フレームワーク
CIS Controls v8.1
概要
Center for Internet Securityが定める、優先順位付けされた18のコントロールと153のセーフガードの集合で、3つの実装グループ（IG1からIG3）に分類されています。IG1は「必須のサイバー衛生」のベースラインです。バージョン8.1（2024年）では、コントロールをNIST CSF 2.0のGovern機能に整合させました。
対象となる読者
規範的かつ優先順位付けされた技術的ベースラインを求める組織、特にIG1から着手する中小規模の組織に適しています。
評価方法
認証制度はありません。組織は自己評価を行うか、CISが提供する評価ツールを用いるか、または第三者の評価機関を利用します。
153
セーフガード
153
他のフレームワークにマッピング済み
76%
カバーしているトピック（38/50）
CIS独自の公開クロスウォークは153のセーフガードのうち49件を対象としています。残りはControlMappingが編集によりマッピングしており、それぞれに理由を記載しています。そのため、依拠する前にこれらのリンクを確認してください。
比較一覧
要件
要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。
| ID | 要件 | トピック | マッピング先: |
|---|---|---|---|
| 1. Inventory and Control of Enterprise Assets · 5 | |||
| CIS 1.1 | Establish and Maintain Detailed Enterprise Asset Inventory | 資産管理 | 13 件中 13 件 |
| CIS 1.2 | Address Unauthorized Assets | 資産管理 | 13 件中 13 件 |
| CIS 1.3 | Utilize an Active Discovery Tool | 資産管理 | 13 件中 13 件 |
| CIS 1.4 | Use Dynamic Host Configuration Protocol (DHCP) Logging to Update Enterprise Asset Inventory | 資産管理 | 13 件中 13 件 |
| CIS 1.5 | Use a Passive Asset Discovery Tool | 資産管理 | 13 件中 13 件 |
| 2. Inventory and Control of Software Assets · 7 | |||
| CIS 2.1 | Establish and Maintain a Software Inventory | 資産管理 | 13 件中 13 件 |
| CIS 2.2 | Ensure Authorized Software is Currently Supported | パッチ管理 | 13 件中 10 件 |
| CIS 2.3 | Address Unauthorized Software | 資産管理 | 13 件中 13 件 |
| CIS 2.4 | Utilize Automated Software Inventory Tools | 資産管理 | 13 件中 13 件 |
| CIS 2.5 | Allowlist Authorized Software | エンドポイント保護 | 13 件中 10 件 |
| CIS 2.6 | Allowlist Authorized Libraries | エンドポイント保護 | 13 件中 10 件 |
| CIS 2.7 | Allowlist Authorized Scripts | エンドポイント保護 | 13 件中 10 件 |
| 3. Data Protection · 14 | |||
| CIS 3.1 | Establish and Maintain a Data Management Process | データ保護 | 13 件中 11 件 |
| CIS 3.2 | Establish and Maintain a Data Inventory | データ分類 | 13 件中 9 件 |
| CIS 3.3 | Configure Data Access Control Lists | アクセス制御 | 13 件中 11 件 |
| CIS 3.4 | Enforce Data Retention | データ保護 | 13 件中 11 件 |
| CIS 3.5 | Securely Dispose of Data | データ保護 | 13 件中 11 件 |
| CIS 3.6 | Encrypt Data on End-User Devices | 暗号化 | 13 件中 10 件 |
| CIS 3.7 | Establish and Maintain a Data Classification Scheme | データ分類 | 13 件中 9 件 |
| CIS 3.8 | Document Data Flows | データ分類 | 13 件中 9 件 |
| CIS 3.9 | Encrypt Data on Removable Media | 暗号化 | 13 件中 10 件 |
| CIS 3.10 | Encrypt Sensitive Data in Transit | 暗号化 | 13 件中 10 件 |
| CIS 3.11 | Encrypt Sensitive Data at Rest | 暗号化, データ保護 | 13 件中 11 件 |
| CIS 3.12 | Segment Data Processing and Storage Based on Sensitivity | データ保護 | 13 件中 11 件 |
| CIS 3.13 | Deploy a Data Loss Prevention Solution | DLP | 13 件中 7 件 |
| CIS 3.14 | Log Sensitive Data Access | ログ記録と監査 | 13 件中 10 件 |
| 4. Secure Configuration of Enterprise Assets and Software · 12 | |||
| CIS 4.1 | Establish and Maintain a Secure Configuration Process | 安全な構成 | 13 件中 9 件 |
| CIS 4.2 | Establish and Maintain a Secure Configuration Process for Network Infrastructure | 安全な構成 | 13 件中 9 件 |
