1. CIS Controlsとは——優先順位のついた実践的な対策集
CIS Controls（CIS クリティカル・セキュリティ・コントロール）は、米国の非営利団体CIS（Center for Internet Security）が公表している、実践的なセキュリティ対策のガイドです。「サイバー攻撃から組織を守るために、具体的に何をすべきか」を、優先順位をつけて整理している点が最大の特徴です。
ISO 27001やNISTのガイドラインが「何を満たすべきか」という要求事項を示すのに対し、CIS Controlsは「実際に何を、どういう順番でやればよいか」という実装の道しるべを提供します。最新版（v8）では、18個のコントロール（大項目）と、その下に多数のセーフガード（具体的な対策）が定められています。「セキュリティ対策が必要なのは分かるが、何から手をつければいいか分からない」——そんな企業にとって、CIS Controlsは実務的な指針になります。本記事では、その中でも認証・ID管理に関わる重要なコントロールを解説します。
他の規格とも「つながっている」
CIS Controlsは、ISO 27001やNISTのフレームワークと相互にマッピング（対応づけ）されています。CISが公式に、各セーフガードがISO 27001のどの管理策やNISTのどの項目に対応するかを示す文書を公開しています。つまり、CIS Controlsを実践することは、他の規格の要求を満たすことにもつながるのです。実践的なCIS Controlsから入って、他の規格へ広げていく、というアプローチも有効です。
2. 実装グループ（IG）——「何から始めるか」の道しるべ
CIS Controlsのもう1つの実践的な特徴が、実装グループ（IG：Implementation Group）という考え方です。これは、組織の規模やセキュリティの成熟度に応じて、「まずどこまでやればよいか」を3段階で示したものです。
| 実装グループ | 想定する組織 |
|---|---|
| IG1（基本的なサイバー衛生） | 限られたリソースの中小企業など。まず取り組むべき必須の対策 |
| IG2 | 複数の部門・より機微な情報を扱う中堅組織 |
| IG3 | 高度な脅威に直面する大企業・重要インフラ |
最初に取り組むべきIG1は、「基本的なサイバー衛生（Basic Cyber Hygiene）」と位置づけられ、すべての組織が備えるべき土台とされています。そして重要なのは、認証・アカウント管理に関する対策の多くが、この最優先のIG1に含まれていることです。CIS Controlsは、「認証・ID管理は、セキュリティの最も基本的で優先度の高い対策である」と、実装の順序という形で明確に示しているのです。
3. Control 5：アカウント管理
CIS Controlsの18コントロールのうち、Control 5「アカウント管理（Account Management）」は、認証・ID管理の中核です。これは、アカウント（ユーザーアカウント、管理者アカウント、サービスアカウントなど）を、発行から廃止まで適切に管理することを求めるコントロールです。
Control 5が示す対策には、次のような趣旨のものが含まれます。
- アカウントの棚卸し：組織内にどんなアカウントが存在するかを把握し、一覧として管理する。「知らないアカウント」をなくす。
- 不要なアカウントの無効化：使われていないアカウント、退職者のアカウントを、確実に無効化する。放置しない。
- 管理者アカウントの厳格な管理：強い権限を持つ管理者アカウントを、特に厳しく管理する。
- サービスアカウントの管理：人ではなくシステムが使うアカウントも、管理の対象に含める。
見てのとおり、これらは、これまでの記事で繰り返し述べてきた「アカウント管理の基本」——棚卸し、退職者アカウントの確実な無効化、特権の厳格な管理——そのものです。CIS Controlsは、これらを「最優先で取り組むべき基本的な対策」として、明確に位置づけています。アカウント管理の不備が、実際に多くの侵害の起点になっているという現実を反映したものです。
アカウント管理・アクセス制御、まず何から？
CIS Controlsが最優先に挙げるアカウント管理・多要素認証から。Net Peaceが、優先度の高い認証・ID管理の実装を支援します。
4. Control 6：アクセス制御管理
