# CIS Controls v8.1 の Control 5(アカウント管理)と Control 6(アクセス制御管理)は何を求めるか

Control 5 は全アカウントの一覧、使われていないアカウントの停止、管理者専用アカウントを求めます。Control 6 は権限を与える・外す手順と、社外向けサービスと管理者の多要素認証を求めます。どれも IG1(最初の段階)です。

更新日: 2026-10-14

CIS Controls は、米国の非営利団体 CIS(Center for Internet Security)が公開する、攻撃を防ぐための対策の一覧です。v8.1 は 18 の分野(Control)に分かれ、その下に 153 の具体的な対策(CIS の言う Safeguard。以下、保護策)が並びます。アカウントを扱うのは Control 5「アカウント管理」と Control 6「アクセス制御管理」で、保護策は合わせて 14 です。

保護策の原文は、CIS が公開する CIS Controls Navigator で読めます。v8.1 の翻訳に日本語はないので、この記事の日本語は原文からの訳です。

## CIS Controls はどんな文書か

CIS の FAQ によれば、CIS Controls は、よくある攻撃を防ぐために優先する対策を短くまとめたものです。自社のセキュリティを高めるためなら、誰でも無料で使えます。法令や認証制度の代わりにはなりません。一方で、NIST のサイバーセキュリティフレームワーク、ISO 27000 シリーズ、PCI DSS などとの対応表があります。

v8.1 は v8 を引き継いだ改訂で、NIST のサイバーセキュリティフレームワーク 2.0 との対応づけの見直しや、保護策の説明の補足などが入っています。

## 実施グループで、どこまで行うかが変わる

CIS は保護策を 3 つの実施グループ(Implementation Group、IG)に分けています。組織のリスクと、対策に使える人手やお金に応じて、どこまで行うかを決める目安です。CIS は、どの組織も IG1 から始めるよう勧め、IG1 を「基本的なサイバー衛生」(どの組織も最低限行う対策)と呼んでいます。IG1 の保護策は 56 です。IG1 が想定するのは、多くの場合、IT やセキュリティに詳しい人が少ない中小規模の組織です。IG2 は IG1 に保護策を足したもので、IG3 はすべての保護策を含みます。

Control 5 と 6 の保護策と、それぞれが最初に入る実施グループは次のとおりです。

| 番号 | 要点 | 最初に入る IG |
| --- | --- | --- |
| 5.1 | すべてのアカウントの一覧を作り、保つ | IG1 |
| 5.2 | パスワードを使い回さない | IG1 |
| 5.3 | 45 日使われていないアカウントを止める | IG1 |
| 5.4 | 管理者の権限を管理者専用のアカウントに限る | IG1 |
| 5.5 | プログラムが使うアカウントの一覧を作る | IG2 |
| 5.6 | アカウントの管理を 1 か所に集める | IG2 |
| 6.1 | 権限を与える手順を決める | IG1 |
| 6.2 | 権限を外す手順を決める | IG1 |
| 6.3 | 社外から入れるサービスで多要素認証を必須にする | IG1 |
| 6.4 | 社外から社内のネットワークに入るときの多要素認証 | IG1 |
| 6.5 | 管理者のアカウントで多要素認証を必須にする | IG1 |
| 6.6 | ログインと権限を確かめる仕組みの一覧を作る | IG2 |
| 6.7 | 権限の管理を 1 か所に集める | IG2 |
| 6.8 | 役割ごとの権限を決めて保つ | IG3 |

## Control 5 が求めること

Control 5 のねらいは、利用者・管理者・プログラムが使うアカウントに、機器やソフトウェアに入る権限を手順と道具で与え、管理することです。

中心になるのは 5.1 の一覧です。一覧に必ず含めるのは、社員などの利用者、管理者、プログラムが使うアカウント(サービスアカウント)です。書く項目は、少なくとも本人の名前、ユーザー名、使い始めと使い終わりの日付、部署とするよう勧めています。そのうえで、使われているアカウントがすべて認められたものかを、少なくとも四半期に 1 回確かめます。

5.2 は、パスワードを使い回さないことです。望ましい形として、多要素認証を使うアカウントは 8 文字以上、使わないアカウントは 14 文字以上を挙げています。5.3 は、45 日使われていないアカウントを、できる場合は削除するか止めることです。5.4 は、管理者の権限を管理者専用のアカウントに限り、ネットの閲覧やメールなど、ふだんの作業は権限のないアカウントで行うことです。