| CIS 4.3 | Configure Automatic Session Locking on Enterprise Assets | 安全な構成 | 13 件中 9 件 |
| CIS 4.4 | Implement and Manage a Firewall on Servers | ファイアウォール / ネットワークセグメンテーション | 13 件中 9 件 |
| CIS 4.5 | Implement and Manage a Firewall on End-User Devices | ファイアウォール / ネットワークセグメンテーション | 13 件中 9 件 |
| CIS 4.6 | Securely Manage Enterprise Assets and Software | 安全な構成 | 13 件中 9 件 |
| CIS 4.7 | Manage Default Accounts on Enterprise Assets and Software | 安全な構成 | 13 件中 9 件 |
| CIS 4.8 | Uninstall or Disable Unnecessary Services on Enterprise Assets and Software | 安全な構成 | 13 件中 9 件 |
| CIS 4.9 | Configure Trusted DNS Servers on Enterprise Assets | DNSセキュリティ | 13 件中 3 件 |
| CIS 4.10 | Enforce Automatic Device Lockout on Portable End-User Devices | モバイルセキュリティ | 13 件中 7 件 |
| CIS 4.11 | Enforce Remote Wipe Capability on Portable End-User Devices | モバイルセキュリティ | 13 件中 7 件 |
| CIS 4.12 | Separate Enterprise Workspaces on Mobile End-User Devices | モバイルセキュリティ | 13 件中 7 件 |
| 5. Account Management · 6 | |||
| CIS 5.1 | Establish and Maintain an Inventory of Accounts | アクセス制御 | 13 件中 11 件 |
| CIS 5.2 | Use Unique Passwords | アクセス制御 | 13 件中 11 件 |
| CIS 5.3 | Disable Dormant Accounts | アクセス制御 | 13 件中 11 件 |
| CIS 5.4 | Restrict Administrator Privileges to Dedicated Administrator Accounts | 特権アクセス | 13 件中 10 件 |
| CIS 5.5 | Establish and Maintain an Inventory of Service Accounts | アクセス制御 | 13 件中 11 件 |
| CIS 5.6 | Centralize Account Management | アクセス制御 | 13 件中 11 件 |
| 6. Access Control Management · 8 | |||
| CIS 6.1 | Establish an Access Granting Process | アクセス制御 | 13 件中 11 件 |
| CIS 6.2 | Establish an Access Revoking Process | アクセス制御 | 13 件中 11 件 |
| CIS 6.3 | Require MFA for Externally-Exposed Applications | 多要素認証 | 13 件中 10 件 |
| CIS 6.4 | Require MFA for Remote Network Access | 多要素認証 | 13 件中 10 件 |
| CIS 6.5 | Require MFA for Administrative Access | 多要素認証 | 13 件中 10 件 |
| CIS 6.6 | Establish and Maintain an Inventory of Authentication and Authorization Systems | アクセス制御 | 13 件中 11 件 |
| CIS 6.7 | Centralize Access Control | アクセス制御 | 13 件中 11 件 |
| CIS 6.8 | Define and Maintain Role-Based Access Control | アクセス制御, ゼロトラスト | 13 件中 11 件 |
| 7. Continuous Vulnerability Management · 7 | |||
| CIS 7.1 | Establish and Maintain a Vulnerability Management Process | 脆弱性管理 | 13 件中 13 件 |
| CIS 7.2 | Establish and Maintain a Remediation Process | 脆弱性管理 | 13 件中 13 件 |
| CIS 7.3 | Perform Automated Operating System Patch Management | パッチ管理 | 13 件中 10 件 |
| CIS 7.4 | Perform Automated Application Patch Management | パッチ管理 | 13 件中 10 件 |
| CIS 7.5 | Perform Automated Vulnerability Scans of Internal Enterprise Assets | 脆弱性管理 | 13 件中 13 件 |
| CIS 7.6 | Perform Automated Vulnerability Scans of Externally-Exposed Enterprise Assets | 脆弱性管理 | 13 件中 13 件 |
| CIS 7.7 | Remediate Detected Vulnerabilities | 脆弱性管理 | 13 件中 13 件 |
| 8. Audit Log Management · 12 | |||
| CIS 8.1 | Establish and Maintain an Audit Log Management Process | ログ記録と監査 | 13 件中 10 件 |
| CIS 8.2 | Collect Audit Logs | ログ記録と監査 | 13 件中 10 件 |
