CISコントロールとは？ネットワークセキュリティ対策の基本と実践方法を徹底解説

サイバーセキュリティ対策を効率的に進めるうえで注目されているのが、米国非営利団体「Center for Internet Security（CIS）」が提唱するCISコントロールです。本記事では、CISコントロールの基本概念、20の重要セキュリティコントロールの概要、実装手順、NISTフレームワークとの関係など、よくある疑問をQ&A形式でわかりやすく解説します。

CISコントロールの基本的な内容とは

CISコントロールの基本は、まずハードウェア資産のインベントリ（台帳）を作成し、それを厳格に管理することです。ソフトウェア資産についても同様に、管理・台帳化のための仕組みを整えます。加えて、脆弱性を常時管理し、管理者権限は統制された形でのみ使用することが求められます。さらに、モバイルデバイス、ノートパソコン、サーバー、ワークステーションなど各種端末向けのセキュリティ構成ソリューションを導入することで、組織全体の防御力を高めます。

CISセキュリティフレームワークとは

効果的なサイバーセキュリティ戦略を策定するためには、20のベストプラクティスで構成される「CISコントロール」に従うことが推奨されています。CISコントロールはNIST（米国国立標準技術研究所）のサイバーセキュリティフレームワークとも整合性があり、企業間でリスク管理に関する共通言語を持つことを目的とした取り組みから生まれました。

CISコントロールの実装ステップ

CISコントロールの導入は、以下のステップで進めるのが一般的です。

ステップ1：まず自社の資産を棚卸しし、把握します。
ステップ2：資産に対する管理状況を測定します。
ステップ3：境界防御（ペリメータ防御）を構築します。
ステップ4：インシデントの検知と対応体制を整えます。
ステップ5：最も深刻なセキュリティギャップを特定し、優先順位をつけます。
ステップ6：計画を立ててコントロールを整備・導入します。
ステップ7：ユーザーへの教育と監視を実施します。
ステップ8：コントロールが正しく機能しているかを継続的に確認します。

CIS 20のコントロールとは

「SANS Top 20 Critical Security Controls」をCenter for Internet Security（CIS）が採用・改編したものであり、将来発生しうる有害かつ広範な脅威から組織を守るための、優先順位付きベストプラクティスの一覧です。既知の脅威からシステムとデータを保護するために設計された20のコントロール（「SANS Top 20」とも呼ばれます）で構成され、まだ一貫したセキュリティプログラムを持たない企業にとっての指針となるほか、既存のセキュリティ体制の強化にも役立ちます。

CIS CSATとは

CIS CSAT（CIS Controls Self-Assessment Tool）は、Webベースの自己評価ツールです。組織はこのツールを使って、自社のサイバーセキュリティ戦略とインフラを、CISの20の重要コントロールと照らし合わせて評価できます。現在の対策状況を可視化し、改善すべき領域を特定するのに有用です。

CISセキュリティ標準（ベンチマーク）とは

CISが提供するITシステムおよびデータのセキュリティベンチマークは、サイバー脅威から防御するための手段として国際的に認められています。数千社もの企業が、この規範的なガイダンスに従って安全なベースライン設定を行っています。これらのベンチマークは、Microsoftをはじめとするパートナーとの協業によって開発されました。

CISコントロールとCISベンチマークの違い

CISコントロールが組織全体のセキュリティ対策の優先順位を示す枠組みであるのに対し、CISベンチマークは情報システム、ミドルウェア、ソフトウェアアプリケーション、ネットワークデバイスなどの強化（ハードニング）に特化した、より具体的な設定指針を提供します。

なぜCISには20のコントロールがあるのか

どのセキュリティコントロールを優先すべきかを判断する際には、現実世界の脅威への有効性が重視されます。SANS Top 20 Critical Security ControlsをCISが採用したことで、実効性の高い対策から順に着手できる優先順位付きのリストとして提供されています。

CISコントロールの正式名称

CISコントロールの正式名称は「CIS Critical Security Controls（重要セキュリティコントロール）」です。Center for Internet Security（CIS）は、Critical Security Controls（CSC）プログラムの一環として、全体的なサイバーセキュリティの向上に適用できる、実行可能な形に落とし込んだセキュリティ概念を公開しています。

NISTとCISの違い

NISTのフレームワークは自主的に採用できる枠組みであり、全体的なセキュリティリスクの低減を目指す組織に適しています。一方、SANS/CIS 20は、セキュリティ強化のための優先順位ベースのソリューションを見つけることに焦点を当てています。IoT分野の業界で特に有用とされますが、業種や規模を問わず、あらゆる組織が恩恵を受けられます。

CIS Top 20はフレームワークなのか

2015年1月1日以降、CISがこのフレームワークの管理を担当しています。CISトップ20は、すべての企業がサイバー脅威から身を守るために何をすべきかを示したものであり、CISが特定した20の重要セキュリティコントロールに対する基本的な理解を深めるための指針となっています。

CISコントロールの歴史

CISコントロールは2008年以降、政府機関だけでなく、サイバーアナリスト、脆弱性研究者、ソリューションベンダー、エンドユーザー、コンサルタント、政策立案者、経営幹部など、セキュリティエコシステムの様々な立場の機関・企業・個人によって継続的に開発・改良されてきました。

CISの実装グループ（IG）について

CISコントロールは、各企業が自社のリスクプロファイルと利用可能なリソースに応じて実装します。実装グループ（IG：Implementation Group）ごとに、実装すべき一連のセーフガード（旧称：CISサブコントロール）が定められており、最新のCIS Controls v8では合計153のセーフガードが含まれています。これにより、組織の規模や成熟度に合わせた段階的な導入が可能になっています。