比較
ISO 27001 と CIS Controls の比較：マネジメントシステムと技術ベースライン
ISO/IEC 27001:2022 · CIS Controls v8.1 · データ 2026-10-27
Paul Gillet 別 · 更新日 2026-10-17
ISO/IEC 27001 と CIS Critical Security Controls は、解決する課題が異なります。ISO 27001 は認証取得が可能なマネジメントシステムであり、リスクの特定、管理策の選定、そしてその管理策を運用していることの実証を求めます。CIS Controls v8.1 は優先順位付けされた技術ベースラインです。18 の管理策と 153 のセーフガードで構成され、中小規模の組織が着手箇所を判断できるよう実装グループ（Implementation Groups）に分類されています。
ISO 27001 から CIS へ移行する場合、当サイトのデータでは CIS のすべてのセーフガードが ISO 側の何らかの項目に対応しています。附属書 A が同じ領域を、より高い抽象度で網羅しているためです（資産の棚卸し、アクセス、ログ取得、脆弱性管理、マルウェア対策、バックアップなど）。CIS が加えているのは具体性です。たとえば自動化された資産探索ツール、コマンドラインのログ取得、挙動ベースのマルウェア対策などが該当します。そのため ISO を導入済みの組織は、CIS を各管理策をどこまで深く実施すべきかを確認するチェックリストとして活用するとよいでしょう。CIS へのリンクの大半は ControlMapping の編集によるものです。CIS 自身が公表している対応表がカバーしているのは 49 のセーフガードにとどまるためです。
CIS から ISO 27001 へ移行する場合、新たに必要になる作業は、マネジメントシステム（適用範囲、目的、リスクアセスメントと対応、適用宣言書、内部監査、マネジメントレビュー）と、CIS が扱っていない領域を補うことです。後者には、物理的セキュリティ、脅威インテリジェンス、変更管理、プライバシーなどの法的義務が含まれます。
概要一覧
| ISO 27001 | CIS v8.1 | |
|---|---|---|
| 概要 | 認証取得が可能なマネジメントシステム規格 | 優先順位付けされた技術的セーフガード |
| 認証 | あり | なし |
| 構成 | 箇条 4〜10 と附属書 A の管理策 93 件 | 管理策 18 件、セーフガード 153 件、実装グループ 3 区分 |
| 利用コスト | ISO が販売する規格に加えて監査費用が必要 | 無償で利用可能（CC BY-NC-ND） |
要点
- ISO 27001 に基づく ISMS の中で、CIS IG1〜IG2 を技術的な実装計画として活用してください。
- CIS → ISO：ISMS の各箇条と物理的セキュリティに予算を確保してください。
- ISO → CIS：新たなトピックは少ないものの、より詳細で具体的な技術設定が必要になると見込んでください。
CIS Controls v8.1 の要件 153 件のうち、153 件は ISO 27001 の何らかの項目にマッピングされ、0 件は緩やかに関連するのみで、0 件は当サイトのデータにマッピングがありません。
CIS独自の公開クロスウォークは153のセーフガードのうち49件を対象としています。残りはControlMappingが編集によりマッピングしており、それぞれに理由を記載しています。そのため、依拠する前にこれらのリンクを確認してください。
マッピング済み (153)
| CIS v8.1 | 要件 | 一致 | ISO 27001 | 証跡 |
|---|---|---|---|---|
| 1. Inventory and Control of Enterprise Assets · 5 | ||||
| CIS 1.1 | Establish and Maintain Detailed Enterprise Asset Inventory | 対応表 | A.5.9A.5.11A.7.14 | 同じトピック： 資産管理 |
| CIS 1.2 | Address Unauthorized Assets | 編集 | A.5.9A.5.11A.7.14 | 同じトピック： 資産管理 (編集部のおすすめ) |
| CIS 1.3 | Utilize an Active Discovery Tool | 編集 | A.5.9A.5.11A.7.14 | 同じトピック： 資産管理 (編集部のおすすめ) |
| CIS 1.4 | Use Dynamic Host Configuration Protocol (DHCP) Logging to Update Enterprise Asset Inventory | 編集 | A.5.9A.5.11A.7.14 | 同じトピック： 資産管理 (編集部のおすすめ) |
| CIS 1.5 | Use a Passive Asset Discovery Tool | 編集 | A.5.9A.5.11A.7.14 | 同じトピック： 資産管理 (編集部のおすすめ) |
| 2. Inventory and Control of Software Assets · 7 | ||||
| CIS 2.1 | Establish and Maintain a Software Inventory | 対応表 | A.5.9A.5.11A.7.14 | 同じトピック： 資産管理 |
| CIS 2.2 | Ensure Authorized Software is Currently Supported | 対応表 | A.8.8 | 同じトピック： パッチ管理 |
| CIS 2.3 | Address Unauthorized Software | 編集 | A.5.9A.5.11A.7.14 | 同じトピック： 資産管理 (編集部のおすすめ) |
| CIS 2.4 | Utilize Automated Software Inventory Tools | 編集 | A.5.9A.5.11A.7.14 | 同じトピック： 資産管理 (編集部のおすすめ) |
| CIS 2.5 | Allowlist Authorized Software | 対応表 | A.8.19A.8.1A.8.7 | 同じトピック： エンドポイント保護 |
| CIS 2.6 | Allowlist Authorized Libraries | 編集 | A.8.1A.8.7A.8.19 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| CIS 2.7 | Allowlist Authorized Scripts | 編集 | A.8.1A.8.7A.8.19 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| 3. Data Protection · 14 | ||||
| CIS 3.1 | Establish and Maintain a Data Management Process | 編集 | A.5.14A.8.10A.8.11 | 同じトピック： データ保護 (編集部のおすすめ) |
| CIS 3.2 | Establish and Maintain a Data Inventory | 対応表 | A.5.12A.5.13 | 同じトピック： データ分類 |
| CIS 3.3 | Configure Data Access Control Lists | 対応表 | A.5.15A.5.16A.5.18+1 | 同じトピック： アクセス制御 |
| CIS 3.4 | Enforce Data Retention | 編集 | A.5.14A.8.10A.8.11 | 同じトピック： データ保護 (編集部のおすすめ) |
| CIS 3.5 | Securely Dispose of Data | 編集 | A.5.14A.8.10A.8.11 | 同じトピック： データ保護 (編集部のおすすめ) |
| CIS 3.6 | Encrypt Data on End-User Devices | 編集 | A.8.24 | 同じトピック： 暗号化 (編集部のおすすめ) |
| CIS 3.7 | Establish and Maintain a Data Classification Scheme | 対応表 | A.5.12A.5.13 | 同じトピック： データ分類 |
| CIS 3.8 | Document Data Flows | 編集 | A.5.12A.5.13 | 同じトピック： データ分類 (編集部のおすすめ) |
| CIS 3.9 | Encrypt Data on Removable Media | 編集 | A.8.24 | 同じトピック： 暗号化 (編集部のおすすめ) |
| CIS 3.10 | Encrypt Sensitive Data in Transit | 対応表 | A.8.24 | 同じトピック： 暗号化 |
| CIS 3.11 | Encrypt Sensitive Data at Rest | 対応表 | A.5.14A.8.10A.8.11+1 | 同じトピック： データ保護 |
| CIS 3.12 | Segment Data Processing and Storage Based on Sensitivity | 編集 | A.5.14A.8.10A.8.11 | 同じトピック： データ保護 (編集部のおすすめ) |
| CIS 3.13 | Deploy a Data Loss Prevention Solution | 編集 | A.8.12 | 同じトピック： DLP (編集部のおすすめ) |
