CIS Controlsで実現する、強固なセキュリティ体制
セキュリティを知りたい
先生、『CIS Controls』って最近よく聞くけど、具体的にどんなものなんですか？ セキュリティを高めるための知識って、難しそうでよくわからないんです…
セキュリティ研究家
そうだね。『CIS Controls』は、アメリカの組織が作った、セキュリティ対策のガイドラインなんだよ。色々な会社が安全にコンピューターを使えるように、具体的な方法を教えてくれているんだ。例えば、パスワードを複雑にするとか、怪しいメールを開かないようにするとか、そういう具体的な対策方法が書いてあるんだよ。
セキュリティを知りたい
へえー、パスワードを複雑にするとかは、普段から先生に言われてます！ そう考えると、特別なことではなさそうですね。でも、色々な会社が安全に使えるようにって、会社によってセキュリティ対策って違うんですか？
セキュリティ研究家
いいところに気が付いたね！ 実は『CIS Controls』では、会社の規模や扱う情報の重要度に応じて、３つのグループに分けて対策方法を教えているんだ。 大きな会社と小さな会社では、必要なセキュリティ対策のレベルが違うからね。だから、『CIS Controls』は、どんな会社でも参考にできる、実践的なガイドラインなんだよ。
CIS Controlsとは。
「CISコントロール」は、アメリカのCISという団体が作った、あらゆる規模の組織が使える情報セキュリティ対策の手引書です。2021年5月に最新版が出ましたが、技術の進歩や攻撃の巧妙化に合わせて、クラウドやモバイル、サプライチェーン、在宅勤務を狙った新しい攻撃への対策も追加されています。この手引書には、「18の基本対策」と「153の具体的な対策方法」が書かれており、組織の規模に合わせて、優先順位を決めて対策できるように、会社を三つのグループに分けています。このグループ分けは、情報技術やセキュリティの知識、守るべき情報の重要度などによって決まっており、それぞれの組織に合った対策を考えられるようになっています。「CISコントロール」のそれぞれの対策は、いくつかの要素でできています。このように、会社の規模に合わせて、必要な対策の優先順位やおすすめの方法がわかるようになっているので、大企業だけでなく、中小企業でも活用が進んでいます。
サイバー攻撃から組織を守る重要性
– サイバー攻撃から組織を守る重要性現代社会において、企業活動は情報システムに大きく依存しており、その重要性は日々増しています。顧客情報、取引データ、社外秘資料など、企業活動の根幹をなす情報が、ネットワークを通じて世界中を飛び交っています。しかし、この利便性の裏側には、目に見えない脅威であるサイバー攻撃の危険が潜んでいます。巧妙化する手口で、日々進化を続けるサイバー攻撃。特定の企業を狙い撃ちにする「標的型攻撃」や、データを人質に金銭を要求する「ランサムウェア」など、その脅威は増加の一途を辿っています。もしも、これらの攻撃によって重要な情報が漏洩したり、システムが停止に追い込まれたりすれば、企業は業務の停止、顧客からの信頼を失墜、巨額の損失といった、取り返しのつかない事態に陥る可能性があります。このような事態を避けるためには、「対岸の火事」という意識を捨て、セキュリティ対策は企業にとって「必須の投資」であるという認識を持つことが重要です。社員一人ひとりがセキュリティの重要性を理解し、強固なパスワードを設定する、不審なメールを開封しない、最新のソフトウェアを導入するなど、基本的な対策を徹底することで、サイバー攻撃のリスクを大幅に減らすことができます。サイバー攻撃は決して他人事ではありません。企業は、常に最新の脅威情報を収集し、自社のシステムや情報の脆弱性を把握しておくことが重要です。そして、万が一攻撃を受けた場合でも、被害を最小限に抑え、速やかに復旧できる体制を整えておくことが求められます。
| サイバー攻撃の脅威 | 企業への影響 | 対策 |
|---|---|---|