Control 5と対をなすのが、Control 6「アクセス制御管理（Access Control Management）」です。Control 5がアカウントそのものの管理なら、Control 6は「そのアカウントが、何にアクセスできるか」の管理にあたります。
Control 6が示す対策には、認証を強化するうえで極めて重要なものが含まれます。
- アクセス権の付与・削除プロセス：アクセス権を、正しい手続きで付与し、不要になったら確実に削除する。
- 多要素認証（MFA）の導入：特に、外部からのアクセス、管理者アクセス、重要システムへのアクセスに、多要素認証を求める。これはCIS Controlsが強く推奨する対策の1つ。
- 最小権限の原則：必要な人が、必要な範囲だけにアクセスできるようにする。
- アクセス権の棚卸し：付与されている権限が適切かを定期的に見直す。
特に注目すべきは、多要素認証（MFA）の導入が、Control 6の重要な要素として位置づけられていることです。CIS Controlsは、リモートアクセスや管理者アクセスへのMFAを、優先度の高い対策として明確に推奨しています。これは、パスワードだけの認証がいかに危険か、そして多要素認証がいかに効果的かという、実務の教訓を反映したものです。
MFAは「最優先の基本対策」に位置づけられている
多要素認証（MFA）を「余裕があれば導入するもの」と捉えている組織は、認識を改める必要があります。CIS Controlsをはじめ、主要なセキュリティガイドラインは、MFA（特に外部アクセス・管理者アクセスへの適用）を「最優先で取り組むべき基本対策」に位置づけています。そして、より確実なのは、フィッシングにも強いMFA（FIDO2/パスキー）です。「MFAをやるか」ではなく「どのMFAを、どこに、いつやるか」を考える段階に来ています。
5. なぜ認証管理が「優先度の高い対策」なのか
CIS Controlsが、アカウント管理（Control 5）とアクセス制御管理（Control 6）を、最優先の基本対策（IG1）に位置づけているのには、明確な理由があります。
- 攻撃の起点になりやすい：多くのサイバー攻撃は、盗まれたアカウント、放置されたアカウント、弱い認証を突いて始まる。ここを固めることが、最も多くの攻撃を防ぐ。
- 費用対効果が高い：アカウント管理やMFAの導入は、他の高度な対策に比べて、少ない労力で大きな効果を得られる。「まず取り組むべき」対策として理にかなっている。
- 他の対策の土台になる：誰が何にアクセスできるかが管理されていなければ、その上に築く対策も機能しにくい。認証管理は、セキュリティ全体の土台。
つまり、CIS Controlsは実践的なデータと経験に基づいて、「限られたリソースで最大の効果を得たいなら、まず認証・アカウント管理に取り組め」と示しているのです。これは、「何から手をつければいいか分からない」という多くの企業にとって、極めて有益な指針です。派手な最新技術よりも、まず足元のアカウント管理と多要素認証を固めること——それが、実は最も効果的なのです。
6. 迷ったら、認証管理から手をつける
CIS Controlsが教えてくれる最も重要な示唆は、シンプルです。「セキュリティ対策で何から手をつけるか迷ったら、認証・アカウント管理から始めよ」——ということです。18のコントロールの中で、アカウント管理（Control 5）とアクセス制御管理（Control 6）が、最優先の基本対策に位置づけられている。この事実が、認証・ID管理の重要性を、実装の優先順位という形で雄弁に物語っています。
そして、その具体的な中身は、これまでの記事で繰り返し述べてきたことと同じです。アカウントを棚卸しし、不要なもの（退職者アカウントなど）を確実に無効化し、特権を厳格に管理し、最小権限を守り、そして重要なアクセスには多要素認証（できればフィッシング耐性のあるもの）を適用する——。特別な話ではなく、基本の徹底です。CIS Controlsは、この基本こそが最優先だと、明確に示しているのです。
自社のセキュリティ対策が、この「最優先の基本」——アカウント管理と多要素認証——をきちんと押さえられているか、点検してみてください。もし、把握しきれていないアカウントがある、退職者アカウントが残っている、重要なアクセスがパスワードだけで守られている、といった状態があるなら、そこが最優先で手をつけるべき箇所です。派手な対策に目を向ける前に、まず認証・アカウント管理という土台を固める。それが、CIS Controlsが示す、最も効果的なセキュリティ強化の道筋です。