| CIS 3.14 | Log Sensitive Data Access | 編集 | A.8.15A.8.17 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| 4. Secure Configuration of Enterprise Assets and Software · 12 | ||||
| CIS 4.1 | Establish and Maintain a Secure Configuration Process | 対応表 | A.8.9 | 同じトピック： 安全な構成 |
| CIS 4.2 | Establish and Maintain a Secure Configuration Process for Network Infrastructure | 対応表 | A.8.9 | 同じトピック： 安全な構成 |
| CIS 4.3 | Configure Automatic Session Locking on Enterprise Assets | 編集 | A.8.9 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| CIS 4.4 | Implement and Manage a Firewall on Servers | 編集 | A.8.20A.8.21A.8.22 | 同じトピック： ファイアウォール / ネットワークセグメンテーション (編集部のおすすめ) |
| CIS 4.5 | Implement and Manage a Firewall on End-User Devices | 編集 | A.8.20A.8.21A.8.22 | 同じトピック： ファイアウォール / ネットワークセグメンテーション (編集部のおすすめ) |
| CIS 4.6 | Securely Manage Enterprise Assets and Software | 編集 | A.8.9 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| CIS 4.7 | Manage Default Accounts on Enterprise Assets and Software | 編集 | A.8.9 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| CIS 4.8 | Uninstall or Disable Unnecessary Services on Enterprise Assets and Software | 編集 | A.8.9 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| CIS 4.9 | Configure Trusted DNS Servers on Enterprise Assets | 編集 | A.8.20A.8.21 | 同じトピック： DNSセキュリティ (編集部のおすすめ) |
| CIS 4.10 | Enforce Automatic Device Lockout on Portable End-User Devices | 編集 | A.6.7A.8.1 | 同じトピック： モバイルセキュリティ (編集部のおすすめ) |
| CIS 4.11 | Enforce Remote Wipe Capability on Portable End-User Devices | 編集 | A.6.7A.8.1 | 同じトピック： モバイルセキュリティ (編集部のおすすめ) |
| CIS 4.12 | Separate Enterprise Workspaces on Mobile End-User Devices | 編集 | A.6.7A.8.1 | 同じトピック： モバイルセキュリティ (編集部のおすすめ) |
| 5. Account Management · 6 | ||||
| CIS 5.1 | Establish and Maintain an Inventory of Accounts | 対応表 | A.5.15A.5.16A.5.18+1 | 同じトピック： アクセス制御 |
| CIS 5.2 | Use Unique Passwords | 編集 | A.5.15A.5.16A.5.18+1 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| CIS 5.3 | Disable Dormant Accounts | 編集 | A.5.15A.5.16A.5.18+1 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| CIS 5.4 | Restrict Administrator Privileges to Dedicated Administrator Accounts | 編集 | A.8.2A.8.18 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| CIS 5.5 | Establish and Maintain an Inventory of Service Accounts | 編集 | A.5.15A.5.16A.5.18+1 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| CIS 5.6 | Centralize Account Management | 対応表 | A.5.15A.5.16A.5.18+1 | 同じトピック： アクセス制御 |
| 6. Access Control Management · 8 | ||||
| CIS 6.1 | Establish an Access Granting Process | 編集 | A.5.15A.5.16A.5.18+1 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| CIS 6.2 | Establish an Access Revoking Process | 編集 | A.5.15A.5.16A.5.18+1 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| CIS 6.3 | Require MFA for Externally-Exposed Applications | 編集 | A.8.5 | 同じトピック： 多要素認証 (編集部のおすすめ) |
| CIS 6.4 | Require MFA for Remote Network Access | 編集 | A.8.5 | 同じトピック： 多要素認証 (編集部のおすすめ) |
| CIS 6.5 | Require MFA for Administrative Access | 編集 | A.8.5 | 同じトピック： 多要素認証 (編集部のおすすめ) |
| CIS 6.6 | Establish and Maintain an Inventory of Authentication and Authorization Systems | 編集 | A.5.15A.5.16A.5.18+1 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| CIS 6.7 | Centralize Access Control | 対応表 | A.5.15A.5.16A.5.18+1 | 同じトピック： アクセス制御 |
| CIS 6.8 | Define and Maintain Role-Based Access Control | 対応表 | A.5.15A.5.16A.5.18+3 | 同じトピック： アクセス制御, ゼロトラスト |
| 7. Continuous Vulnerability Management · 7 | ||||
| CIS 7.1 | Establish and Maintain a Vulnerability Management Process | 対応表 | A.8.8 | 同じトピック： 脆弱性管理 |
| CIS 7.2 | Establish and Maintain a Remediation Process | 対応表 | A.8.8 | 同じトピック： 脆弱性管理 |
| CIS 7.3 | Perform Automated Operating System Patch Management | 編集 | A.8.8 | 同じトピック： パッチ管理 (編集部のおすすめ) |
| CIS 7.4 | Perform Automated Application Patch Management | 編集 | A.8.8 | 同じトピック： パッチ管理 (編集部のおすすめ) |
| CIS 7.5 | Perform Automated Vulnerability Scans of Internal Enterprise Assets | 編集 | A.8.8 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| CIS 7.6 | Perform Automated Vulnerability Scans of Externally-Exposed Enterprise Assets | 編集 | A.8.8 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| CIS 7.7 | Remediate Detected Vulnerabilities | 編集 | A.8.8 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| 8. Audit Log Management · 12 | ||||
| CIS 8.1 | Establish and Maintain an Audit Log Management Process | 編集 | A.8.15A.8.17 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| CIS 8.2 | Collect Audit Logs | 対応表 | A.8.15A.8.17 | 同じトピック： ログ記録と監査 |
