CIS Controls.

CIS Controls は、Center for Internet Security（CIS）が発行する、コミュニティによって開発された優先順位付きサイバーセキュリティ セーフガードのフレームワークです。その系譜は SANS Top 20、後の「Critical Security Controls」にまで遡り、その後 CIS が運営を引き継ぎました。2024 年 6 月にリリースされた現行の version 8.1 では、18 のコントロール と 153 のセーフガード を定義し、クラウド・モバイル・アウトソース環境への意図的なシフトを反映して、デバイスの種類ではなく アクティビティ を軸に構成されています。

その象徴的な特徴が 3 つの 実装グループ（Implementation Groups） です。IG1 は、すべての企業が満たすべき「必須のサイバー衛生」のベースラインであり、15 のコントロールから抽出された 56 のセーフガード で構成されます。IG2 と IG3 は、より多くのリソースとリスクを抱える組織向けにセーフガードを追加します。したがって小規模企業は、抽象的な「セキュリティをやりなさい」という指示ではなく、具体的で達成可能な IG1 のサブセットから着手できます。version 8.1 は NIST CSF 2.0 とも整合し、新たな Govern（統治） 機能や更新された資産クラスへのカバレッジを追加しました。

CIS Controls に法的拘束力はありませんが、NIST CSF、ISO/IEC 27001、PCI DSS、CMMC と広くマッピングされているため、一度実装すれば重複する多くの要件を満たせます。CIS は付随する Benchmarks、すなわち特定のオペレーティングシステムやクラウドサービス向けのハードニングガイドも公開しており、複数のセーフガードをチェック可能な設定項目へと落とし込んでいます。

flowchart TD
  A[CIS Controls v8.1<br/>18 コントロール · 153 セーフガード] --> B[IG1: 必須のサイバー衛生<br/>56 セーフガード — 全企業]
  A --> C[IG2: より高いリスク/リソース<br/>向けにセーフガードを追加]
  A --> D[IG3: フルセット<br/>成熟した高価値ターゲット]
  B --> C --> D
  A --> E[CIS Benchmarks<br/>OS・クラウドのハードニング]
  A --> F[NIST CSF 2.0、ISO 27001、<br/>PCI DSS、CMMC にマッピング]