株式会社BlueAI は 2026年度 IT導入支援事業者に採択されました 詳しく見る
BlueAI セキュリティ
メニュー

用語集・組織のルールと規格

CIS Controls

CIS Critical Security Controls

CIS Controls（CIS Critical Security Controls）は、米国の非営利団体CISが公開する、優先順位を付けた18項目のセキュリティ対策の実践集である。

別の呼び方 CISコントロール、CIS Critical Security Controls、CIS 18、CIS Controls v8.1

要点

  • 意味 CIS Controls（CIS Critical Security Controls）は、米国の非営利団体CISが公開する、優先順位を付けた18項目のセキュリティ対策の実践集です。
  • 中小企業にとって 資産の把握、ソフトウェアの把握、脆弱性の継続的な管理、アカウント管理など、事故の多くに共通する基本が具体的な対策の単位で並んでいる。
  • このサイトでは 攻撃手法 2 種、事例 3 件のページと関わります。下の一覧から、記録のどこに関わるかを読めます。

中小企業にとっての意味

  • 資産の把握、ソフトウェアの把握、脆弱性の継続的な管理、アカウント管理など、事故の多くに共通する基本が具体的な対策の単位で並んでいる。

  • 実装グループ1（IG1）は、IT人材の限られた中小規模の組織が最低限そろえるべき56の対策としてまとめられており、何から手を付けるかの目安になる。

  • 現行のv8.1ではNIST CSF 2.0に合わせて統治の機能が加わり、CSFとの対応づけも見直されているため、両方を併用しやすい。

よくある誤解

誤解CIS Controlsは18項目すべてを一度に満たさないと意味がない
実際CISは実装グループで優先度を分けており、IG1は中小規模の組織を想定した基本的なサイバー衛生の56の対策で、すべての組織の最低限の水準と位置づけている。まずIG1から取り組める。
誤解CIS ControlsとNIST CSFはどちらか一方を選ぶものだ
実際CISはv8.1でNIST CSF 2.0に合わせて統治の機能を加え、CSFとの対応づけを見直しており、併用を前提にしている。CSFで全体の抜けを確かめ、CIS Controlsで具体策を選ぶ使い方ができる。

このサイトの手口と事例との関係

関係は、それぞれのページに収録した記録の範囲で書いています。

  • 攻撃手法VPN・エッジ機器の脆弱性悪用

    記録は修正プログラムが未適用のVPN装置などが最初の入口になると示しており、CIS Controlsの資産の把握と脆弱性の継続的な管理が向き合う手口である。

  • 攻撃手法認証情報の悪用

    記録は漏えいしたパスワードや推測されやすいパスワードによるログインを示しており、CIS Controlsのアカウント管理とアクセス制御の管理に当たる。

  • 事例Equifax

    記録にある「資産台帳」と「パッチ適用の確認」は、CIS Controlsの資産の把握と脆弱性管理の項目に当たる対策である。

  • 事例Log4Shell

    記録にある「依存ライブラリの棚卸し」は、CIS Controlsのソフトウェア資産の把握に当たる対策である。

  • 事例岡山県精神科医療センター

    記録は推測可能なID・パスワード、修正されないままの脆弱性、全一般ユーザーへの管理者権限の付与を挙げており、アカウント管理と脆弱性管理の項目に当たる。

このテーマ

セキュリティ用語集

同じテーマのページをまとめて読めます。

次に読む

出典

最終確認日 （2026年10月24日）

監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）