| CIS 8.3 | Ensure Adequate Audit Log Storage | 編集 | A.8.15A.8.17 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| CIS 8.4 | Standardize Time Synchronization | 編集 | A.8.15A.8.17 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| CIS 8.5 | Collect Detailed Audit Logs | 編集 | A.8.15A.8.17 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| CIS 8.6 | Collect DNS Query Audit Logs | 編集 | A.8.20A.8.21 | 同じトピック： DNSセキュリティ (編集部のおすすめ) |
| CIS 8.7 | Collect URL Request Audit Logs | 編集 | A.8.15A.8.17 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| CIS 8.8 | Collect Command-Line Audit Logs | 編集 | A.8.15A.8.17 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| CIS 8.9 | Centralize Audit Logs | 編集 | A.5.25A.8.16 | 同じトピック： SIEM / SOC (編集部のおすすめ) |
| CIS 8.10 | Retain Audit Logs | 編集 | A.8.15A.8.17 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| CIS 8.11 | Conduct Audit Log Reviews | 対応表 | A.8.16 | 同じトピック： 異常検知 |
| CIS 8.12 | Collect Service Provider Logs | 編集 | A.8.15A.8.17 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| 9. Email and Web Browser Protections · 7 | ||||
| CIS 9.1 | Ensure Use of Only Fully Supported Browsers and Email Clients | 編集 | A.5.14 | 同じトピック： メールセキュリティ (編集部のおすすめ) |
| CIS 9.2 | Use DNS Filtering Services | 編集 | A.8.20A.8.21 | 同じトピック： DNSセキュリティ (編集部のおすすめ) |
| CIS 9.3 | Maintain and Enforce Network-Based URL Filters | 編集 | A.8.26 | 同じトピック： Web セキュリティ (編集部のおすすめ) |
| CIS 9.4 | Restrict Unnecessary or Unauthorized Browser and Email Client Extensions | 編集 | A.5.14 | 同じトピック： メールセキュリティ (編集部のおすすめ) |
| CIS 9.5 | Implement DMARC | 編集 | A.5.14 | 同じトピック： メールセキュリティ (編集部のおすすめ) |
| CIS 9.6 | Block Unnecessary File Types | 編集 | A.5.14 | 同じトピック： メールセキュリティ (編集部のおすすめ) |
| CIS 9.7 | Deploy and Maintain Email Server Anti-Malware Protections | 編集 | A.5.14 | 同じトピック： メールセキュリティ (編集部のおすすめ) |
| 10. Malware Defenses · 7 | ||||
| CIS 10.1 | Deploy and Maintain Anti-Malware Software | 対応表 | A.8.19A.8.1A.8.7 | 同じトピック： エンドポイント保護 |
| CIS 10.2 | Configure Automatic Anti-Malware Signature Updates | 編集 | A.8.1A.8.7A.8.19 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| CIS 10.3 | Disable Autorun and Autoplay for Removable Media | 編集 | A.8.1A.8.7A.8.19 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| CIS 10.4 | Configure Automatic Anti-Malware Scanning of Removable Media | 編集 | A.8.1A.8.7A.8.19 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| CIS 10.5 | Enable Anti-Exploitation Features | 編集 | A.8.1A.8.7A.8.19 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| CIS 10.6 | Centrally Manage Anti-Malware Software | 編集 | A.8.1A.8.7A.8.19 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| CIS 10.7 | Use Behavior-Based Anti-Malware Software | 編集 | A.8.1A.8.7A.8.19 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| 11. Data Recovery · 5 | ||||
| CIS 11.1 | Establish and Maintain a Data Recovery Process | 編集 | A.5.29A.5.30A.8.14 | 同じトピック： 復旧計画, ディザスタリカバリ (編集部のおすすめ) |
| CIS 11.2 | Perform Automated Backups | 対応表 | A.8.13 | 同じトピック： バックアップと復旧 |
| CIS 11.3 | Protect Recovery Data | 対応表 | A.8.13 | 同じトピック： バックアップと復旧 |
| CIS 11.4 | Establish and Maintain an Isolated Instance of Recovery Data | 編集 | A.8.13 | 同じトピック： バックアップと復旧 (編集部のおすすめ) |
| CIS 11.5 | Test Data Recovery | 対応表 | A.8.13 | 同じトピック： バックアップと復旧 |
| 12. Network Infrastructure Management · 8 | ||||
| CIS 12.1 | Ensure Network Infrastructure is Up-to-Date | 編集 | A.8.8 | 同じトピック： パッチ管理 (編集部のおすすめ) |
| CIS 12.2 | Establish and Maintain a Secure Network Architecture | 対応表 | A.5.15A.8.5A.8.20+2 | 同じトピック： ゼロトラスト, ファイアウォール / ネットワークセグメンテーション |
| CIS 12.3 | Securely Manage Network Infrastructure | 編集 | A.8.20A.8.21A.8.22 | 同じトピック： ファイアウォール / ネットワークセグメンテーション (編集部のおすすめ) |
| CIS 12.4 | Establish and Maintain Architecture Diagram(s) | 編集 | A.8.20A.8.21A.8.22 | 同じトピック： ファイアウォール / ネットワークセグメンテーション (編集部のおすすめ) |
| CIS 12.5 | Centralize Network Authentication, Authorization, and Auditing (AAA) | 編集 | A.5.15A.5.16A.5.18+1 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| CIS 12.6 | Use of Secure Network Management and Communication Protocols | 編集 | A.8.20A.8.21A.8.22 | 同じトピック： ファイアウォール / ネットワークセグメンテーション (編集部のおすすめ) |
| CIS 12.7 | Ensure Remote Devices Utilize a VPN and are Connecting to an Enterprise's AAA Infrastructure | 編集 | A.5.15A.8.5A.8.22 | 同じトピック： ゼロトラスト (編集部のおすすめ) |
