CISベンチマークでクラウドの設定を確かめる

CISベンチマークでクラウドの設定を確かめるとは、CIS（Center for Internet Security）が公開している設定の推奨の手引きを物差しにして、自社のクラウドの設定がどこまで沿っているかを点検することです。自社で一から基準を作らずに、広く使われている物差しから始められる点が利点です。

CISベンチマークとは

CISベンチマークとは、OS・クラウド・ネットワーク機器などの製品ごとに、安全に使うための設定を具体的に推奨した手引きです。CIS は、世界のサイバーセキュリティの専門家による合意にもとづいて作っていると説明しており、作成と更新には利用者の集まり（CIS Benchmarks Community）も加わります。

クラウド向けには、基本の設定（Foundations）の版があります。2026年11月時点で CIS のページに掲げられている版は、Amazon Web Services Foundations が 7.1.0、Microsoft Azure Foundations が 7.0.0、Google Cloud Platform Foundation が 5.0.1 です。版は改まっていくため、使う前に最新の版を確かめます。

出典：CIS Benchmarks（Center for Internet Security）

基本の設定の版が扱うのは、アカウントと権限、操作の記録、監視、ネットワーク、保存場所といった、どの会社にも共通する土台の部分です。使っているサービスの細かな設定や、業務の決まりまでを扱うものではありません。

事業者の点検の仕組みで確かめる

CISの基準に沿っているかは、クラウドの事業者が用意している点検の仕組み（CSPM）で、自動で確かめられます。手で一つずつ確かめるより速く、設定が変わったときにも点検し直せます。

• AWS：AWS Security Hub CSPM は、CIS AWS Foundations Benchmark の 5.0.0・3.0.0・1.4.0・1.2.0 の4つの版に対応し、5.0.0 を勧めています
• Microsoft Azure：Azure Policy に、CIS Microsoft Azure Foundations Benchmark の項目と Azure Policy の定義を対応させた組み込みの定義があります
• Google Cloud：Security Command Center で、CIS などの基準に沿っているかを確かめられます

出典：CIS AWS Foundations Benchmark in Security Hub CSPM（AWS）

出典：Regulatory Compliance details for CIS Microsoft Azure Foundations Benchmark 2.0.0（Microsoft Learn）

出典：Security Command Center overview（Google Cloud）

事業者の仕組みが対応している版は、CIS が公開している最新の版より古いことがあります。上の AWS の例でも、CIS のページの最新は 7.1.0 ですが、Security Hub CSPM が対応している版は 5.0.0 までです。どの版で点検したのかを、結果と一緒に記録しておきます。

CSPM の仕組みの選び方と、指摘の仕分けの進め方は、クラウドの設定の診断（CSPM）とはで説明しています。

「準拠」の表示が意味すること

自動の点検で「準拠」と出ても、CISベンチマークのすべての項目を満たしたことにはなりません。点検の仕組みが扱えない項目があるためです。

AWS は、Security Hub CSPM がすべての版のすべての要件に対応しているわけではなく、対応していない要件の多くは、資源の状態を手で確かめないと評価できないと説明しています。Microsoft も、Azure Policy の「準拠」はその定義に照らした結果にすぎず、項目の要件をすべて満たすことを保証するものではない、項目と定義が一対一で対応していないことが多い、まだ定義のない項目もある、として、Azure Policy での準拠の表示は全体の一部の見え方だと説明しています。

出典：CIS AWS Foundations Benchmark in Security Hub CSPM（AWS）

出典：Regulatory Compliance details for CIS Microsoft Azure Foundations Benchmark 2.0.0（Microsoft Learn）

手で確かめる項目は、一覧にして担当と時期を決め、自動の点検の結果と一緒に記録します。取引先のセキュリティの確認や、監査で説明を求められたときに、「自動で確かめたこと」と「手で確かめたこと」を分けて示せるようにしておくと、説明がしやすくなります。

自社の基準にするときの注意

CISベンチマークを自社の設定の基準にするときは、使う版を決め、業務の理由で外す項目を記録し、版が改まったときに見直す時期を決めておきます。手引きの推奨をそのまますべて当てはめると、業務に必要な使い方ができなくなる場合があるためです。

1. 版を決める：事業者の点検の仕組みが対応している版と、CIS の最新の版を見比べ、どの版を基準にするかを決める
2. 外す項目を記録する：業務の理由で推奨どおりにしない項目は、理由・認めた人・見直す日を残す
3. 新しく作る環境に組み込む：基準に沿った設定を、アカウントを作る手順や、インフラのコード化（IaC）とは。手作業の構築をやめる理由の雛形に入れておく
4. 版が改まったら見直す：新しい版で増えた項目、変わった項目を確かめ、基準を更新する

基準は、クラウドの事業者が示す設計の考え方と組み合わせると、設定の点検だけでなく、構成の見直しにもつながります。設計の考え方による見直しは、Well-Architected の柱で、いまの構成を確かめるで説明しています。

当社のご支援

アメリア・テクノロジーのクラウドの構築と運用管理では、CISベンチマークを使った設定の点検、自動で確かめる項目と手で確かめる項目の切り分け、自社の基準づくりをお手伝いしています。当社の担当者による設定の点検は、クラウドのセキュリティ診断としてもお受けしています。当社が構築・運用している環境の診断は、自己点検として報告します。取引先や監査に向けて第三者の立場での確認が要る場合は、システム監査の決まりにもとづいてご相談ください。