最終更新日：
CISベンチマークとは、米国の非営利団体 CIS（Center for Internet Security）が公開している、OS・クラウド・ネットワーク機器などを安全に設定するための推奨の設定の集まりです。
CISベンチマークは、CIS（Center for Internet Security）が、世界のセキュリティの専門家の合意にもとづいてまとめている、製品ごとの推奨の設定です。Windows や Linux などの OS、AWS・Microsoft Azure・Google Cloud などのクラウド、ネットワーク機器、データベース、Kubernetes など、多くの製品について作られています。
クラウドの設定の点検では、CISベンチマークがよく基準として使われます。クラウドの事業者の設定の点検のサービスや、CSPM の製品の多くが、CISベンチマークの項目に照らして、ルートアカウントの多要素認証、ログの記録、公開してはいけないストレージなどの設定を自動で確かめる機能を備えています。
推奨の項目をすべて当てはめると、業務に必要な機能まで止めてしまう場合があります。項目ごとに、自社のシステムに当てはめるか、当てはめない場合はその理由と代わりの守り方を記録しておくと、監査や取引先への説明に使えます。ベンチマークは版が更新されるため、どの版に照らしたかも残します。
関連する用語
- CSPM（クラウドの設定の点検）クラウドの設定を決めたルールと照らし合わせて続けて点検し、危険な設定や設定の誤りを見つける仕組みです。
- セキュリティパッチソフトウェアに見つかった脆弱性を直すために、提供元が配る修正のプログラムです。
- IAM（IDとアクセスの管理）誰がどのシステムやデータを使えるかを、利用者のIDと権限を中心にまとめて管理する仕組みと取り組みです。
- Well-Architected Frameworkクラウドの事業者が公開している、システムの構成がよく設計されているかを、いくつかの観点（柱）ごとに確かめるための考え方と質問の集まりです。
- 自動修復（オートリメディエーション）決めた規則から外れた設定や、よくある障害を検知したときに、人の操作を待たずに、あらかじめ用意した手順で自動的に直す仕組みです。