--- title: "CISベンチマークでクラウドの設定を確かめる｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/cis-benchmark-cloud/ description: "CISベンチマークは、専門家の合意で作られる設定の推奨の手引きです。クラウド向けの版、事業者の点検の仕組みでの確かめ方、「準拠」の表示の意味、自社の基準にするときの注意を説明します。" updated: 2026-11-14 publisher: "アメリア・テクノロジー株式会社" --- # CISベンチマークでクラウドの設定を確かめる CISベンチマークは、専門家の合意で作られる設定の推奨の手引きです。クラウド向けの版、事業者の点検の仕組みでの確かめ方、「準拠」の表示の意味、自社の基準にするときの注意を説明します。 2026.11.14 [クラウドと運用](https://www.ameliatechnology.co.jp/blog/category/cloud/) 執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO） クラウドと運用（CLOUD & OPERATIONS）のコラム ## この記事の要点 - CISベンチマークは、世界の専門家の合意で作られる設定の推奨で、AWS・Microsoft Azure・Google Cloud にはそれぞれ基本の設定の版があります。 - 3つのクラウドとも、事業者の点検の仕組みでCISの基準に沿っているかを確かめられますが、点検できない項目があり、「準拠」の表示が全項目を満たす意味ではありません。 - 自社の基準にするときは、版を決め、業務の理由で外す項目を記録し、版が改まったときの見直しの時期を決めておきます。 CISベンチマークでクラウドの設定を確かめるとは、CIS（Center for Internet Security）が公開している設定の推奨の手引きを物差しにして、自社のクラウドの設定がどこまで沿っているかを点検することです。自社で一から基準を作らずに、広く使われている物差しから始められる点が利点です。 ## CISベンチマークとは [CISベンチマーク](https://www.ameliatechnology.co.jp/glossary/cis-benchmark/)とは、OS・クラウド・ネットワーク機器などの製品ごとに、安全に使うための設定を具体的に推奨した手引きです。CIS は、世界のサイバーセキュリティの専門家による合意にもとづいて作っていると説明しており、作成と更新には利用者の集まり（CIS Benchmarks Community）も加わります。 クラウド向けには、基本の設定（Foundations）の版があります。2026年11月時点で CIS のページに掲げられている版は、Amazon Web Services Foundations が 7.1.0、Microsoft Azure Foundations が 7.0.0、Google Cloud Platform Foundation が 5.0.1 です。版は改まっていくため、使う前に最新の版を確かめます。 出典：[CIS Benchmarks（Center for Internet Security）](https://www.cisecurity.org/cis-benchmarks) 基本の設定の版が扱うのは、アカウントと権限、操作の記録、監視、ネットワーク、保存場所といった、どの会社にも共通する土台の部分です。使っているサービスの細かな設定や、業務の決まりまでを扱うものではありません。 ## 事業者の点検の仕組みで確かめる CISの基準に沿っているかは、クラウドの事業者が用意している点検の仕組み（[CSPM](https://www.ameliatechnology.co.jp/glossary/cspm/)）で、自動で確かめられます。手で一つずつ確かめるより速く、設定が変わったときにも点検し直せます。 - **AWS**：AWS Security Hub CSPM は、CIS AWS Foundations Benchmark の 5.0.0・3.0.0・1.4.0・1.2.0 の4つの版に対応し、5.0.0 を勧めています - **Microsoft Azure**：Azure Policy に、CIS Microsoft Azure Foundations Benchmark の項目と Azure Policy の定義を対応させた組み込みの定義があります - **Google Cloud**：Security Command Center で、CIS などの基準に沿っているかを確かめられます 出典：[CIS AWS Foundations Benchmark in Security Hub CSPM（AWS）](https://docs.aws.amazon.com/securityhub/latest/userguide/cis-aws-foundations-benchmark.html) 出典：[Regulatory Compliance details for CIS Microsoft Azure Foundations Benchmark 2.0.0（Microsoft Learn）](https://learn.microsoft.com/en-us/azure/governance/policy/samples/cis-azure-2-0-0) 出典：[Security Command Center overview（Google Cloud）](https://docs.cloud.google.com/security-command-center/docs/security-command-center-overview) 事業者の仕組みが対応している版は、CIS が公開している最新の版より古いことがあります。上の AWS の例でも、CIS のページの最新は 7.1.0 ですが、Security Hub CSPM が対応している版は 5.0.0 までです。どの版で点検したのかを、結果と一緒に記録しておきます。 CSPM の仕組みの選び方と、指摘の仕分けの進め方は、[クラウドの設定の診断（CSPM）とは](https://www.ameliatechnology.co.jp/blog/cspm-basics/)で説明しています。 ## 「準拠」の表示が意味すること 自動の点検で「準拠」と出ても、CISベンチマークのすべての項目を満たしたことにはなりません。点検の仕組みが扱えない項目があるためです。 AWS は、Security Hub CSPM がすべての版のすべての要件に対応しているわけではなく、対応していない要件の多くは、資源の状態を手で確かめないと評価できないと説明しています。Microsoft も、Azure Policy の「準拠」はその定義に照らした結果にすぎず、項目の要件をすべて満たすことを保証するものではない、項目と定義が一対一で対応していないことが多い、まだ定義のない項目もある、として、Azure Policy での準拠の表示は全体の一部の見え方だと説明しています。 