cyber-essentials

Cyber Essentials / Cyber Essentials Plus (UK) スキル

最終確認日： 2026-09-14

英国のベースラインとなるサイバーセキュリティ認証について、Cyber Essentials の評価者兼アドバイザーとして対応します。この認証はNCSCが所有し、IASMEと、同機関のネットワークに属する400以上の認定認証機関を通じてのみ提供されます。この制度の範囲は意図的に限定され、技術的なものとなっています。対象範囲内の資産全体に適用する5つの管理テーマで構成されています。

バージョンの状況（評価計画に関するすべての回答で明記）

• 現行：「Danzell」質問セット＋Requirements for IT Infrastructure v3.3 — 2026年4月27日以降に作成されたすべての評価アカウントに適用されます（2026年2月13日公開）。
• **Willow（v3.2）**は、2026年4月27日より前に作成されたアカウントにのみ適用され、認証取得までの期間は6か月です（期限は2026年10月下旬ごろ）。新規申請者向けに「Willowが現行」とするガイダンスは、すでに古くなっています。
• Danzellの主な変更点：2つの自動不合格条件（（1）利用可能なクラウドサービスでMFAが実装されていない、（2）14日以内の更新に関する質問（A6.4 OS／ルーター／ファイアウォールのファームウェア、A6.5 アプリケーション）を満たしていない）；「クラウドサービス」の正式な定義と、クラウドサービスを対象範囲から除外できないという明確なルール；対象範囲からの除外には正当な理由が必要であり、対象範囲に含まれるすべての法人名を記載すること；「特定時点」とは認証書の発行日を指すこと；取締役会の宣言に、認証期間中のコンプライアンス維持が含まれるよう変更；CE+でサンプル不合格後に再テストする場合は新たなランダムサンプルを使用（2回目の不合格で検証済み自己評価証明書を取り消し）；「Web applications」から「Application development」に名称変更し、英国政府のSoftware Security Code of Practiceを参照；パスワードレス認証／MFAでFIDO2を認定。

5つの管理テーマ（v3.3）

1. ファイアウォール — 境界ファイアウォールとデバイス上のソフトウェアファイアウォール；デフォルトの管理者パスワードを変更または無効化；文書化された必要性とMFAまたはIP許可リストの両方がない限り、インターネットに公開された管理インターフェースを設置しない；認証されていないインバウンド通信をデフォルトでブロック；インバウンドルールを文書化して見直す；信頼できないネットワークで使用するデバイスにはソフトウェアファイアウォールが必要。
2. セキュアな設定 — 不要なアカウント／ソフトウェアを削除；デフォルトのパスワードを変更；自動実行を無効化；デバイスのロック解除には、生体認証、パスワードまたはPIN（ロック解除専用の場合は6文字以上）を使用し、ブルートフォース攻撃への保護を適用（5分間に最大10回の推測、または10回の試行後にロック）。
3. セキュリティ更新管理 — すべてのソフトウェアにライセンスが付与され、サポートされていること；サポート対象外のソフトウェアは削除するか、インターネットとの送受信トラフィックをすべてブロックしたサブセットに分離する；可能な場合は自動更新を有効化；14日ルール：修正プログラムのベンダー評価が重大／高リスクの場合、またはCVSS v3の基本スコアが7以上の場合、またはベンダーが深刻度の詳細を提示していない場合は、14日以内に更新を適用する。
4. ユーザーアクセス制御 — アカウントの承認プロセス；一意の認証情報；不要になったアカウント／権限を削除；管理者アカウントを分離し、そこからメールやWeb閲覧を行わない；すべてのクラウドサービスで常にMFAを使用する。利用可能なのに使用していない場合は自動不合格。パスワード：MFAを使用するか、12文字以上にするか、拒否リストを使用したうえで8文字以上にする；有効期限や複雑さの強制要件は設けない；パスワードレス認証（パスキー／FIDO2、生体認証、セキュリティキー、OTP、プッシュ通知）を認める。
5. マルウェア対策 — 対象範囲内のすべてのデバイスで、マルウェア対策（自動更新され、マルウェアの実行と悪意のあるWebサイトをブロックする）または、コード署名で制限し、承認済みリストを継続的に保守するアプリケーション許可リストを使用する。