| CIS 12.8 | Establish and Maintain Dedicated Computing Resources for All Administrative Work | 編集 | A.8.2A.8.18 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| 13. Network Monitoring and Defense · 11 | ||||
| CIS 13.1 | Centralize Security Event Alerting | 対応表 | A.8.16A.5.25 | 同じトピック： 継続的モニタリング, SIEM / SOC |
| CIS 13.2 | Deploy a Host-Based Intrusion Detection Solution | 編集 | A.8.16 | 同じトピック： 侵入検知 (編集部のおすすめ) |
| CIS 13.3 | Deploy a Network Intrusion Detection Solution | 編集 | A.8.16 | 同じトピック： 侵入検知 (編集部のおすすめ) |
| CIS 13.4 | Perform Traffic Filtering Between Network Segments | 編集 | A.8.20A.8.21A.8.22 | 同じトピック： ファイアウォール / ネットワークセグメンテーション (編集部のおすすめ) |
| CIS 13.5 | Manage Access Control for Remote Assets | 編集 | A.5.15A.8.5A.8.22 | 同じトピック： ゼロトラスト (編集部のおすすめ) |
| CIS 13.6 | Collect Network Traffic Flow Logs | 編集 | A.8.16 | 同じトピック： 継続的モニタリング (編集部のおすすめ) |
| CIS 13.7 | Deploy a Host-Based Intrusion Prevention Solution | 編集 | A.8.16 | 同じトピック： 侵入検知 (編集部のおすすめ) |
| CIS 13.8 | Deploy a Network Intrusion Prevention Solution | 編集 | A.8.16 | 同じトピック： 侵入検知 (編集部のおすすめ) |
| CIS 13.9 | Deploy Port-Level Access Control | 編集 | A.8.20A.8.21A.8.22 | 同じトピック： ファイアウォール / ネットワークセグメンテーション (編集部のおすすめ) |
| CIS 13.10 | Perform Application Layer Filtering | 編集 | A.8.20A.8.26 | 同じトピック： WAF, Web セキュリティ (編集部のおすすめ) |
| CIS 13.11 | Tune Security Event Alerting Thresholds | 編集 | A.5.25A.8.16 | 同じトピック： SIEM / SOC (編集部のおすすめ) |
| 14. Security Awareness and Skills Training · 9 | ||||
| CIS 14.1 | Establish and Maintain a Security Awareness Program | 対応表 | A.6.3Clause 7.3 | 同じトピック： 意識向上とトレーニング |
| CIS 14.2 | Train Workforce Members to Recognize Social Engineering Attacks | 編集 | A.6.3Clause 7.3 | 同じトピック： 意識向上とトレーニング (編集部のおすすめ) |
| CIS 14.3 | Train Workforce Members on Authentication Best Practices | 編集 | A.6.3Clause 7.3 | 同じトピック： 意識向上とトレーニング (編集部のおすすめ) |
| CIS 14.4 | Train Workforce on Data Handling Best Practices | 編集 | A.6.3Clause 7.3 | 同じトピック： 意識向上とトレーニング (編集部のおすすめ) |
| CIS 14.5 | Train Workforce Members on Causes of Unintentional Data Exposure | 編集 | A.6.3Clause 7.3 | 同じトピック： 意識向上とトレーニング (編集部のおすすめ) |
| CIS 14.6 | Train Workforce Members on Recognizing and Reporting Security Incidents | 編集 | A.6.3Clause 7.3 | 同じトピック： 意識向上とトレーニング (編集部のおすすめ) |
| CIS 14.7 | Train Workforce on How to Identify and Report if Their Enterprise Assets are Missing Security Updates | 編集 | A.6.3Clause 7.3 | 同じトピック： 意識向上とトレーニング (編集部のおすすめ) |
| CIS 14.8 | Train Workforce on the Dangers of Connecting to and Transmitting Enterprise Data Over Insecure Networks | 編集 | A.6.3Clause 7.3 | 同じトピック： 意識向上とトレーニング (編集部のおすすめ) |
| CIS 14.9 | Conduct Role-Specific Security Awareness and Skills Training | 対応表 | A.6.3Clause 7.3 | 同じトピック： 意識向上とトレーニング |
| 15. Service Provider Management · 7 | ||||
| CIS 15.1 | Establish and Maintain an Inventory of Service Providers | 対応表 | A.5.19A.5.20A.5.22+1 | 同じトピック： ベンダーリスク管理 |
| CIS 15.2 | Establish and Maintain a Service Provider Management Policy | 対応表 | A.5.19A.5.21 | 同じトピック： サプライチェーンリスク |
| CIS 15.3 | Classify Service Providers | 対応表 | A.5.19A.5.20A.5.22 | 同じトピック： ベンダーリスク管理 |
| CIS 15.4 | Ensure Service Provider Contracts Include Security Requirements | 編集 | A.5.19A.5.20A.5.22 | 同じトピック： ベンダーリスク管理 (編集部のおすすめ) |
| CIS 15.5 | Assess Service Providers | 対応表 | A.5.19A.5.20A.5.22 | 同じトピック： ベンダーリスク管理 |
| CIS 15.6 | Monitor Service Providers | 対応表 | A.5.19A.5.20A.5.22 | 同じトピック： ベンダーリスク管理 |
| CIS 15.7 | Securely Decommission Service Providers | 編集 | A.5.19A.5.20A.5.22 | 同じトピック： ベンダーリスク管理 (編集部のおすすめ) |
| 16. Application Software Security · 14 | ||||
| CIS 16.1 | Establish and Maintain a Secure Application Development Process | 対応表 | A.8.25A.8.26A.8.28+1 | 同じトピック： セキュア開発 |
| CIS 16.2 | Establish and Maintain a Process to Accept and Address Software Vulnerabilities | 編集 | A.8.25A.8.26A.8.28+1 | 同じトピック： セキュア開発 (編集部のおすすめ) |
| CIS 16.3 | Perform Root Cause Analysis on Security Vulnerabilities | 編集 | A.8.25A.8.26A.8.28+1 | 同じトピック： セキュア開発 (編集部のおすすめ) |
| CIS 16.4 | Establish and Manage an Inventory of Third-Party Software Components | 編集 | A.5.9A.5.11A.7.14 | 同じトピック： 資産管理 (編集部のおすすめ) |
| CIS 16.5 | Use Up-to-Date and Trusted Third-Party Software Components | 編集 | A.8.25A.8.26A.8.28+1 | 同じトピック： セキュア開発 (編集部のおすすめ) |