IG2 では 2 つが加わります。5.5 は、サービスアカウントの一覧に責任を持つ部署・見直した日・目的を書き、四半期ごとに見直すことです。5.6 は、アカウントの管理を [ID 管理サービス](/guides/access-basics/what-is-idp)に集めることです。Okta や Microsoft Entra ID などが、これに当たります。

## Control 6 が求めること

Control 6 のねらいは、アクセスに使う ID と権限を、作る・与える・管理する・取り消すまで、手順と道具で扱うことです。

6.1 と 6.2 は、入社や異動のときに権限を与える手順と、外す手順です。どちらも手順を決めて従うことを求め(6.1 は手順を文書にすることも)、できれば自動にするよう勧めています。6.2 は、退職・権限の取り消し・異動のときに、ただちにアカウントを止めることで外すよう求めます。そのうえで、操作の記録を残すために、削除ではなく停止にする必要がある場合もあると添えています。

6.3〜6.5 は[多要素認証](/guides/access-basics/what-is-mfa)(パスワードに加えて別の方法でも本人を確かめること)です。6.3 は、社外から入れる自社または他社のアプリケーションに、対応していれば多要素認証を必須にすることを求めます。ID 管理サービスや SSO(一度のログインで複数のサービスに入れる仕組み)を通して必須にする形でもよいとしています。6.4 は社外から社内のネットワークに入るときが対象です。6.5 は、対応していれば、管理者のアカウントすべてに多要素認証を求めます。自社で管理するものも、外部の事業者が管理するものも含みます。

IG2 では 2 つが加わります。6.6 はログインと権限を確かめる仕組みの一覧を年に 1 回以上見直すこと、6.7 は権限の管理を ID 管理サービスや SSO に集めることです。IG3 の 6.8 は、役割ごとに必要な権限を決めて文書にし、少なくとも年に 1 回、すべての権限が認められたものかを確かめることです。

## 業務で使うクラウドサービスに当てはめる

業務で使うクラウドサービスは、社外から入れる他社のアプリケーションなので、6.3 の対象になり、そのアカウントは 5.1 の一覧にも入ると読めます。

ただし、6.3・6.5・6.7 には「対応していれば」という条件が付いています。ID 管理サービスとつながらないサービスは 6.7 の 1 か所に集めた管理から、多要素認証のないサービスは 6.3・6.5 の多要素認証から外れます。そのアカウントは、5.1 の一覧と 6.1・6.2 の手順で把握することになります。

## 1 つの ID を何人かで使うと合わなくなる保護策

Control 5 と 6 の保護策の文に、[共有アカウント](/guides/shared-accounts/what-is-shared-account)を名指しする文はありません。それでも、次の保護策は、1 つのアカウントを 1 人が使うと考えると無理なく当てはまり、共有の ID では合わなくなります。

- 5.1 は、一覧に本人の名前を書くよう勧めています。共有の ID では 1 行に名前を 1 つに決められず、四半期ごとの確認でも、誰が使っているかを別に調べることになります。
- 共有の ID は、誰か 1 人が 45 日のうちに一度でも使えば、5.3 の止める対象になりません。担当を外れた人がパスワードを覚えていても、この保護策では見つかりません。
- 6.2 は、辞めた人のアカウントを止めることで権限を外します。共有の ID を止めると残る人も使えなくなるので、パスワードを変えて配り直すことになります。6.2 が停止で残そうとする操作の記録も ID ごとに残るので、共有の ID では誰の操作かまでは分かりません。
- 共有の管理者 ID で、6.5 の多要素認証のコードが 1 台の端末にしか届かない設定だと、その持ち主がいない日に管理の作業が止まります。

人ごとに ID を作れるサービスは、人ごとに分けるのが保護策の文にいちばん合う形です。分けられないものは、一覧に使ってよい人を並べ、誰がいつ使ったかを別に残す方法を決めておくと、四半期の確認に答えられます。分けられない場面の整理は[共有アカウントを個人アカウントに分けられないケースの整理](/guides/shared-accounts/when-accounts-cannot-be-split)にあります。


## よくある質問

**CIS Controls は日本の会社でも使えますか**

使えます。CIS の FAQ によれば、自社のセキュリティを高めるためなら誰でも無料で使えます。v8.1 の翻訳はフランス語とイタリア語だけですが、1 つ前の v8 には CIS が公開する日本語訳があります。

