中小企業のCIS Controls v8 実装ガイド｜情シス1人でもできる「IG1」18の基本対策と優先順位付け実践手順

「セキュリティ対策が大切なのは分かっている。でも、何から手をつけていいのか分からない」——情シス1人体制の中小企業でよく耳にする声です。
脅威情報やベストプラクティスはあふれるほどありますが、自社の状況に合わせた優先順位を体系的に整理できているチームは多くありません。

この記事では、世界中の中小企業が実際に活用しているセキュリティ対策フレームワーク「CIS Controls v8」と、SMB向けの入門段階である「IG1（実装グループ1）」を解説します。18のコントロールを優先度順に整理し、情シス1人でも今日から動き始められる実践手順を紹介します。

CIS Controls v8とは？中小企業が最初に知るべきフレームワーク

CIS Controls（Center for Internet Security Controls）は、非営利組織のCISが公開するサイバーセキュリティのベストプラクティス集です。2021年に改訂されたv8では、クラウド・リモートワーク時代に対応した18のコントロール（管理策）と、153のセーフガード（具体的対策項目）が体系的に整理されています。

NISTサイバーセキュリティフレームワーク（CSF）やISOなど他の標準と比べ、CIS Controlsが中小企業に向いている最大の理由は「優先順位が明確」な点です。3段階の実装グループ（IG）に分かれており、自社の規模や人員に合ったレベルから着手できます。

・IG1（実装グループ1）: 中小規模・IT専任1～2名・限られたリソースを想定した基本サイバーハイジーン（56セーフガード）
・IG2（実装グループ2）: 機密情報を扱う中規模組織向けの中級対策（130セーフガード累計）
・IG3（実装グループ3）: 高度なリスクにさらされた大規模組織・重要インフラ向けの上級対策（全153セーフガード）

情シス1人体制の中小企業がまず目指すべきは、IG1の56セーフガードを完全実装することです。これらを実装するだけで、一般的なサイバー攻撃の大部分を防ぐ基盤が整います。

18コントロールの全体マップ（IG1対応状況）

以下の表で、CIS Controls v8の18コントロールとIG1の対応関係を把握しましょう。チェックボックスとして使えるよう設計しています。

優先度別 実装ステップ

18コントロールを一度に実装しようとすると必ず挫折します。重要度と実施コストのバランスを考え、4段階に分けて取り組むのが現実的です。

1. 今すぐ（1週間以内）：資産を「見える化」する

すべてのセキュリティ対策は「何があるかを把握すること」から始まります。CIS Controlsのコントロール1（ハードウェア資産）とコントロール2（ソフトウェア資産）が最優先です。

・ハードウェア資産台帳: 社内のPC・サーバー・ネットワーク機器・スマートフォンを洗い出し、管理番号・使用者・設置場所・OSバージョンをスプレッドシートに記録する
・ソフトウェア資産台帳: 業務で使用しているアプリケーション・SaaS一覧を作成し、ライセンス有効期限とサポート終了日を記録する
・未承認デバイス対応: 資産台帳に登録されていないデバイスがネットワーク上に存在する場合、使用ポリシーを明確化する

IT資産管理の具体的な進め方については、別記事で詳しく解説しています。

2. 1ヶ月以内：アカウントとアクセス権限を整理する

コントロール5（アカウント管理）とコントロール6（アクセス制御）は、侵害被害の拡大を最小化するうえで核心的な対策です。

・アカウント台帳の作成: Active Directory・Microsoft 365・Google Workspaceなど、全サービスのユーザーアカウント一覧を整備する
・休眠アカウントの無効化: 退職者・異動者のアカウントが残っていないか確認し、90日以上使用されていないアカウントを無効化する
・管理者権限の最小化: 日常業務には標準ユーザー権限で作業し、管理操作が必要な場合のみ管理者アカウントを使用するルールを徹底する
・MFAの適用: VPN・クラウドサービス・リモートデスクトップなど外部からアクセスする全サービスに多要素認証（MFA）を必須化する

# Windows Server：90日以上ログインがないアカウントを確認する想定例コマンド
# （Active Directory環境での実行例）
Search-ADAccount -AccountInactive -TimeSpan 90.00:00:00 -UsersOnly | Select-Object Name, LastLogonDate | Sort LastLogonDate

3. 3ヶ月以内：パッチ管理とマルウェア対策を自動化する

コントロール7（脆弱性管理）とコントロール10（マルウェア対策）は、既知の脅威から組織を守るための基本対策です。脆弱性管理の4ステップと合わせて取り組むと効果的です。