| CIS 16.6 | Establish and Maintain a Severity Rating System and Process for Application Vulnerabilities | 編集 | A.8.8 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| CIS 16.7 | Use Standard Hardening Configuration Templates for Application Infrastructure | 編集 | A.8.9 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| CIS 16.8 | Separate Production and Non-Production Systems | 編集 | A.8.25A.8.26A.8.28+1 | 同じトピック： セキュア開発 (編集部のおすすめ) |
| CIS 16.9 | Train Developers in Application Security Concepts and Secure Coding | 編集 | A.8.25A.8.26A.8.28+1 | 同じトピック： セキュア開発 (編集部のおすすめ) |
| CIS 16.10 | Apply Secure Design Principles in Application Architectures | 編集 | A.8.5A.8.26 | 同じトピック： API セキュリティ, Web セキュリティ (編集部のおすすめ) |
| CIS 16.11 | Leverage Vetted Modules or Services for Application Security Components | 編集 | A.8.25A.8.26A.8.28+1 | 同じトピック： セキュア開発 (編集部のおすすめ) |
| CIS 16.12 | Implement Code-Level Security Checks | 編集 | A.8.5A.8.25A.8.26+2 | 同じトピック： API セキュリティ, セキュア開発 (編集部のおすすめ) |
| CIS 16.13 | Conduct Application Penetration Testing | 編集 | A.8.25A.8.26A.8.28+1 | 同じトピック： セキュア開発 (編集部のおすすめ) |
| CIS 16.14 | Conduct Threat Modeling | 編集 | A.8.25A.8.26A.8.28+1 | 同じトピック： セキュア開発 (編集部のおすすめ) |
| 17. Incident Response Management · 9 | ||||
| CIS 17.1 | Designate Personnel to Manage Incident Handling | 編集 | A.5.24A.5.25A.5.26 | 同じトピック： インシデント対応 (編集部のおすすめ) |
| CIS 17.2 | Establish and Maintain Contact Information for Reporting Security Incidents | 対応表 | Clause 7.4A.5.6 | 同じトピック： コミュニケーション |
| CIS 17.3 | Establish and Maintain an Enterprise Process for Reporting Incidents | 編集 | A.5.5A.6.8 | 同じトピック： 報告 (編集部のおすすめ) |
| CIS 17.4 | Establish and Maintain an Incident Response Process | 対応表 | A.5.24A.5.25A.5.26 | 同じトピック： インシデント対応 |
| CIS 17.5 | Assign Key Roles and Responsibilities | 編集 | A.5.24A.5.25A.5.26 | 同じトピック： インシデント対応 (編集部のおすすめ) |
| CIS 17.6 | Define Mechanisms for Communicating During Incident Response | 対応表 | A.5.26Clause 7.4A.5.6 | 同じトピック： 連絡と復旧, コミュニケーション |
| CIS 17.7 | Conduct Routine Incident Response Exercises | 編集 | A.5.24A.5.25A.5.26 | 同じトピック： インシデント対応 (編集部のおすすめ) |
| CIS 17.8 | Conduct Post-Incident Reviews | 編集 | A.5.27Clause 10.1 | 同じトピック： 教訓の反映 (編集部のおすすめ) |
| CIS 17.9 | Establish and Maintain Security Incident Thresholds | 編集 | A.5.24A.5.25A.5.26 | 同じトピック： インシデント対応 (編集部のおすすめ) |
| 18. Penetration Testing · 5 | ||||
| CIS 18.1 | Establish and Maintain a Penetration Testing Program | 編集 | A.8.8 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| CIS 18.2 | Perform Periodic External Penetration Tests | 編集 | A.8.8 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| CIS 18.3 | Remediate Penetration Test Findings | 編集 | A.8.8 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| CIS 18.4 | Validate Security Measures | 編集 | A.8.8 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| CIS 18.5 | Perform Periodic Internal Penetration Tests | 編集 | A.8.8 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
ISO/IEC 27001:2022 の要件 123 件のうち、53 件は CIS v8.1 の何らかの項目にマッピングされ、38 件は緩やかに関連するのみで、32 件は当サイトのデータにマッピングがありません。
新規対応が必要と見込まれる項目: CIS v8.1 へのマッピングがない ISO 27001 の要件 (32)
| ISO 27001 | 要件 | 一致 | CIS v8.1 | 証跡 |
|---|---|---|---|---|
| A.5 Organizational controls · 6 | ||||
| A.5.7 | Threat intelligence | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| A.5.32 | Intellectual property rights | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| A.5.34 | Privacy and protection of PII | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| A.5.35 | Independent review of information security | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| A.5.36 | Compliance with policies, rules and standards for information security | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| A.5.37 | Documented operating procedures | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| A.7 Physical controls · 8 | ||||
| A.7.1 | Physical security perimeters | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| A.7.2 | Physical entry | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| A.7.3 | Securing offices, rooms and facilities | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| A.7.5 | Protecting against physical and environmental threats | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| A.7.6 | Working in secure areas | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| A.7.8 | Equipment siting and protection | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| A.7.11 | Supporting utilities | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| A.7.12 | Cabling security | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| A.8 Technological controls · 3 | ||||
