2024年2月2日

こんにちは。NEC サイバーセキュリティ戦略統括部のU松（ハンドルネーム）です。今回はCIS Controls Self Assessment Tool （以降、CIS CSAT）[1]のご紹介になります。CIS CSATはCIS Critical Security Controls® （以降、CIS Controls®）[2]の対策の実装状況を評価することができるツールです。名前の通りCIS®が提供するツールで、無償版のCIS-Hosted CSAT [3]と、有償版（有料のCIS SecureSuite® Membership [4]向け）のCIS CSAT Proがあります。本記事では有償版のCIS CSAT Proをご紹介しますが、どんなツールかご興味がある方は無償版のCIS-Hosted CSATを使ってみてください（無償版には、作成できる組織ツリーの数、同じ組織内で同時に実行できる評価の数、ロールの制御、スコアリングの方法等、いくつかの点で制限や違いがあります。またCIS CSAT Proがオンプレミスであるのに対し、CIS-Hosted CSATはCIS®がサーバを管理しています）。

CIS Controls®とは

CIS Controls®は様々な組織・システムを保護するために利用できるサイバーセキュリティ対策のベストプラクティス集です。最新のVersion 8は下記18項目（コントロール）で構成されており、さらに各コントロールにはそのコントロールを実装するための具体的な対策（セーフガード。Version 8より以前はサブコントロールと呼ばれていた）が記載されています。Version 8には153のセーフガードがあります。（本記事では後述のツール紹介を含め、Version 8について扱います）。
CIS Controls® v8の18コントロール（※）：

CIS Controls®は様々な企業がコントロールを適用できるようセーフガードに優先順位をつけています。具体的にはセーフガードを3つの実装グループ（実装グループ1～3）に分けています。実装グループ1は（全ての企業が実施すべき）一般的な攻撃を防ぐための対策で、ITやサイバーセキュリティの専門知識があまりなく、また保有するデータに求められる機密性もさほど高くない企業を対象としています。2、3と上がるにつれ、ITやサイバーセキュリティの専門人材を雇用でき、また高い機密性や完全性、可用性を求められるデータや資産、サービスを保有するような企業を対象とした、より高度な攻撃に対処するための対策となっていきます。（上位の実装グループは下位の実装グループを包含しています）。

CIS CSAT Proのダウンロード・インストール

今回はCIS CSAT Pro v1.14.1を使用しました。CIS CSAT ProはCIS SecureSuite® Membershipに加入済みであればCIS WorkBench [6]からダウンロード可能です（導入・ユーザガイド [7]はインターネット上で公開されています。本記事もそちらを参考にしています）。インストーラはWindows用とUnix用がありますので、インストール予定のOSにあわせたものをダウンロードします。今回はWindows Server 2022にインストールしました。
ダウンロードしたインストーラを実行するとインストールが始まります。インストール時にはEmail設定（任意。パスワードを忘れた場合やタスク割り当て時のメッセージを送信する場合などに使用します）やMFAの設定、Adminユーザの設定などを行います。またCIS CSAT ProはNeo4jを使用するため、こちらのダウンロードも必要です。

ログインから評価の実施

インストールが完了するとログインできるようになります。ブラウザ（現状公式にサポートされているものはGoogle Chromeのみ）を立ち上げ、https://<hostname>にアクセスします（TLSを使わない設定の場合はhttp://<hostname>:8080）。
ログインするとユーザのホーム画面が表示されます。この画面では当該ユーザで閲覧可能な組織（後述）、評価（後述）などの情報を確認できます（下記図はインストール時に作成したAdminユーザのホーム画面。また既にいくつかの組織や評価を作成後のもの）。

初回ログイン後は、ユーザや組織、評価を作成していきます。
はじめにユーザの作成からご説明します。ユーザの作成はユーザ管理画面（User Management。上部メニューの歯車アイコンから選択可能）から行え、ユーザ名、パスワード、Emailアドレス、システムプロファイル（後述）を選択し、作成します。

システムプロファイルはツール全体に対するアクセスレベルを決定するもので、System AdminとBasicの二種類があります。ユーザ作成時には、作成するユーザに必要な権限にあわせて適切な方を選択します。

次に組織の作成です。CIS CSAT Proでは組織を作成し、その組織の中で評価（CIS Controls®の各セーフガードの実装状況の評価）を行います。組織はツリー構造を構成でき、トップレベルの組織の下にサブ組織を構成していくことができます（サブ組織の下にさらにサブ組織を作成することも可能です）。例えば、トップレベルが会社、サブ組織が事業部といった具合に作成できます。評価対象にあわせて作成するとよいでしょう。
トップレベルの組織の作成は（System Adminシステムプロファイルを持つユーザであれば）ユーザホーム画面の「Create Organization」ボタンから行えます。組織名、その組織のWebサイトのURL、業界を入力し、作成します。

作成した組織の情報は、組織情報画面（Organization Info）で確認できます。この画面では情報の確認の他に、（後述する適切な組織ロールを持つユーザであれば）「Sub-organizations」セクションでサブ組織の作成が、「Users in Organization」セクションで組織へのユーザの追加が、「Assessments」セクションで評価の作成が行えます。

組織にユーザを追加する場合は、適切な組織ロールを選択する必要があります。組織ロールはその組織、組織の評価、組織のユーザに対しユーザが実行できる操作を決定するもので、Admin、Full User、Basic Userの三種類があります。