| CIS 8.3 | Ensure Adequate Audit Log Storage | ログ記録と監査 | 13 件中 10 件 |
| CIS 8.4 | Standardize Time Synchronization | ログ記録と監査 | 13 件中 10 件 |
| CIS 8.5 | Collect Detailed Audit Logs | ログ記録と監査 | 13 件中 10 件 |
| CIS 8.6 | Collect DNS Query Audit Logs | DNSセキュリティ | 13 件中 3 件 |
| CIS 8.7 | Collect URL Request Audit Logs | ログ記録と監査 | 13 件中 10 件 |
| CIS 8.8 | Collect Command-Line Audit Logs | ログ記録と監査 | 13 件中 10 件 |
| CIS 8.9 | Centralize Audit Logs | SIEM / SOC | 13 件中 10 件 |
| CIS 8.10 | Retain Audit Logs | ログ記録と監査 | 13 件中 10 件 |
| CIS 8.11 | Conduct Audit Log Reviews | 異常検知 | 13 件中 9 件 |
| CIS 8.12 | Collect Service Provider Logs | ログ記録と監査 | 13 件中 10 件 |
| 9. Email and Web Browser Protections · 7 | |||
| CIS 9.1 | Ensure Use of Only Fully Supported Browsers and Email Clients | メールセキュリティ | 13 件中 8 件 |
| CIS 9.2 | Use DNS Filtering Services | DNSセキュリティ | 13 件中 3 件 |
| CIS 9.3 | Maintain and Enforce Network-Based URL Filters | Web セキュリティ | 13 件中 6 件 |
| CIS 9.4 | Restrict Unnecessary or Unauthorized Browser and Email Client Extensions | メールセキュリティ | 13 件中 8 件 |
| CIS 9.5 | Implement DMARC | メールセキュリティ | 13 件中 8 件 |
| CIS 9.6 | Block Unnecessary File Types | メールセキュリティ | 13 件中 8 件 |
| CIS 9.7 | Deploy and Maintain Email Server Anti-Malware Protections | メールセキュリティ | 13 件中 8 件 |
| 10. Malware Defenses · 7 | |||
| CIS 10.1 | Deploy and Maintain Anti-Malware Software | エンドポイント保護 | 13 件中 10 件 |
| CIS 10.2 | Configure Automatic Anti-Malware Signature Updates | エンドポイント保護 | 13 件中 10 件 |
| CIS 10.3 | Disable Autorun and Autoplay for Removable Media | エンドポイント保護 | 13 件中 10 件 |
| CIS 10.4 | Configure Automatic Anti-Malware Scanning of Removable Media | エンドポイント保護 | 13 件中 10 件 |
| CIS 10.5 | Enable Anti-Exploitation Features | エンドポイント保護 | 13 件中 10 件 |
| CIS 10.6 | Centrally Manage Anti-Malware Software | エンドポイント保護 | 13 件中 10 件 |
| CIS 10.7 | Use Behavior-Based Anti-Malware Software | エンドポイント保護 | 13 件中 10 件 |
| 11. Data Recovery · 5 | |||
| CIS 11.1 | Establish and Maintain a Data Recovery Process | 復旧計画, ディザスタリカバリ | 13 件中 10 件 |
| CIS 11.2 | Perform Automated Backups | バックアップと復旧 | 13 件中 11 件 |
| CIS 11.3 | Protect Recovery Data | バックアップと復旧 | 13 件中 11 件 |
| CIS 11.4 | Establish and Maintain an Isolated Instance of Recovery Data | バックアップと復旧 | 13 件中 11 件 |
| CIS 11.5 | Test Data Recovery | バックアップと復旧 | 13 件中 11 件 |
| 12. Network Infrastructure Management · 8 | |||
| CIS 12.1 | Ensure Network Infrastructure is Up-to-Date | パッチ管理 | 13 件中 10 件 |
| CIS 12.2 | Establish and Maintain a Secure Network Architecture | ファイアウォール / ネットワークセグメンテーション, ゼロトラスト | 13 件中 9 件 |
| CIS 12.3 | Securely Manage Network Infrastructure | ファイアウォール / ネットワークセグメンテーション | 13 件中 9 件 |
| CIS 12.4 | Establish and Maintain Architecture Diagram(s) | ファイアウォール / ネットワークセグメンテーション | 13 件中 9 件 |
| CIS 12.5 | Centralize Network Authentication, Authorization, and Auditing (AAA) | アクセス制御 | 13 件中 11 件 |
| CIS 12.6 | Use of Secure Network Management and Communication Protocols | ファイアウォール / ネットワークセグメンテーション | 13 件中 9 件 |