| A.8.30 | Outsourced development | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| A.8.32 | Change management | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| A.8.34 | Protection of information systems during audit testing | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| ISMS clauses 4–10 · 15 | ||||
| Clause 4.1 | Understanding the organization and its context | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| Clause 4.3 | Determining the scope of the ISMS | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| Clause 4.4 | Information security management system | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| Clause 5.1 | Leadership and commitment | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| Clause 6.2 | Information security objectives and planning to achieve them | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| Clause 6.3 | Planning of changes | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| Clause 7.1 | Resources | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| Clause 7.5.1 | General | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| Clause 7.5.2 | Creating and updating | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| Clause 7.5.3 | Control of documented information | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| Clause 8.2 | Information security risk assessment | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| Clause 8.3 | Information security risk treatment | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| Clause 9.2.1 | General | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| Clause 9.2.2 | Internal audit programme | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
| Clause 10.2 | Nonconformity and corrective action | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには CIS v8.1 へのマッピングがありません。 |
要確認：関連性は緩やかなもののみ（共通するCSFのアウトカムがあるだけで、マッピングではありません） (38)
| ISO 27001 | 要件 | 一致 | CIS v8.1 | 証跡 |
|---|---|---|---|---|
| A.5 Organizational controls · 10 | ||||
| A.5.1 | Policies for information security | CIS 3.3CIS 3.11CIS 5.1+5 | CSF PR.AA-05, PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.5.2 | Information security roles and responsibilities | CIS 14.9CIS 15.4CIS 14.2+5 | CSF GV.RR-02, PR.AT-02, GV.SC-02 のみを共有: 関連はあるがマッピングではありません | |
| A.5.3 | Segregation of duties | CIS 3.3CIS 3.10CIS 3.11+5 | CSF PR.AA-05, PR.DS-02, PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.5.4 | Management responsibilities | CIS 14.1CIS 15.4 | CSF GV.RR-01, GV.SC-02 のみを共有: 関連はあるがマッピングではありません | |
| A.5.8 | Information security in project management | CIS 1.1CIS 3.5CIS 1.2+5 | CSF ID.AM-08 のみを共有: 関連はあるがマッピングではありません | |
| A.5.10 | Acceptable use of information and other associated assets | CIS 3.10CIS 3.11CIS 3.1+5 | CSF PR.DS-02, PR.DS-01, PR.DS-10 のみを共有: 関連はあるがマッピングではありません | |
| A.5.17 | Authentication information | CIS 3.3CIS 5.1CIS 6.8+5 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| A.5.28 | Collection of evidence | CIS 17.4CIS 17.1CIS 17.5+2 | CSF RS.MA-01, RS.MA-02 のみを共有: 関連はあるがマッピングではありません | |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | CIS 15.4CIS 15.5CIS 15.6+1 | CSF GV.SC-05, GV.SC-06, GV.SC-07 のみを共有: 関連はあるがマッピングではありません | |
| A.5.33 | Protection of records | CIS 3.11CIS 3.1CIS 3.4+5 | CSF PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | CIS 3.10CIS 3.11CIS 6.1+5 | CSF PR.DS-02, PR.DS-01, GV.RR-04 のみを共有: 関連はあるがマッピングではありません | |
| A.6.2 | Terms and conditions of employment | CIS 3.10CIS 3.11CIS 6.1+5 | CSF PR.DS-02, PR.DS-01, GV.RR-04 のみを共有: 関連はあるがマッピングではありません | |
| A.6.4 | Disciplinary process | CIS 6.1CIS 6.2 | CSF GV.RR-04 のみを共有: 関連はあるがマッピングではありません | |
| A.6.5 | Responsibilities after termination or change of employment | CIS 3.10CIS 3.11CIS 6.1+5 | CSF PR.DS-02, PR.DS-01, GV.RR-04 のみを共有: 関連はあるがマッピングではありません | |
| A.6.6 | Confidentiality or non-disclosure agreements | CIS 6.1CIS 6.2 | CSF GV.RR-04 のみを共有: 関連はあるがマッピングではありません | |
| A.7 Physical controls · 5 | ||||
| A.7.4 | Physical security monitoring | CIS 10.7CIS 13.6 | CSF DE.CM-03 のみを共有: 関連はあるがマッピングではありません | |
