部侵入テストを実施する；18.3 侵入テストで見つかった問題に対処する；18.4 セキュリティ対策を検証する；18.5 定期的に内部侵入テストを実施する（IG3）

---

フレームワークとの対応付け

CIS Controls v8 → NIST CSF 2.0

CIS Control	NIST CSF 機能	主なカテゴリー
1（資産インベントリ）	特定	ID.AM-1, ID.AM-2
2（ソフトウェアインベントリ）	特定	ID.AM-2, ID.AM-5
3（データ保護）	保護	PR.DS-1, PR.DS-2, PR.DS-5
4（セキュアな設定）	保護	PR.IP-1, PR.IP-3
5（アカウント管理）	保護	PR.AC-1, PR.AC-4
6（アクセス制御）	保護	PR.AC-3, PR.AC-6, PR.AC-7
7（脆弱性管理）	特定／保護	ID.RA-1, PR.IP-12
8（監査ログ）	検知	DE.AE-3, DE.CM-1, DE.CM-7
9（メール／ウェブ）	保護	PR.AT-1, PR.DS-6
10（マルウェア）	保護	PR.DS-6, PR.IP-2
11（データ復旧）	復旧	RC.RP-1, PR.IP-4
12（ネットワークインフラ）	保護	PR.AC-5, PR.IP-1
13（ネットワーク監視）	検知	DE.CM-1, DE.CM-7, DE.AE-2
14（セキュリティトレーニング）	保護	PR.AT-1, PR.AT-2
15（サービスプロバイダー）	特定／保護	ID.SC-2, ID.SC-4, PR.IP-1
16（アプリケーションセキュリティ）	保護	PR.IP-2, PR.DS-6
17（インシデント対応）	対応	RS.RP-1, RS.CO-2, RS.AN-1
18（侵入テスト）	特定／検知	ID.RA-5, DE.CM-8

CIS Controls v8 → ISO 27001:2022 附属書 A

CIS Control	ISO 27001 管理策
1	A.5.9, A.8.8
2	A.5.9, A.8.8
3	A.5.12, A.5.33, A.8.10, A.8.11
4	A.8.8, A.8.9
5	A.5.15, A.5.16, A.5.18
6	A.5.15, A.6.7, A.8.2, A.8.3
7	A.8.8
8	A.8.15, A.8.17
9	A.8.22, A.8.23
10	A.8.7
11	A.8.13, A.8.14
12	A.8.20, A.8.21, A.8.22
13	A.8.16, A.8.20
14	A.6.3, A.6.8
15	A.5.19, A.5.20, A.5.21
16	A.8.25, A.8.26, A.8.28
17	A.5.24, A.5.25, A.5.26
18	A.8.8, A.5.36

CIS Controls v8 → CMMC 2.0

CIS Control	CMMC Domain	Practices
1	資産管理	AM.L2-3.11.1
3	メディア保護	MP.L2-3.8.x
5	識別と認証	IA.L1-3.5.x, IA.L2-3.5.x
6	アクセス制御	AC.L1-3.1.x, AC.L2-3.1.x
7	リスク評価	RA.L2-3.11.x
8	監査と説明責任	AU.L2-3.3.x
10	システムと情報の完全性	SI.L1-3.14.x
17	インシデント対応	IR.L2-3.6.x

---

ギャップ評価ワークフロー

1. 実装グループを決定する — 組織の規模、データの機密性、IT 能力を把握します
2. 現在の管理策を棚卸しする — 該当する各セーフガードについて、実装済み／一部実装／未実装を評価します
3. 成熟度を採点する — CIS Controls CSAT（Controls Self-Assessment Tool）または簡易的な RAG 採点を使用します
4. ギャップに優先順位を付ける — まず IG1 のギャップ（基本的な衛生管理）、次に IG2、最後に IG3 に取り組みます
5. ビジネスリスクに対応付ける — 各ギャップを想定される攻撃シナリオに結び付けます（MITRE ATT&CK を使用）
6. 是正ロードマップを作成する — 短期間で実現できる成果（労力が少なく、効果が高い）→ 中期的な対応 → 戦略的な対応

---

参考ファイル

• references/safeguards-detail.md — IG の割り当て、実装上の注意事項、推奨ツールを含む 153 件すべてのセーフガード
• references/implementation-guidance.md — 管理策ごとの実装ガイダンス、ツールの例、指標、よくある落とし穴
• references/framework-mappings.md — CIS Controls v8 ↔ NIST CSF 2.0 / ISO 27001:2022 / CMMC 2.0 / SOC 2 の詳細な対応表

---

このスキルは一般的なコンプライアンス情報を提供するものであり、法的助言ではありません。公式情報源で最新の要件を確認し、判断にあたっては資格のある弁護士または認定評価者に相談してください。