| 標的型攻撃、ランサムウェアなど、手口は日々進化し、その脅威は増加し続けている。 | 情報漏洩、システム停止により、業務の停止、顧客からの信頼失墜、巨額の損失など、取り返しのつかない事態に陥る可能性がある。 | セキュリティ対策は「必須の投資」であるという認識を持ち、社員一人ひとりがセキュリティの重要性を理解し、強固なパスワード設定、不審なメールの開封防止、最新ソフトウェアの導入など、基本的な対策を徹底することが重要。常に最新の脅威情報を収集し、自社のシステムや情報の脆弱性を把握しておくことが重要。攻撃を受けた場合でも、被害を最小限に抑え、速やかに復旧できる体制を整えておくことが必要。 |
CIS Controls：効果的なセキュリティ対策の指針
– CIS Controls効果的なセキュリティ対策の指針現代社会において、企業にとって情報セキュリティ対策は事業継続のために不可欠なものとなっています。しかし、数あるセキュリティ対策の中から、自社にとって本当に効果的なものを選定することは容易ではありません。そこで参考にしたいのが、米国CIS（Center for Internet Security）が発行する「CIS Controls」です。CIS Controlsは、世界中のセキュリティ専門家の知見を集結し、実際に発生するサイバー攻撃からシステムを守るために必要なセキュリティ対策をまとめた、実践的なガイドラインです。最新のバージョン8では、クラウドコンピューティングやテレワークの普及など、近年のIT環境の変化や新たな攻撃手法に対応した内容に更新されており、多くの企業にとって有用な指針と言えるでしょう。CIS Controlsは、具体的な対策である「153のセーフガード」と、それらを体系化した「18のコントロール」で構成されています。18のコントロールは、「基本」「 foundational」「組織化」「高度」の４つの実装グループに分けられており、企業は自社の規模やセキュリティレベル、事業の重要度に応じて、どのグループのコントロールを優先的に実施するかを選択できます。CIS Controlsは、段階的にセキュリティレベルを高めていくことを推奨しており、まずは「基本」グループのコントロールを確実に実施することで、多くの攻撃を阻止できるとしています。その後、自社の状況に合わせて、より高度なコントロールへと段階的に取り組むことで、より強固なセキュリティ体制を構築することが可能になります。CIS Controlsは無料で公開されており、誰でもその内容を参考にできます。ぜひ、自社のセキュリティ対策に役立ててみて下さい。
| 項目 | 内容 |
|---|---|
| CIS Controls とは | 世界中のセキュリティ専門家の知見をまとめた、サイバー攻撃からシステムを守るための実践的なガイドライン |
| 特徴 |
|
| 推奨する導入プロセス |
|
あらゆる規模の組織に対応した柔軟性
情報セキュリティ対策は、企業の規模や業務内容によって、その重要度や緊急性を考慮する必要があります。CISコントロールは、組織の規模や特性に合わせて柔軟に対応できる点が大きな特徴です。
具体的には、組織は情報技術の専門知識や扱うデータの機密性に応じて三つのグループに分類されます。一つ目は、基本的なセキュリティ対策から始めることを推奨されているグループです。主に、中小企業やセキュリティ対策に不慣れな組織がこのグループに分類され、段階的にセキュリティレベルを高めていくことが可能です。二つ目は、より高度なセキュリティ対策が必要とされるグループです。大企業や社会的に重要なインフラストラクチャを担う組織など、高いレベルのセキュリティ対策が求められる組織がここに分類されます。そして三つ目は、最も厳しいセキュリティ基準に従って対策を実施することが推奨されるグループです。
このようにCISコントロールは、それぞれの組織が置かれている状況に応じて、無理なく効果的なセキュリティ対策を実施できるよう、柔軟な枠組みを提供しています。組織は自社の規模や特性を踏まえ、適切なレベルのセキュリティ対策を実施することで、貴重な情報資産を脅威から守ることができます。
| グループ | 説明 | 対象組織 |
|---|---|---|
| グループ1 | 基本的なセキュリティ対策から開始 | 中小企業やセキュリティ対策に不慣れな組織 |
| グループ2 | より高度なセキュリティ対策が必要 | 大企業や社会的に重要なインフラストラクチャを担う組織 |
| グループ3 | 最も厳しいセキュリティ基準に従って対策を実施 | （具体的な記述なし） |
CIS Controlsの構成要素と導入メリット
