CISコントロールのギャップ：公開対応表が153件中49件のセーフガードだけを対象とする理由

CISクリティカル・セキュリティ・コントロールは、実務者に好まれています。何をすべきかが明確だからです。自動検出で資産を棚卸しする、ソフトウェアを許可リストで管理する、コマンドラインの監査ログを収集する、といった具合です。バージョン8.1には18のコントロールと153のセーフガードがあり、3つの実装グループに優先度付けされています。他のフレームワークへのマッピングは簡単なはずです。実際、CIS自身がNISTのOLIRカタログに、NIST CSF 2.0への対応表を掲載しています。

その対応表が対象とするのは49件のセーフガードです。残りの104件は、この対応表に公開されたリンクがありません。

49件の内容

CISのOLIR提出物にあるセーフガードは各コントロールに分散していますが、CSFの成果を直接支えるものが重視されています。個別の技術的セーフガード（個々のログ種別、特定のマルウェア対策設定、内部資産と外部資産の個別スキャンなど）の多くは含まれていません。おそらくCISは、明確な1対1の関係が存在するレベルでマッピングしたのでしょう。CISのより詳細なマッピングは同社サイトにあり、ダウンロードフォームの背後に置かれています。そのライセンス（CC BY-NC-ND）は、他者による再利用方法を制限しています。

残りの104件の扱い方

CISの3分の2を未マッピングのままにするのではなく、ControlMappingは残りの各セーフガードを、明らかに該当するトピックに配置しました（脆弱性スキャンは脆弱性管理へ、監査ログ関連のセーフガードはロギングへ、ワークフォース教育は啓発へ）。各配置には「編集」として一行の理由を付けています。結果は次のとおりです。

CIS v8.1 の 153 件のセーフガードのうち、153 件（100%）は NIST CSF 2.0 の何らかの項目にマッピングされ、0 件は緩やかに関連するのみで、0 件は当サイトのデータにマッピングがありません。 ギャップレポートを開く →

CISのすべてのセーフガードが、CSFで定義されたトピックに対応付けられるようになりました。ただし、それらのリンクのほとんどはCISの判断ではなく当サイトの判断によるものです。そのように扱ってください。

CISで「マッピング済み」が簡単に見える理由

CISのセーフガードは範囲が狭く技術的なので、ほぼどの広範なフレームワークも、トピックレベルでは各項目に触れています。ISO 27001のロギング管理は、CISのロギング系セーフガードすべてに関連します。NISTの脆弱性に関する成果は、スキャン系セーフガードすべてに関連します。そのため、フレームワーク出発点分析で明らかになったように、CISは他のどのフレームワークでもほぼ完全にカバーされているように見えます。実際には、CISのセーフガードのほうが通常はより要求の厳しい要件です。ISOはログを取ることを求め、CISはどのログを取るかを示すからです。

逆方向

NIST CSF 2.0 の 106 件のサブカテゴリのうち、59 件（56%）は CIS v8.1 の何らかの項目にマッピングされ、9 件は緩やかに関連するのみで、38 件は当サイトのデータにマッピングがありません。 ギャップレポートを開く →

CISからCSF 2.0への方向では、ギャップは主にガバナンスに関するものです。CIS v8.1は運用ベースラインであり、組織的な状況、リスク戦略、サプライチェーンのプログラムについてはほとんど触れていません。これらはCSFの統治機能を構成する要素です。

要点

• CISが公開しているNIST CSF 2.0への対応表は、CIS Controls v8.1の153件のセーフガードのうち49件を対象としています。残りは当サイトが判断に基づきマッピングしており、それぞれに理由を付けています。
• CISのセーフガードは範囲が狭く技術的なため、より広範なフレームワークは、ほぼどれもそれらをカバーしているように見えます。実際には、CISのセーフガードのほうが通常はより要求の厳しい要件です。
• CISから他のフレームワークへ移行する場合、主なギャップはガバナンスです。リスク戦略、監督、サプライチェーンのプログラムが該当します。
• ISO 27001やCSFの下位にある実装詳細としてCISを使い、監査で権威ある根拠が必要な場合は、CISの完全なマッピングを入手してください。

他のフレームワークとCISを併用する方法

1. CISを実装詳細として使う。より広範なフレームワーク（ISO 27001またはCSF）の下で、ISO 27001またはCSFが何を達成すべきかを定め、CIS IG1およびIG2がその方法を定めます。
2. 編集によるリンクは出発点として扱う。 要件ページでは、どのCISリンクが対応表に基づくもので、どれが当サイトの編集によるものかを示しています。CIS Controls v8.1では、153件のセーフガードすべてを両方の区分とともに一覧できます。
3. 監査で権威あるCISからCSFへのリンクが必要な場合は、CISの完全なマッピングを入手する。

NIST CSF対CIS比較とISO 27001対CIS比較が、両方向を扱っています。

よくある質問

CISはNIST CSF 2.0への完全なマッピングを公開していますか？

CISは、より詳細なマッピングを同社サイトでダウンロードフォームの背後に公開しています。NISTのOLIRカタログにある一般公開の対応表は、CIS Controls v8.1の153件のセーフガードのうち49件を対象としています。

ControlMappingのCISリンクは信頼できますか？

対応表に基づく49件のリンクはCIS自身によるものです。残りはControlMappingの編集によるもので、理由を明記したうえでトピックに配置しています。依拠する前に、CISの完全なマッピングと照合してください。

CISの実装グループとは何ですか？

CISのセーフガードは3つの階層に分かれています。IG1は全組織に必須のサイバー衛生対策、IG2は環境がより複雑な組織向けに追加のセーフガードを加えたもの、IG3は高度な攻撃に直面する組織向けにさらに追加したものです。