| CIS 12.7 | Ensure Remote Devices Utilize a VPN and are Connecting to an Enterprise's AAA Infrastructure | ゼロトラスト | 13 件中 7 件 |
| CIS 12.8 | Establish and Maintain Dedicated Computing Resources for All Administrative Work | 特権アクセス | 13 件中 10 件 |
| 13. Network Monitoring and Defense · 11 | |||
| CIS 13.1 | Centralize Security Event Alerting | 継続的モニタリング, SIEM / SOC | 13 件中 10 件 |
| CIS 13.2 | Deploy a Host-Based Intrusion Detection Solution | 侵入検知 | 13 件中 9 件 |
| CIS 13.3 | Deploy a Network Intrusion Detection Solution | 侵入検知 | 13 件中 9 件 |
| CIS 13.4 | Perform Traffic Filtering Between Network Segments | ファイアウォール / ネットワークセグメンテーション | 13 件中 9 件 |
| CIS 13.5 | Manage Access Control for Remote Assets | ゼロトラスト | 13 件中 7 件 |
| CIS 13.6 | Collect Network Traffic Flow Logs | 継続的モニタリング | 13 件中 10 件 |
| CIS 13.7 | Deploy a Host-Based Intrusion Prevention Solution | 侵入検知 | 13 件中 9 件 |
| CIS 13.8 | Deploy a Network Intrusion Prevention Solution | 侵入検知 | 13 件中 9 件 |
| CIS 13.9 | Deploy Port-Level Access Control | ファイアウォール / ネットワークセグメンテーション | 13 件中 9 件 |
| CIS 13.10 | Perform Application Layer Filtering | Web セキュリティ, WAF | 13 件中 6 件 |
| CIS 13.11 | Tune Security Event Alerting Thresholds | SIEM / SOC | 13 件中 10 件 |
| 14. Security Awareness and Skills Training · 9 | |||
| CIS 14.1 | Establish and Maintain a Security Awareness Program | 意識向上とトレーニング | 13 件中 10 件 |
| CIS 14.2 | Train Workforce Members to Recognize Social Engineering Attacks | 意識向上とトレーニング | 13 件中 10 件 |
| CIS 14.3 | Train Workforce Members on Authentication Best Practices | 意識向上とトレーニング | 13 件中 10 件 |
| CIS 14.4 | Train Workforce on Data Handling Best Practices | 意識向上とトレーニング | 13 件中 10 件 |
| CIS 14.5 | Train Workforce Members on Causes of Unintentional Data Exposure | 意識向上とトレーニング | 13 件中 10 件 |
| CIS 14.6 | Train Workforce Members on Recognizing and Reporting Security Incidents | 意識向上とトレーニング | 13 件中 10 件 |
| CIS 14.7 | Train Workforce on How to Identify and Report if Their Enterprise Assets are Missing Security Updates | 意識向上とトレーニング | 13 件中 10 件 |
| CIS 14.8 | Train Workforce on the Dangers of Connecting to and Transmitting Enterprise Data Over Insecure Networks | 意識向上とトレーニング | 13 件中 10 件 |
| CIS 14.9 | Conduct Role-Specific Security Awareness and Skills Training | 意識向上とトレーニング | 13 件中 10 件 |
| 15. Service Provider Management · 7 | |||
| CIS 15.1 | Establish and Maintain an Inventory of Service Providers | クラウドセキュリティ, ベンダーリスク管理 | 13 件中 12 件 |
| CIS 15.2 | Establish and Maintain a Service Provider Management Policy | サプライチェーンリスク | 13 件中 9 件 |
| CIS 15.3 | Classify Service Providers | ベンダーリスク管理 | 13 件中 10 件 |
| CIS 15.4 | Ensure Service Provider Contracts Include Security Requirements | ベンダーリスク管理 | 13 件中 10 件 |
| CIS 15.5 | Assess Service Providers | ベンダーリスク管理 | 13 件中 10 件 |
| CIS 15.6 | Monitor Service Providers | ベンダーリスク管理 | 13 件中 10 件 |
| CIS 15.7 | Securely Decommission Service Providers | ベンダーリスク管理 | 13 件中 10 件 |
| 16. Application Software Security · 14 | |||