| A.7.7 | Clear desk and clear screen | CIS 3.11CIS 3.1CIS 3.4+5 | CSF PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.7.9 | Security of assets off-premises | CIS 3.11CIS 3.1CIS 3.4+5 | CSF PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.7.10 | Storage media | CIS 3.5CIS 1.1CIS 3.11+5 | CSF ID.AM-08, PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.7.13 | Equipment maintenance | CIS 1.1CIS 3.5CIS 1.2+5 | CSF ID.AM-08 のみを共有: 関連はあるがマッピングではありません | |
| A.8 Technological controls · 6 | ||||
| A.8.4 | Access to source code | CIS 3.3CIS 3.10CIS 3.11+5 | CSF PR.AA-05, PR.DS-02, PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.8.6 | Capacity management | CIS 10.1CIS 2.6CIS 2.7+5 | CSF DE.CM-09 のみを共有: 関連はあるがマッピングではありません | |
| A.8.23 | Web filtering | CIS 3.12CIS 12.2CIS 4.4+5 | CSF PR.IR-01 のみを共有: 関連はあるがマッピングではありません | |
| A.8.27 | Secure system architecture and engineering principles | CIS 11.1 | CSF PR.IR-03 のみを共有: 関連はあるがマッピングではありません | |
| A.8.31 | Separation of development, test and production environments | CIS 16.1CIS 9.3CIS 13.10+5 | CSF PR.PS-06 のみを共有: 関連はあるがマッピングではありません | |
| A.8.33 | Test information | CIS 3.11CIS 3.1CIS 3.4+5 | CSF PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| ISMS clauses 4–10 · 12 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | CIS 15.4CIS 3.10CIS 3.11+5 | CSF GV.SC-05, GV.SC-06, PR.DS-02, PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| Clause 5.2 | Policy | CIS 3.10CIS 3.11CIS 3.1+5 | CSF PR.DS-02, PR.DS-01, PR.DS-10 のみを共有: 関連はあるがマッピングではありません | |
| Clause 5.3 | Organizational roles, responsibilities and authorities | CIS 15.4 | CSF GV.SC-02 のみを共有: 関連はあるがマッピングではありません | |
| Clause 6.1.1 | General | CIS 15.7CIS 15.6CIS 15.1+3 | CSF GV.SC-04, GV.SC-07, GV.SC-10, GV.SC-09 のみを共有: 関連はあるがマッピングではありません | |
| Clause 6.1.2 | Information security risk assessment | CIS 15.7CIS 15.6CIS 7.2+5 | CSF GV.SC-04, GV.SC-07, GV.SC-10, GV.SC-09… のみを共有: 関連はあるがマッピングではありません | |
| Clause 6.1.3 | Information security risk treatment | CIS 15.7CIS 15.1CIS 15.3+2 | CSF GV.SC-04, GV.SC-07, GV.SC-10 のみを共有: 関連はあるがマッピングではありません | |
| Clause 7.2 | Competence | CIS 14.1CIS 14.9 | CSF GV.RR-01, GV.RR-02 のみを共有: 関連はあるがマッピングではありません | |
| Clause 8.1 | Operational planning and control | CIS 15.2 | CSF GV.SC-01 のみを共有: 関連はあるがマッピングではありません | |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | CIS 10.7CIS 13.6 | CSF DE.CM-03 のみを共有: 関連はあるがマッピングではありません | |
| Clause 9.3.1 | General | CIS 4.1CIS 4.2CIS 4.3+5 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| Clause 9.3.2 | Management review inputs | CIS 4.1CIS 4.2CIS 4.3+5 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| Clause 9.3.3 | Management review results | CIS 4.1CIS 4.2CIS 4.3+5 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
マッピング済み (53)
| ISO 27001 | 要件 | 一致 | CIS v8.1 | 証跡 |
|---|---|---|---|---|
| A.5 Organizational controls · 21 | ||||
| A.5.5 | Contact with authorities | 編集 | CIS 17.3 | 同じトピック： 報告 (編集部のおすすめ) |
| A.5.6 | Contact with special interest groups | 編集 | CIS 17.2CIS 17.6 | 同じトピック： コミュニケーション (編集部のおすすめ) |
| A.5.9 | Inventory of information and other associated assets | 対応表 | CIS 1.1CIS 2.1CIS 1.2+6 | 同じトピック： 資産管理 |
| A.5.11 | Return of assets | 対応表 | CIS 1.1CIS 2.1CIS 1.2+6 | 同じトピック： 資産管理 |
| A.5.12 | Classification of information | 対応表 | CIS 3.2CIS 3.7CIS 3.8 | 同じトピック： データ分類 |
| A.5.13 | Labelling of information | 対応表 | CIS 3.2CIS 3.7CIS 3.8 | 同じトピック： データ分類 |
| A.5.14 | Information transfer | 対応表 | CIS 3.11CIS 3.1CIS 3.4+7 | 同じトピック： データ保護 |
| A.5.15 | Access control | 対応表 | CIS 3.3CIS 5.1CIS 5.6+12 | 同じトピック： アクセス制御 |
| A.5.16 | Identity management | 対応表 | CIS 3.3CIS 5.1CIS 5.6+9 | 同じトピック： アクセス制御 |
| A.5.18 | Access rights | 対応表 | CIS 3.3CIS 5.1CIS 5.6+9 | 同じトピック： アクセス制御 |
| A.5.19 | Information security in supplier relationships | 対応表 | CIS 15.1CIS 15.2CIS 15.3+4 | 同じトピック： ベンダーリスク管理, サプライチェーンリスク |
| A.5.20 | Addressing information security within supplier agreements | 対応表 | CIS 15.1CIS 15.3CIS 15.5+3 | 同じトピック： ベンダーリスク管理 |
| A.5.21 | Managing information security in the ICT supply chain | 対応表 | CIS 15.2 | 同じトピック： サプライチェーンリスク |
| A.5.22 | Monitoring, review and change management of supplier services | 対応表 | CIS 15.1CIS 15.3CIS 15.5+3 | 同じトピック： ベンダーリスク管理 |
| A.5.23 | Information security for use of cloud services | 対応表 | CIS 15.1 | 同じトピック： クラウドセキュリティ |
| A.5.24 | Information security incident management planning and preparation | 対応表 | CIS 17.4CIS 17.1CIS 17.5+2 | 同じトピック： インシデント対応 |
| A.5.25 | Assessment and decision on information security events | 対応表 | CIS 17.4CIS 8.9CIS 13.1+5 | 同じトピック： インシデント対応, SIEM / SOC |