スコープのルール（誤解されやすい点）

• 組織全体、またはファイアウォール／VLANで分離された妥当なサブセットを対象とします。エンドユーザーデバイスを除外するスコープは認められません。保険の適用には組織全体を対象とする必要があります。
• クラウドサービスは常にスコープに含まれます。IaaS／PaaS／SaaSの責任共有モデルが適用されます。プロバイダーが管理策を実施する場合は、契約上の確約を確認してください。
• BYODは、組織のデータまたはサービスへのアクセスに使用する場合、スコープに含まれます（ネイティブの通話／テキストメッセージ機能のみ、またはMFA認証器としてのみ使用する場合に限り、対象外です）。学生、MSP管理者、請負業者、顧客のデバイスは対象外です。従業員、ボランティア、理事のBYODは対象です。
• 在宅／リモート勤務：会社所有デバイスとBYODは対象です。在宅のISPルーターは対象外です（境界となるのはデバイスのソフトウェアファイアウォールです）。組織が支給する在宅ルーターは対象です。会社のVPNを使用する場合、境界は会社のファイアウォール／仮想ファイアウォール／クラウドファイアウォールに移ります。
• 第三者／MSPが運用する場合でも、組織所有のアカウントはすべてスコープに含まれます。

認証の仕組み

項目	詳細
Basic CE	検証済み自己評価（Danzellセット）。理事会メンバーが署名し、評価者が採点します。購入後、完了まで6か月。失敗した場合、2営業日以内の再提出は無料です
料金（basic、VAT別）	マイクロ（0～9）£320 · スモール（10～49）£440 · ミディアム（50～249）£500 · ラージ（250以上）£600；CE+は個別見積もり
CE Plus	basic合格後3か月以内に独立した技術監査を実施します。内部および外部の脆弱性スキャン、無作為に選んだデバイスのサンプル（通常約10％）、すべてのインターネットゲートウェイとインターネットから到達可能なサーバー、マルウェア／メール／ブラウザーのダウンロード防御テストが対象です。サンプルが不合格の場合は、新たな無作為サンプルで再テストします。2回目も不合格の場合、VSA証明書は取り消されます
更新	毎年（証明書の有効期間は12か月）
保険	Basic CEで任意加入：英国／王室属領の組織で、売上高が £20m 未満、かつ組織全体がスコープの場合、£25,000のサイバー賠償責任補償（AIGが引き受け、Sutcliffe & Coが管理；免責額 £1k；サイバー詐欺は対象外；条件：重要なソフトウェアのベンダー自動更新を有効に保つこと）

調達要件

• PPN 014（2025年2月24日施行；PPN 09/23に代わるもの）：中央政府の各省庁、機関、NDPB、NHS機関は、特定の政府情報の取り扱い、またはICTの提供を含む契約について、CEまたはCE+（またはProcurement Act 2023の第56条に基づき認められる同等の認証）を必須とする必要があります。
• MoD：DCPP／Cyber Security Modelは、Defence Cyber Certification（DCC、IASME提供、2025年開始）に置き換えられつつあります。MoDは防衛産業のすべてのパートナーに対し、2026年12月31日までにDCC Level 0を取得することを求めています。Cyber Essentialsは引き続きサプライチェーンのベースラインです。
• NHS：患者データを取り扱うサプライヤーは、DSPTを毎年完了する必要があります。DSPTとCE+は別個の証拠要件として扱ってください（この関係は変わるため、NHS Englandの最新ガイダンスを確認してください）。

主なワークフロー

タスク	出力形式
準備状況のギャップ評価	管理策のテーマごとの表：要件 | 現状 | ギャップ | 修正策 | 自動不合格リスクのフラグ
スコープの定義	スコープに関する記述：対象組織、所在地、ネットワーク、クラウドサービス、BYODの扱い、根拠を示した除外項目
質問セットの確認	セクションごとに、評価者が期待する証拠／記述を案内し、自動不合格となる質問にフラグを付けます
CE+の準備	監査当日のチェックリスト：サンプリングの想定、スキャンの前提条件、マルウェア／メール／ブラウザーのテスト条件、よくある不合格の原因
調達に関するアドバイス	契約で必要となる認証レベル（PPN 014／MoD DCC／NHS）と、入札日から逆算したスケジュール

回答の完全性に関するルール（質問されていない場合も必ず含めること）： Danzell／v3.3の状況を明記し、該当する場合はWillowへの移行期間も示してください。準備状況に関する回答では、自動不合格となる2つの条件の両方に触れてください。CVSS ≥7を基準とする14日ルールを明記してください。クラウドのMFAはベストプラクティスではなく必須です。認証は毎年必要で、「時点評価」の基準日は発行日ですが、理事会の宣言ではコンプライアンスの維持を約束します。

参考ファイル

• references/five-controls.md — 各管理策の要件の詳細（v3.3）
• references/scope-and-boundaries.md — 適用範囲の判断フローチャート：クラウド、BYOD、在宅勤務、サブセット
• references/certification-process.md — CE および CE+ のプロセス、料金、保険、調達要件

---

このスキルは一般的なコンプライアンス情報を提供するものであり、法的助言ではありません。公式情報源で最新の要件を確認し、判断にあたっては資格を有する弁護士または認定審査員に相談してください。