CISコントロール

CIS Controlsは、Center for Internet Security Controlsの略であり、サイバーセキュリティに特化したベストプラクティスのセットです。これらの目的は、組織がサイバー脅威からシステム、ネットワーク、およびデータを保護するための構造化されたアプローチを提供することです。これらのコントロールを実装することで、組織はセキュリティ姿勢を強化し、サイバー攻撃に対する耐性を向上させることができます。

CIS Controlsの特徴と利点

CIS Controlsは、最も一般的なサイバー脅威と脆弱性を軽減するための優先順位付けされた一連のアクションで構成されています。幅広いセキュリティの懸念をカバーし、組織に包括的かつ効果的なサイバー防御のフレームワークを提供します。CIS Controlsの主な特徴と利点の一部は以下の通りです:

1. 包括的なカバー範囲: CIS Controlsは、ハードウェアとソフトウェアの保護、安全な構成、脆弱性管理、リスク管理の実践など、サイバーセキュリティのさまざまな側面を網羅しています。この包括的なカバー範囲により、組織はサイバーセキュリティに対する全体的なアプローチを持つことができます。

2. 適応性: このコントロールは、あらゆる規模や業界の組織に適用できるように設計されています。スケーラブルであり、組織の特定のニーズや脅威の状況に応じて調整可能です。この適応性が、さまざまなタイプの組織にとって柔軟で実用的なソリューションとなっています。

3. アクションの優先順位付け: コントロールは優先順位付けされた形式で整理されており、組織が最も重要で影響力のあるアクションに最初に焦点を当てることができます。高優先度のコントロールに取り組むことで、組織は重大なリスクと脆弱性を効果的に軽減できます。

4. 継続的改善: CIS Controlsは、サイバーセキュリティ対策の継続的な監視と改善のためのフレームワークとして機能します。組織は定期的にセキュリティ姿勢を評価し、サイバー脅威の状況の変化に基づいて調整を行うことができます。この積極的なアプローチにより、組織は新たな脅威に先んじることができます。

CIS Controlsのカテゴリ

CIS Controlsは3つのカテゴリに分かれており、それぞれが特定のサイバーセキュリティ領域を対象としています:

1. 基本的なサイバー衛生

• ハードウェア資産のインベントリと管理: 組織は、コンピュータ、サーバー、ネットワークデバイスを含むハードウェア資産の包括的なインベントリを保有すべきです。これらの資産を管理し保護するコントロールの実装は、リスクを最小限に抑えるために重要です。

• ソフトウェア資産のインベントリと管理: 組織は、ネットワーク内で使用されるすべてのソフトウェアのインベントリを維持すべきです。このコントロールは、無許可のソフトウェアインストールを防ぎ、すべてのソフトウェアが最新で正しくライセンスされていることを保証します。

• 継続的な脆弱性管理: 定期的な脆弱性評価とパッチ管理は、既知の脆弱性に対する保護に不可欠です。組織は、脆弱性を特定し、リスクに基づいて優先順位を付け、パッチを適用し、常に新たな脆弱性を監視するシステムを持つべきです。

• 管理特権の制御された使用: 管理特権の使用を許可された人員に限定することで、不正アクセスや悪意のある活動のリスクを軽減できます。組織は、管理アクセスに関する強力なコントロールとポリシーを確立すべきです。

• ハードウェアとソフトウェアの安全な構成: ハードウェアとソフトウェアを安全な設定で構成することは、攻撃の表面を最小化し、攻撃の成功の可能性を減少させます。組織は安全な構成に関する業界のベストプラクティスに従うべきです。

2. 基盤的なセキュリティコントロール

• 境界防御: ファイアウォール、ネットワークセグメンテーション、侵入検知システムなどのネットワークセキュリティ対策を実装することで、外部の脅威から保護します。組織は、不正アクセスを防ぐために強力な境界防御を確立すべきです。

• データ保護: 組織は、暗号化、データ損失防止、およびアクセスコントロールを含めて、機密データを保護するための対策を実装すべきです。データ保護コントロールは、データ侵害や不正な開示のリスクを軽減します。

• テレメトリーとインシデント対応: 強力な監視とログシステムを実装することで、組織はセキュリティインシデントを迅速に検出し対応できます。これらのコントロールは、ネットワークトラフィック、システムアクティビティ、および潜在的なセキュリティインシデントの可視性を提供します。

3. 組織的なセキュリティコントロール

• ガバナンス、リスク管理、脆弱性管理: 組織は、サイバーセキュリティリスクを管理するための効果的なガバナンス構造とプロセスを確立すべきです。これには、リスク評価、ポリシーの開発、およびセキュリティコントロールの継続的改善が含まれます。

• メールとウェブブラウザの保護: スパムフィルターやウェブコンテンツフィルタリングなどのメールとウェブブラウザのセキュリティコントロールを実装することで、フィッシング攻撃やマルウェアから保護します。

• ネットワークポート、プロトコル、およびサービスの制限と制御: 組織は、攻撃の表面を減少させるために、開かれたポート、プロトコル、およびサービスの数を最小限に抑えるべきです。必要なポートとサービスだけを許可し、その使用に対して厳格なコントロールを実施すべきです。

• データ復旧能力: 強力なデータバックアップと復旧プロセスを導入することで、組織はサイバーセキュリティインシデントから回復し、ビジネス運営への影響を最小限に抑えることができます。

追加情報

• CIS Controlsは、組織の具体的なニーズに基づいてカスタマイズ可能です。組織は、脅威の状況、業界要件、および規制義務を評価して、最も適切なコントロールを実装すべきです。

• Center for Internet Security (CIS)は、組織がCIS Controlsを効果的に実装するためのリソースとツールを提供しています。これらのリソースには、詳細な実装ガイド、ベンチマーク、ガイドラインが含まれます。

• CIS Controlsの定期的なレビューと更新は、サイバーセキュリティの専門家と実務家のコミュニティによって行われています。これにより、コントロールが新たな脅威や業界のベストプラクティスに対応できるようにしています。

関連用語

• NIST Cybersecurity Framework: 組織がサイバーセキュリティリスクを管理し軽減するのを支援するために設計されたフレームワークです。NIST Cybersecurity Frameworkは、柔軟でスケーラブルなサイバーセキュリティへのアプローチを提供します。

• Defense in Depth: 多層防御を採用して、さまざまなタイプの脅威から機密情報とシステムを保護するサイバーセキュリティ戦略です。Defense in Depthは、予防的、探知的、および是正的なコントロールの組み合わせを使用して階層的な防御を提供します。