– CIS Controlsの構成要素と導入メリットCIS Controlsは、企業や組織のセキュリティ対策を強化するために策定された包括的なフレームワークです。大きく分けて「基本的な制御」と「組織の制御」の二つのカテゴリー、そして具体的な対策を示した153の「セーフガード」から構成されています。-# 基本的な制御「基本的な制御」は、セキュリティ対策の土台となる重要な要素を集めたものです。例えば、自社のネットワークやシステムに何が接続されているか、どんなソフトウェアが使われているかを把握する「棚卸と制御」や、ソフトウェアの脆弱性を解消するための「ソフトウェア管理」、利用者のアクセス権限を適切に管理する「アカウント管理」などが含まれます。これらの基本的な対策を徹底することで、サイバー攻撃のリスクを大幅に減らすことができます。-# 組織の制御「組織の制御」は、企業や組織全体で取り組むべきセキュリティ対策を網羅しています。従業員一人ひとりのセキュリティ意識を高めるための「セキュリティ意識向上トレーニング」、サイバー攻撃を受けた際の対応手順を定めた「インシデント対応」、システムの脆弱性を事前に発見するための「侵入テスト」などが挙げられます。これらの対策を実施することで、組織全体のセキュリティレベルが向上し、より強固な防御体制を構築できます。-# CIS Controls導入のメリットCIS Controlsを導入することで、セキュリティ対策の「見える化」「効率化」「標準化」を実現できます。まず、現状のセキュリティ対策レベルを把握し、改善すべきポイントを明確化できます。次に、限られたリソースを有効活用し、効率的なセキュリティ対策が可能となります。そして、共通の基準に基づいた対策を行うことで、組織全体のセキュリティレベルを均一化できます。CIS Controlsは、企業や組織の規模や業種を問わず、あらゆる組織の情報セキュリティ対策を強化するための有効な手段となります。
| カテゴリ | 内容 | 例 |
|---|---|---|
| 基本的な制御 | セキュリティ対策の基礎となる要素 | 棚卸と制御、ソフトウェア管理、アカウント管理 |
| 組織の制御 | 組織全体で取り組むべきセキュリティ対策 | セキュリティ意識向上トレーニング、インシデント対応、侵入テスト |
| CIS Controls導入メリット |
|---|
| セキュリティ対策の見える化 |
| セキュリティ対策の効率化 |
| セキュリティ対策の標準化 |
まとめ：CIS Controlsで強固なセキュリティ体制を
– まとめCIS Controlsで強固なセキュリティ体制を
今日のビジネス環境において、情報セキュリティ対策はもはや一部の企業だけの課題ではなく、あらゆる組織にとって喫緊の課題となっています。サイバー攻撃の手法は日々巧妙化しており、ひとたび被害に遭えば、企業は金銭的な損失だけでなく、顧客からの信頼を失うなど、その存続さえ危ぶまれる事態になりかねません。
このような状況下で、組織の規模や業種を問わず、効果的なセキュリティ対策を講じるための指針として広く活用されているのが「CIS Controls」です。これは、世界中のセキュリティ専門家の知見を集結して策定された、実践的なセキュリティ対策ガイドラインです。
CIS Controlsは、従来型のIT環境だけでなく、近年急速に普及が進んでいるクラウドサービスやモバイルデバイス、そしてテレワークといった新しい働き方にも対応できるよう、常に最新の脅威や技術動向を踏まえて更新されています。具体的には、攻撃の起点となりやすい脆弱性の解消、攻撃者の侵入検知と防御、そして万が一、セキュリティ侵害が発生した場合の被害拡大の防止といった、セキュリティ対策の基本原則に基づいた、優先順位の高いコントロール（対策項目）が体系的にまとめられています。
企業は、自社の事業内容や規模、保有する情報資産の重要性などを考慮しながらCIS Controlsを参考に、現状のセキュリティ対策の抜け漏れをチェックし、必要な対策を適切に実施していくことが重要です。CIS Controlsを効果的に活用することで、限られたリソースを最大限に活かしながら、強固なセキュリティ体制を構築し、サイバー攻撃の脅威から組織を守り、安全なビジネス環境を実現していくことが可能となります。