・OS・アプリの自動パッチ適用: Windowsは「Windows Update for Business」、macOSは「自動アップデート」を有効にし、月次パッチの適用状況を確認する運用フローを作る
・サードパーティアプリの更新管理: Adobe Acrobat・7-Zip・VLCなど脆弱性が狙われやすいアプリを含め、更新が必要なソフトウェアを定期的にリストアップする
・アンチマルウェアの統一: 全端末にアンチウイルス・EDRを導入し、定義ファイルの自動更新と定期スキャンを設定する
・リムーバブルメディアの自動実行無効化: USBメモリ接続時の自動実行（Autorun）をグループポリシーで無効化する
・メール・DNSフィルタリング: スパムフィルター・マルウェアメールフィルターを有効にし、DNSフィルタリングを導入してC2通信の接続先をブロックする

4. 継続的に回す：ログ管理・バックアップ・インシデント対応

コントロール8（監査ログ）・コントロール11（データ復旧）・コントロール17（インシデント対応）は、一度設定すれば終わりではなく、継続的な運用が必要です。

・監査ログの収集と保管: Windows イベントログ・クラウドサービスの管理ログ・ファイアウォールログを収集し、少なくとも90日間保管する
・バックアップの3-2-1体制: データを3箇所（本番・ローカルバックアップ・クラウドなどオフサイト）に保管し、少なくとも1つはオフラインまたは書き込み不可の状態を維持する
・バックアップからの復元テスト: 年1回以上、バックアップからの実際の復元テストを実施し、記録に残す
・インシデント対応計画の文書化: 担当者・連絡先・初動フローを文書化し、全関係者と共有する

セキュリティ意識向上と外部委託先管理も忘れずに

技術的対策だけでは不十分です。コントロール14（セキュリティ意識向上）とコントロール15（サービスプロバイダー管理）はIG1の範囲に含まれており、特に中小企業では見落とされがちです。

コントロール14では、以下のトレーニングを年1回以上実施することを求めています。

・ソーシャルエンジニアリング攻撃（フィッシングメールなど）の見分け方
・パスワード管理・MFAの正しい使い方
・機密データの取り扱いルールと情報持ち出し禁止
・不審なインシデントの報告経路と報告義務

コントロール15では、SaaS・クラウドサービス・外注業者の台帳を整備し、各サービスのセキュリティ要件（データ保管場所・アクセス権限・ログ取得可否など）を確認しておく必要があります。委託先のセキュリティ評価については別記事で詳しく解説しています。

CIS Controlsの実装状況を自己評価する方法

CISは「CIS Controls Self-Assessment Tool（CIS CSAT）」を無償で提供しており、自社のIG1実装進捗をスコアリングできます。

独自ツールを使わず手作業で確認する場合は、以下の形式で各コントロールの実装状況を「実装済み・部分実装・未実装」の3段階でスプレッドシートに記録するだけでも十分です。

・実装済み: セーフガードの要件を満たす手順・設定が確立され、定期的に検証されている
・部分実装: 一部の端末や環境には適用されているが、全社統一には至っていない
・未実装: 対策が存在しないか、文書化されていない

この評価を年1回実施し、前年度との差分を記録することで、セキュリティ成熟度の向上を可視化できます。定期セキュリティ点検チェックリストと組み合わせると、より包括的な自己評価が可能です。

CIS Controls実装でよくあるつまずきと注意点

【つまずき1】コントロール1・2の維持管理が続かない

資産台帳は作成した時点で古くなり始めます。「四半期ごとに更新する」「新規調達時に台帳追記を義務化する」といった運用ルールを最初に決めておかないと、すぐに形骸化します。資産台帳の更新は他の定期作業（例：パッチ確認の月次チェック）と組み合わせて習慣化するのが効果的です。

【つまずき2】MFAの展開で例外が生まれる

「あのシステムはMFA非対応」「あの人はスマホを持っていない」といった例外が積み重なると、MFA適用の抜け穴が生まれます。MFA非対応のシステムについては代替手段（IPアドレス制限・VPN必須化など）を文書化し、例外は台帳で管理することが重要です。

【つまずき3】バックアップが取れていても復元できない

バックアップを取得していても、実際の復元テストをしたことがない組織は多くあります。ランサムウェア被害に遭った際にバックアップが暗号化されていた、または復元に想定以上の時間がかかったという状況は一般的に報告されています。コントロール11で求めているのは「バックアップの実施」だけでなく「復元プロセスの検証」まで含みます。

【つまずき4】IG1をすべて同時に着手しようとする

56のセーフガードを一度に実装しようとすると、どれも中途半端に終わります。まずコントロール1・2・5・7を完成させることで、他の多くの対策の基盤が整います。段階的な着手が最終的に早く完成形に近づく方法です。

本記事のまとめ

CIS Controls v8 IG1は、情シス1人体制の中小企業が「何から始めるか」を迷わないための実践的な指針です。

CIS Controls v8のIG1は、特定の製品やベンダーに依存しない汎用的な対策指針です。既存のツールや予算の範囲内で始められる部分から着手し、継続的に実装レベルを上げていくことが大切です。サイバーハイジーン全般の実践方法も合わせて参照すると、IG1の取り組みがさらに体系化できます。