後述の評価を担当するユーザなど、必要なユーザを適宜組織に追加していきますが、追加する際は、そのユーザに必要な権限にあわせて適切なロールを選択する必要があります。
組織の作成が完了すると評価を作成できます。評価の作成は、組織情報画面（Organization Info）の「Assessments」セクションにある「Start New Assessment」ボタンから行います（エクスポートされた別の評価からデータをインポートする方法もありますが、本記事では扱いません）。作成時には期限、評価の名前、評価のテンプレート（「CIS Controls v7.1 with Simple Scoring」と「CIS Controls v8.0 with Simple Scoring」の2種類から選択可能）、実装グループを選択します。

評価を作成後、評価に関する情報は評価ごとのダッシュボードで確認できるようになります（Full User以上のロールが割り当てられている場合）。

ダッシュボードの詳細は後述しますが、図6中の「CIS C01」～「CIS C18」ボタンは1～18のコントロールに対応し、クリックすると各コントロールのコントロールビューに遷移します。コントロールビューでは当該コントロールの説明やセーフガードなどを確認できます。

評価作成後は実際に評価を実施していきます。基本的な流れは、①まず各セーフガードに適切な担当者（ユーザ）を割り当てる、②割り当てられた担当者がそのセーフガードについて、組織やシステムでどの程度実装できているかを評価し、結果を入力する、③②での評価結果をレビュアー（①の割り当てを実施したユーザ）が検証する、となります。それぞれ詳しくご紹介します。

以上が各セーフガードの評価の一連の流れになります。

全てのセーフガードの評価が完了したと判断した場合は、その評価をcloseします（Adminロールが必要）。closeした評価は引き続き表示は可能ですが、編集ができなくなります（ただし、Adminロールを持つユーザであればcloseした評価を再openできます）。

進捗や結果の確認

最後にダッシュボードについてみていきます。ダッシュボードでは評価の概要や進捗、スコアの平均値などを確認できます。各コントロールの実装状況は基本的に各コントロールの適用対象かつ検証まで完了したセーフガードのスコア（セーフガードビューの「Score」）の平均値で表されます（以降、断りがない限り、これを「コントロールのスコア」と呼称します）。

図を基にダッシュボードの情報をいくつかご説明すると、図13の「ASSESSMENT AVERAGE」では評価全体の平均値が（コントロールのスコアの平均値。少なくとも一つのセーフガードが今回の評価の対象となっているコントロールの平均）、「ASSESSMENT COMPLETED」では評価が「完了」したセーフガードの割合が、「ASSESSMENT VALIDATED」では検証まで完了したセーフガードの割合が確認できます。（「Industry Average Service」を利用している場合は、「INDUSTRY AVERAGE」で組織作成時に選択した業界の平均値も表示可能ですが、本記事では扱いません）。また「CIS C01」から「CIS C18」の各ボタンの色は当該コントロールのスコアにあわせたものになっており、視覚的に各コントロールの状況を確認することが可能です。各ボタンをクリックし、コントロールビューに遷移すれば、コントロール毎に平均値や進捗状況などを確認できます。
各コントロールのスコアは棒グラフでも表示されます（図14。「Industry Average Service」を利用している場合は、組織作成時に選択した業界の平均値も表示可能）。この他、評価全体の平均値の月ごとの推移（折れ線グラフ）や実装グループごとの平均値の棒グラフも用意されています。またこれらの情報をpptx形式で出力する機能や、セーフガードレベルの評価状況等の情報をCSV形式で出力する機能もあります。

ダッシュボード以外にも前述の「Assessment Summary」タブではセーフガードの一覧を表示でき、一括設定以外に、各セーフガードのアサイン状況や「完了」、検証状況などの確認、セーフガードの検索等が行えます（Full User以上のロールが必要）。

また評価ナビゲーションメニューで「Calendar」タブに切り替えれば、期限が割り当てられているタスクの確認を行えます（Full User以上のロールが必要）。各タスクにカーソルを合わせることで詳細を確認できる他、進捗については先頭のチェックマークでも確認できます（チェックマーク二つ：検証まで完了、チェックマーク一つ：「完了」しているが検証されていない、チェックマーク無し：「完了」もしていない）。

まとめ

今回はCIS CSAT Proをご紹介しました。インストール作業は簡単で、また使いやすいツールと感じました。評価の部分では直観的で分かりやすいスコアリング方式が採用されている他、エビデンスやコメントを付けることができ、その評価をするに至った根拠の提示や議論がしやすいと思いました。このようなチェックをチェックシートなどで行った場合、担当者とレビュアー間での意思疎通やコミュニケーションが課題になることも多いと思いますが、CIS CSAT Proではこれら機能により、こうした課題も解決しやすいと感じました。この他、ダッシュボードで評価結果を色やグラフで確認でき（チェックシートでも実現は可能ですが、それなりに手間がかかります）、現状のセキュリティ対策状況の把握や今後の課題の分析がしやすいと感じました。また「Calendar」タブ等で評価の進捗管理がしやすい点もメリットとして挙げられると思います。
今回ご紹介したのは有償版のCIS CSAT Proですが、前述の通り無償版もございますので、自組織・システムのCIS Controls®の実装状況を評価・確認されたい方は使ってみてはいかがでしょうか。本記事がその一助となれば幸いです。

参考文献：

執筆者の他の記事を読む