出典：[CIS AWS Foundations Benchmark in Security Hub CSPM（AWS）](https://docs.aws.amazon.com/securityhub/latest/userguide/cis-aws-foundations-benchmark.html) 出典：[Regulatory Compliance details for CIS Microsoft Azure Foundations Benchmark 2.0.0（Microsoft Learn）](https://learn.microsoft.com/en-us/azure/governance/policy/samples/cis-azure-2-0-0) 自動の点検の「準拠」が意味する範囲 - **自動で点検できる項目**：事業者の点検の仕組みが対応している項目。結果に「準拠」と出る - **自動では点検できない項目**：資源の状態を**手で確かめないと評価できない**項目や、定義のない項目 - **「準拠」の表示**：点検した定義に照らした結果で、すべての項目を満たしたことにはならない（全体の一部の見え方） 手で確かめる項目は、一覧にして担当と時期を決め、自動の点検の結果と一緒に記録します。取引先のセキュリティの確認や、監査で説明を求められたときに、「自動で確かめたこと」と「手で確かめたこと」を分けて示せるようにしておくと、説明がしやすくなります。 ## 自社の基準にするときの注意 CISベンチマークを自社の設定の基準にするときは、使う版を決め、業務の理由で外す項目を記録し、版が改まったときに見直す時期を決めておきます。手引きの推奨をそのまますべて当てはめると、業務に必要な使い方ができなくなる場合があるためです。 1. **版を決める**：事業者の点検の仕組みが対応している版と、CIS の最新の版を見比べ、どの版を基準にするかを決める 2. **外す項目を記録する**：業務の理由で推奨どおりにしない項目は、理由・認めた人・見直す日を残す 3. **新しく作る環境に組み込む**：基準に沿った設定を、アカウントを作る手順や、[インフラのコード化（IaC）とは。手作業の構築をやめる理由](https://www.ameliatechnology.co.jp/blog/infrastructure-as-code-why/)の雛形に入れておく 4. **版が改まったら見直す**：新しい版で増えた項目、変わった項目を確かめ、基準を更新する 基準は、クラウドの事業者が示す設計の考え方と組み合わせると、設定の点検だけでなく、構成の見直しにもつながります。設計の考え方による見直しは、[Well-Architected の柱で、いまの構成を確かめる](https://www.ameliatechnology.co.jp/blog/well-architected-review/)で説明しています。 ## 当社のご支援 アメリア・テクノロジーの[クラウドの構築と運用管理](https://www.ameliatechnology.co.jp/service/cloud/)では、CISベンチマークを使った設定の点検、自動で確かめる項目と手で確かめる項目の切り分け、自社の基準づくりをお手伝いしています。当社の担当者による設定の点検は、クラウドのセキュリティ診断としてもお受けしています。当社が構築・運用している環境の診断は、自己点検として報告します。取引先や監査に向けて第三者の立場での確認が要る場合は、[システム監査](https://www.ameliatechnology.co.jp/service/system-audit/)の決まりにもとづいてご相談ください。 - CISベンチマーク - クラウド - 設定の点検 - セキュリティ ## この記事に出てくる用語 - [CISベンチマーク](https://www.ameliatechnology.co.jp/glossary/cis-benchmark/) - [クラウド](https://www.ameliatechnology.co.jp/glossary/cloud/) - [情報セキュリティ](https://www.ameliatechnology.co.jp/glossary/information-security/) - [AWS（Amazon Web Services）](https://www.ameliatechnology.co.jp/glossary/aws/) - [Microsoft Azure](https://www.ameliatechnology.co.jp/glossary/azure/) - [Google Cloud](https://www.ameliatechnology.co.jp/glossary/google-cloud/) - [監視](https://www.ameliatechnology.co.jp/glossary/monitoring/) - [CSPM（クラウドの設定の点検）](https://www.ameliatechnology.co.jp/glossary/cspm/) この記事を書いた人 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [Windowsサーバーと Active Directory を Azure へ移すときの考え方](https://www.ameliatechnology.co.jp/blog/windows-ad-to-azure/) - [Google Cloud を選ぶ場面。データ分析と Google Workspace とのつながり](https://www.ameliatechnology.co.jp/blog/when-to-choose-google-cloud/) - [Well-Architected の柱で、いまの構成を確かめる](https://www.ameliatechnology.co.jp/blog/well-architected-review/) [クラウドと運用のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/cloud/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### クラウドの構築と運用を任せる AWS・Microsoft Azure・Google Cloud の設計・構築・移行から、監視・運用・セキュリティまでを一つのチームで受け持ちます。監視は仕組みで24時間365日自動に回し、原因の調査と再発の防止は当社が担います。 [クラウドの構築と運用管理を見る](https://www.ameliatechnology.co.jp/service/cloud/) ### クラウドの状態を、無料で確かめる 15の設問に答えると、構成と管理・権限・守り・障害への備え・費用と体制の5つの分野の点数と、最初に取り組むことをまとめたレポートをその場でお届けします。 [クラウドの自己診断（無料）を受ける](https://www.ameliatechnology.co.jp/diagnosis/cloud/) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「CISベンチマークでクラウドの設定を確かめる｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/cis-benchmark-cloud/