| A.5.26 | Response to information security incidents | 対応表 | CIS 17.4CIS 17.6CIS 17.1+3 | 同じトピック： インシデント対応, 連絡と復旧 |
| A.5.27 | Learning from information security incidents | 編集 | CIS 17.8 | 同じトピック： 教訓の反映 (編集部のおすすめ) |
| A.5.29 | Information security during disruption | 編集 | CIS 11.1 | 同じトピック： 復旧計画 (編集部のおすすめ) |
| A.5.30 | ICT readiness for business continuity | 編集 | CIS 11.1 | 同じトピック： 復旧計画, ディザスタリカバリ (編集部のおすすめ) |
| A.6 People controls · 3 | ||||
| A.6.3 | Information security awareness, education and training | 対応表 | CIS 14.1CIS 14.9CIS 14.2+6 | 同じトピック： 意識向上とトレーニング |
| A.6.7 | Remote working | 編集 | CIS 4.10CIS 4.11CIS 4.12 | 同じトピック： モバイルセキュリティ (編集部のおすすめ) |
| A.6.8 | Information security event reporting | 編集 | CIS 17.3 | 同じトピック： 報告 (編集部のおすすめ) |
| A.7 Physical controls · 1 | ||||
| A.7.14 | Secure disposal or re-use of equipment | 対応表 | CIS 1.1CIS 2.1CIS 1.2+6 | 同じトピック： 資産管理 |
| A.8 Technological controls · 25 | ||||
| A.8.1 | User endpoint devices | 編集 | CIS 2.5CIS 2.6CIS 2.7+10 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| A.8.2 | Privileged access rights | 編集 | CIS 5.4CIS 12.8 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| A.8.3 | Information access restriction | 対応表 | CIS 3.3CIS 5.1CIS 5.6+9 | 同じトピック： アクセス制御 |
| A.8.5 | Secure authentication | 対応表 | CIS 6.8CIS 12.2CIS 6.3+6 | 同じトピック： ゼロトラスト, 多要素認証 |
| A.8.7 | Protection against malware | 編集 | CIS 2.5CIS 2.6CIS 2.7+7 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| A.8.8 | Management of technical vulnerabilities | 対応表 | CIS 2.2CIS 7.1CIS 7.2+12 | 同じトピック： パッチ管理, 脆弱性管理 |
| A.8.9 | Configuration management | 対応表 | CIS 4.1CIS 4.2CIS 4.3+4 | 同じトピック： 安全な構成 |
| A.8.10 | Information deletion | 対応表 | CIS 3.11CIS 3.1CIS 3.4+2 | 同じトピック： データ保護 |
| A.8.11 | Data masking | 対応表 | CIS 3.11CIS 3.1CIS 3.4+2 | 同じトピック： データ保護 |
| A.8.12 | Data leakage prevention | 編集 | CIS 3.13 | 同じトピック： DLP (編集部のおすすめ) |
| A.8.13 | Information backup | 対応表 | CIS 11.2CIS 11.3CIS 11.5+1 | 同じトピック： バックアップと復旧 |
| A.8.14 | Redundancy of information processing facilities | 編集 | CIS 11.1 | 同じトピック： ディザスタリカバリ (編集部のおすすめ) |
| A.8.15 | Logging | 対応表 | CIS 8.2CIS 3.14CIS 8.1+7 | 同じトピック： ログ記録と監査 |
| A.8.16 | Monitoring activities | 対応表 | CIS 8.11CIS 13.1CIS 8.9+6 | 同じトピック： 異常検知, 継続的モニタリング, SIEM / SOC |
| A.8.17 | Clock synchronization | 対応表 | CIS 8.2CIS 3.14CIS 8.1+7 | 同じトピック： ログ記録と監査 |
| A.8.18 | Use of privileged utility programs | 編集 | CIS 5.4CIS 12.8 | 同じトピック： 特権アクセス (編集部のおすすめ) |
| A.8.19 | Installation of software on operational systems | 対応表 | CIS 2.5CIS 10.1CIS 2.6+7 | 同じトピック： エンドポイント保護 |
| A.8.20 | Networks security | 対応表 | CIS 12.2CIS 4.4CIS 4.5+9 | 同じトピック： ファイアウォール / ネットワークセグメンテーション |
| A.8.21 | Security of network services | 対応表 | CIS 12.2CIS 4.4CIS 4.5+8 | 同じトピック： ファイアウォール / ネットワークセグメンテーション |
| A.8.22 | Segregation of networks | 対応表 | CIS 6.8CIS 12.2CIS 4.4+8 | 同じトピック： ゼロトラスト, ファイアウォール / ネットワークセグメンテーション |
| A.8.24 | Use of cryptography | 対応表 | CIS 3.10CIS 3.11CIS 3.6+1 | 同じトピック： 暗号化 |
| A.8.25 | Secure development life cycle | 対応表 | CIS 16.1CIS 16.2CIS 16.3+7 | 同じトピック： セキュア開発 |
| A.8.26 | Application security requirements | 対応表 | CIS 16.1CIS 9.3CIS 13.10+10 | 同じトピック： セキュア開発, Web セキュリティ |
| A.8.28 | Secure coding | 対応表 | CIS 16.1CIS 16.2CIS 16.3+7 | 同じトピック： セキュア開発 |
| A.8.29 | Security testing in development and acceptance | 対応表 | CIS 16.1CIS 16.2CIS 16.3+7 | 同じトピック： セキュア開発 |
| ISMS clauses 4–10 · 3 | ||||
| Clause 7.3 | Awareness | 対応表 | CIS 14.1CIS 14.9CIS 14.2+6 | 同じトピック： 意識向上とトレーニング |
| Clause 7.4 | Communication | 対応表 | CIS 17.2CIS 17.6 | 同じトピック： コミュニケーション, 連絡と復旧 |
| Clause 10.1 | Continual improvement | 編集 | CIS 17.8 | 同じトピック： 教訓の反映 (編集部のおすすめ) |
トピック別
両方でカバー（38）：
意識向上とトレーニングサプライチェーンリスク資産管理データ分類脆弱性管理アクセス制御多要素認証暗号化データ保護バックアップと復旧特権アクセスファイアウォール / ネットワークセグメンテーションエンドポイント保護パッチ管理安全な構成セキュア開発メールセキュリティWeb セキュリティゼロトラストモバイルセキュリティクラウドセキュリティDNSセキュリティWAFDLP継続的モニタリングログ記録と監査侵入検知異常検知SIEM / SOCインシデント対応コミュニケーション報告復旧計画教訓の反映連絡と復旧ディザスタリカバリAPI セキュリティベンダーリスク管理
ISO 27001 のみ（12）:
よくある質問
CIS Controls で ISO 27001 を置き換えることはできますか？
認証書が不要な場合に限られます。CIS は強力な技術ガイダンスを提供しますが、マネジメントシステムや認証の仕組みは含まれていません。
要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。
対応表 公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集 対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. マッピング済み = ControlMapping のトピックで一緒にまとめられているか、直接リンクされている状態。クロスウォークは準拠の証明にはなりません。 方法論 · データをダウンロード · 誤りを報告.