**中小企業はどの保護策から始めればよいですか**

CIS はどの組織も IG1 から始めるよう勧めています。Control 5 と 6 では、5.1〜5.4 と 6.1〜6.5 の 9 つが IG1 に入ります。

**使われていないアカウントは何日で止めますか**

保護策 5.3 は、45 日使われていないアカウントを、できる場合は削除するか止めるよう求めています。

**CIS Controls は共有アカウントを禁じていますか**

Control 5 と 6 の保護策の文に、共有アカウントを名指しする文はありません。ただ、一覧に本人の名前を書くよう勧める 5.1 や、辞めた人のアカウントを止める 6.2 は、1 人 1 アカウントが前提と読めます。

**CIS Controls に沿えば法令や認証の代わりになりますか**

なりません。CIS の FAQ は、CIS Controls が法令や認証制度の代わりではないとしています。NIST のフレームワークや ISO 27000 シリーズなどとの対応表は用意されています。

## 参考資料

- [CIS「CIS Controls Navigator v8.1」(Control 5・6 の保護策の原文と実施グループ)](https://www.cisecurity.org/controls/cis-controls-navigator)
- [CIS「CIS Critical Security Control 5. Account Management」](https://www.cisecurity.org/controls/account-management)
- [CIS「CIS Critical Security Control 6. Access Control Management」](https://www.cisecurity.org/controls/access-control-management)
- [CIS「CIS Critical Security Controls Version 8.1」](https://www.cisecurity.org/controls/v8-1)
- [CIS「CIS Critical Security Controls Version 8」(日本語を含む翻訳の一覧)](https://www.cisecurity.org/controls/v8)
- [CIS「CIS Critical Security Controls」(CIS が非営利団体であることの説明)](https://www.cisecurity.org/controls)
- [CIS「CIS Critical Security Controls Implementation Groups」](https://www.cisecurity.org/controls/implementation-groups)
- [CIS「CIS Critical Security Controls Implementation Group 1」](https://www.cisecurity.org/controls/implementation-groups/ig1)
- [CIS「CIS Critical Security Controls FAQ」](https://www.cisecurity.org/controls/cis-controls-faq)

## Junify の場合

**人手で続けると** 求められている措置を自社の運用に読み替え、アカウントの一覧・権限・記録を監査で出せる形で保ち、指針が改定されるたびに読み直すことになります。

**Junify なら** 共有の ID は誰かが使い続けるかぎり 5.3 の 45 日の停止に掛からず、抜けた人を締め出すにはパスワードを変えて配り直すしかありません。Junify に載せたアカウントは導入時にパスワードを変えて Junify だけが持つので、抜けた人は割り当てを外した時点で入れなくなり、配り直しも要りません。5.1 の確認には、使ってよい人の一覧と、スマホで本人確認をして入った人の記録を使えます。

Junify は、パスワードを渡さずに社内外の担当者へ仕事を任せるためのアクセス管理サービスです。担当者はスマホで本人認証し、カードをクリックするだけで必要なアカウントにログインできます。パスワードは開示されず、誰がいつどのアカウントを使ったかは個人単位で記録されます。

- [登録不要の体験デモを見る](https://www.junify.jp/bpo/try)
- [30 分デモを予約する](https://www.junify.jp/bpo/demo)

## 同じテーマの記事

- [漏えい等の報告で、アクセスの記録(ログ)から示すこと](/guides/compliance/data-breach-report-access-logs): 報告の 9 項目のうち、アクセスの記録で裏づけるのは概要の経過、個人データの項目、本人の数、原因の 4 つです。見られていないことを記録で確かめられなければ、その範囲は漏えいかそのおそれに当たり得ます。
- [政府の統一基準が求める ID の管理と委託先の対策](/guides/compliance/government-unified-standards-accounts): 統一基準は、ID を適切に管理し、不要になれば速やかに止め、権限を必要最小限にするよう求めます。ガイドラインは 1 人 1 つの ID を原則とし、共用は使った人を特定できる仕組みを条件に認めます。委託先には情報を守る対策を契約で求めます。
- [内部監査でアカウントの管理を確かめるときの観点と記録](/guides/compliance/internal-audit-account-checklist): 経済産業省のシステム監査基準は、口頭の説明だけに頼らず書類との照合で裏付けるよう求めています。アカウントでは、利用者の一覧を人事の名簿や承認の記録と突き合わせ、退職者の削除、共有 ID の承認、見直し、利用の記録を確かめます。