| CIS 16.1 | Establish and Maintain a Secure Application Development Process | セキュア開発 | 13 件中 8 件 |
| CIS 16.2 | Establish and Maintain a Process to Accept and Address Software Vulnerabilities | セキュア開発 | 13 件中 8 件 |
| CIS 16.3 | Perform Root Cause Analysis on Security Vulnerabilities | セキュア開発 | 13 件中 8 件 |
| CIS 16.4 | Establish and Manage an Inventory of Third-Party Software Components | 資産管理 | 13 件中 13 件 |
| CIS 16.5 | Use Up-to-Date and Trusted Third-Party Software Components | セキュア開発 | 13 件中 8 件 |
| CIS 16.6 | Establish and Maintain a Severity Rating System and Process for Application Vulnerabilities | 脆弱性管理 | 13 件中 13 件 |
| CIS 16.7 | Use Standard Hardening Configuration Templates for Application Infrastructure | 安全な構成 | 13 件中 9 件 |
| CIS 16.8 | Separate Production and Non-Production Systems | セキュア開発 | 13 件中 8 件 |
| CIS 16.9 | Train Developers in Application Security Concepts and Secure Coding | セキュア開発 | 13 件中 8 件 |
| CIS 16.10 | Apply Secure Design Principles in Application Architectures | Web セキュリティ, API セキュリティ | 13 件中 6 件 |
| CIS 16.11 | Leverage Vetted Modules or Services for Application Security Components | セキュア開発 | 13 件中 8 件 |
| CIS 16.12 | Implement Code-Level Security Checks | セキュア開発, API セキュリティ | 13 件中 8 件 |
| CIS 16.13 | Conduct Application Penetration Testing | セキュア開発 | 13 件中 8 件 |
| CIS 16.14 | Conduct Threat Modeling | セキュア開発 | 13 件中 8 件 |
| 17. Incident Response Management · 9 | |||
| CIS 17.1 | Designate Personnel to Manage Incident Handling | インシデント対応 | 13 件中 12 件 |
| CIS 17.2 | Establish and Maintain Contact Information for Reporting Security Incidents | コミュニケーション | 13 件中 8 件 |
| CIS 17.3 | Establish and Maintain an Enterprise Process for Reporting Incidents | 報告 | 13 件中 12 件 |
| CIS 17.4 | Establish and Maintain an Incident Response Process | インシデント対応 | 13 件中 12 件 |
| CIS 17.5 | Assign Key Roles and Responsibilities | インシデント対応 | 13 件中 12 件 |
| CIS 17.6 | Define Mechanisms for Communicating During Incident Response | コミュニケーション, 連絡と復旧 | 13 件中 9 件 |
| CIS 17.7 | Conduct Routine Incident Response Exercises | インシデント対応 | 13 件中 12 件 |
| CIS 17.8 | Conduct Post-Incident Reviews | 教訓の反映 | 13 件中 9 件 |
| CIS 17.9 | Establish and Maintain Security Incident Thresholds | インシデント対応 | 13 件中 12 件 |
| 18. Penetration Testing · 5 | |||
| CIS 18.1 | Establish and Maintain a Penetration Testing Program | 脆弱性管理 | 13 件中 13 件 |
| CIS 18.2 | Perform Periodic External Penetration Tests | 脆弱性管理 | 13 件中 13 件 |
| CIS 18.3 | Remediate Penetration Test Findings | 脆弱性管理 | 13 件中 13 件 |
| CIS 18.4 | Validate Security Measures | 脆弱性管理 | 13 件中 13 件 |
| CIS 18.5 | Perform Periodic Internal Penetration Tests | 脆弱性管理 | 13 件中 13 件 |
トピックのカバレッジ
CIS v8.1のマッピング済み要件を持つトピック（38件）:
意識向上とトレーニングサプライチェーンリスク資産管理データ分類脆弱性管理アクセス制御多要素認証暗号化データ保護バックアップと復旧特権アクセスファイアウォール / ネットワークセグメンテーションエンドポイント保護パッチ管理安全な構成セキュア開発メールセキュリティWeb セキュリティゼロトラストモバイルセキュリティクラウドセキュリティDNSセキュリティWAFDLP継続的モニタリングログ記録と監査侵入検知異常検知SIEM / SOCインシデント対応コミュニケーション報告復旧計画教訓の反映連絡と復旧ディザスタリカバリAPI セキュリティベンダーリスク管理
当サイトのデータにはマッピングがありません CIS v8.1 の要件なし（12）: