「すべてを守る」という幻想へのアンチテーゼ
情報セキュリティの世界には無数のガイドライン（NIST CSF、ISO 27001等）が存在しますが、現場のエンジニアや予算が限られた中小企業のCISOが必ず直面する壁が「で、結局、明日から具体的にどのシステムのどの設定をいじればいいの？」という疑問です。
CIS Controls（Center for Internet Security Controls）は、この悩みに明確な答えを出します。 CIS Controlsは、優先順位を付けた防御策の集合です。本記事はv8系の基本構成を説明しています。公式v8.1では、CSF 2.0との対応や用語等が更新されています。利用する版のSafeguardsと適用するImplementation Groupを確認してください。
- Control 1：資産の管理
組織がどんな機器を持っているかを把握する。
- Control 2：ソフトウェアの管理
何が動いているかを把握し、許可していないものを見つける。
- IG1から段階的に
基本的な対策から始め、体制に応じて範囲を広げる。
現場のリアル：実装グループ（Implementation Groups: IG）
CIS Controls v8の最大の強みは、組織の規模と予算に応じた3段階の実装グループ（IG）を明示していることです。すべての中小企業が大企業の金融機関と同じ対策をする必要はありません。
| 実装グループ | 対象組織のイメージ | 目標と特徴 |
|---|---|---|
| IG1（サイバーハイジーン） | 専任のセキュリティ担当者がおらず、IT部門が兼務している中小・中堅企業。 | 【すべてはここから】高度な技術がなくても実装できる基本的な衛生管理（Cyber Hygiene）。資産・アカウント・更新等の基礎を優先する。特定の防御率や無被害を保証するものではない。 |
| IG2（標準的な防衛） | セキュリティ担当者や運用チームを持つ中規模〜大企業。 | IG1に加え、ログ管理、脆弱性スキャンの自動化、SIEM連携など、体制化された防衛網を敷く。 |
| IG3（高度・適応型防衛） | 豊富な予算を持ち、国家支援型ハッカー（APT）の標的になり得る政府機関、金融機関。 | IG2に加え、ゼロデイ対策、脅威ハンティング、レッドチーム演習（ペネトレーションテスト）など最高峰の対策を実施。 |
防御の最優先：Control 1 と Control 2
CIS Controlsの全18カテゴリのうち、Control 1とControl 2は「ファイアウォール」でも「アンチウイルス」でもありません。
| 最優先コントロール | 意味（なぜ最重要なのか？） |
|---|---|
| Control 1: エンタープライズ資産の管理 | 「把握していない資産は、守れない」 社内のネットワークのどこかに、IT部門の知らない古い野良サーバー（シャドーIT）があれば、そこがランサムウェアの入り口になります。まずは「IPアドレスを持っているすべての機器」を台帳（インベントリ）化することからセキュリティは始まります。 |
| Control 2: ソフトウェア資産の管理 | 「何が動いているかを知る」 インベントリ上のPCで、使用許可されていないソフトウェア（フリーソフト等）が動かないように制御（AppLocker等の利用）します。 |
3〜18コントロールの全体像（v8）
資産を把握したあと、コントロール３以降で防御を固めていきます。v8へのアップデートに伴い、モダンなクラウド・テレワーク環境に対応し整理されました。
【アクセスと認証】 • Control 4: 資産とソフトウェアの「セキュアな構成管理（ハードニング）」 • Control 5: アカウント管理（退職者のアカウント即時削除など） • Control 6: アクセス制御管理（特権アカウントの制限、MFAの強制）
【継続的テストと防御】 • Control 7: 継続的な脆弱性管理（パッチ適用の優先順位付け） • Control 8: 監査ログ管理（インシデント後、最低90日はログを遡れるようにする） • Control 9: メールとWebブラウザの保護 • Control 10: マルウェア防御（最新のEDRの導入）
【ビジネス要件と拡張手法】 • Control 11: データ復旧（イミュータブルバックアップのテスト） • Control 15: サービスプロバイダー管理（サードパーティ・外部ベンダーの査定） • Control 17: インシデント対応管理 • Control 18: ペネトレーションテスト
CISはControls（何をすべきか）だけでなく、「CIS Benchmarks」という具体的なマニュアル（例えば「Windows 11を安全に運用するためには、レジストリのここを1から0に変えろ」という何百ページもの手順書）を無料で公開しています。AWS等のクラウド環境では、「CIS Benchmarksに準拠したOSイメージ」が公式で提供されており、デフォルトで強固な（Hardened）環境を構築できます。
【確認問題】サイバーセキュリティのベストプラクティス「CIS Controls v8」において、どのような技術的防御手法よりも最優先で取り組むべき「Control 1」として定義されている活動はどれですか？