--- sourceDocument: Xanadu のガバナンス、リスク、コンプライアンス sourceDocumentLink: https://servicenow-prod.fluidtopics.net/r/ja-JP/xanadu/governance-risk-compliance Release : - xanadu ft:locale : - ja-JP ft:publication_title : - Xanadu のガバナンス、リスク、コンプライアンス ft:clusterId : - grc bundleId : - grc workflow : - Technology --- # Cybersecurity Controls Accelerator # Cybersecurity Controls Accelerator {#ariaid-title1} * リリースバージョン: Xanadu * * 更新日 2024年08月01日 * * ![](https://www.servicenow.com/docs/portal-asset/ico-clock) 所要時間：12分 Cybersecurity Controls Accelerator ™ を使用すると、The Center for Internet Security™ の CIS Controls を簡単に導入して、全体的なセキュリティ準備とサイバー防御体制を強化できます。 主要なサイバーセキュリティ方法論の対象をユーザーの成熟度と準備レベルに合わせることで、CIS Control の採用がさらに強化されます。 Cybersecurity Controls Accelerator には、CIS Controls バージョン 7.1 の各種法令・基準等、191 の関連付けられた CIS 各種法令・基準内項目、およびその各種法令・基準内項目に関連する 191 の CIS Controls 目標が含まれています。 Cybersecurity Controls Accelerator を使用するためにダウンロードする必要がある [Technology Controls Monitoring Accelerator](https://servicenow-prod.fluidtopics.net/GkK90JRM_HBLYpIBxVJNDw "Technology Controls Monitoring Accelerator は、データの収集を容易にし、テクノロジーコントロールの検証と継続的な監視を支援するように設計された、事前定義されたインジケーターテンプレートのコレクションです。このアプリケーションは、Cybersecurity Controls Accelerator とともに実行することも、スタンドアロンアプリケーションとして実行することもできます。") アプリケーション (com.sn_grc_infosec) には、CIS Controls にマッピングされる 171 (基本 26) のインジケーターテンプレートが含まれています。これらのインジケーターテンプレートは、自動化されたコントロールの検証と継続的な監視を提供します。 ## CIS Controls ™ v8 のサポート {#cybersecurity-controls-accelerator__section_rnk_41j_11c} Xanadu リリース以降、Cybersecurity Controls Accelerator は引用に関連する CIS Controls ™ v8 の各種法令・基準等、引用、およびコントロール目標をサポートしています。 ## CSA CCM v4.0 の内容 {#cybersecurity-controls-accelerator__section_n21_gz3_11c} Xanadu リリース以降、Cybersecurity Controls Accelerator は各種法令・基準等、引用、コントロール目標などの Cloud Security Alliance Cloud Controls Matrix (CSA CCM v4.0) コンテンツをサポートしています。 ## Cybersecurity Controls Accelerator をダウンロードする {#ariaid-title2} インスタンスで GRC: Cybersecurity Controls Accelerator アプリケーションを実行する前に、ServiceNow Store からダウンロードする必要があります。 ### 始める前に Cybersecurity Controls Accelerator アプリケーションを実行する前に、次の GRC アプリケーションをダウンロードして有効化する必要があります。 * GRC: ポリシーとコンプライアンス管理 * GRC: Profiles * GRC: Technology Controls Monitoring Accelerator {#download-cybersecurity-accelerator__ul_uld_dnz_4jb} 必要なロール：admin ### 手順 [初めて ServiceNow Store から GRC アプリケーションをダウンロードする](https://servicenow-prod.fluidtopics.net/oOOlx~fqTxq9OmBOvBvokA "ServiceNow Store からアプリケーションを初めてダウンロードする場合は、いくつかの簡単なステップを実行します。ServiceNow Store で実行されるステップと、Now Platform のインスタンスで実行されるステップがあります。") の指示に従います。 ## サイバーセキュリティコントロールを監視する {#ariaid-title3} Cybersecurity Controls Accelerator にアクセスすると、次のモジュールを使用してコントロールを監視できます。 {#cybersec-control-accel-module-ov__table_i5x_35b_2jb__entry__2} | アプリケーション/モジュール | 説明 | |-|-| | CIS Controls || | 各種法令・基準等 | 各種法令・基準等モジュールは、CIS Controls v7.1 および v8 の各種法令・基準等を含む各種法令・基準等のリストを提供します。この各種法令・基準等には、各種法令・基準内項目およびコントロール目標への参照が含まれています。 各種法令・基準等は、各種法令・基準等テーブル \[sn_compliance_authority_document\] に保存されます。 | | 信頼できるソースコンテンツ | 各種法令・基準内項目モジュールは、CIS Controls v7.1 および v8 の各種法令・基準等に含まれる各種法令・基準内項目のリストを提供します。各種法令・基準内項目のそれぞれには 1 つ以上のコントロール目標を含めることができ、以下を参照します。 * コンテンツ参照 * 情報オブジェクト {#cybersec-control-accel-module-ov__ul_v1f_vpl_vnb} 各種法令・基準内項目は、各種法令・基準内項目テーブル \[sn_compliance_citation\] に保存されます。 | | コントロール目標 | コントロール目標モジュールは、CIS Controls v7.1 および v8 の各種法令・基準等に含まれる各種法令・基準内項目に関連付けられたコントロール目標のリストを提供します。各コントロール目標には、次のアイテムを 1 つまたは複数含めることができます。 * エンティティタイプ * 追加エンティティ * ポリシー * コントロール * インジケーターテンプレート * ポリシー例外 * 問題 * リスクステートメント * コンテンツ参照 {#cybersec-control-accel-module-ov__ul_i1f_bkm_vnb} コントロール目標は、 コントロール目標テーブル \[sn_compliance_policy_statement\] に保存されます | | インジケーターテンプレート | インジケーターテンプレートモジュールは、 CIS Controls にマッピングされる事前定義されたインジケータ テンプレートのリストを提供します。インジケーターテンプレートは、コントロールの検証を自動化し、継続的な監視を提供します。 インジケーターテンプレート参照先コンテンツ \[sn_grc_m2m_ind_temp_cont\] | [表 : 1. Cybersecurity Controls Accelerator モジュール] {#cybersec-control-accel-module-ov__table_i5x_35b_2jb} 前述のとおり、[Technology Controls Monitoring Accelerator](https://servicenow-prod.fluidtopics.net/GkK90JRM_HBLYpIBxVJNDw "Technology Controls Monitoring Accelerator は、データの収集を容易にし、テクノロジーコントロールの検証と継続的な監視を支援するように設計された、事前定義されたインジケーターテンプレートのコレクションです。このアプリケーションは、Cybersecurity Controls Accelerator とともに実行することも、スタンドアロンアプリケーションとして実行することもできます。") アプリケーション (com.sn_grc_infosec) は、Cybersecurity Controls Accelerator アプリケーションをダウンロードするときの依存アプリケーションです。[Technology Controls Monitoring Accelerator](https://servicenow-prod.fluidtopics.net/GkK90JRM_HBLYpIBxVJNDw "Technology Controls Monitoring Accelerator は、データの収集を容易にし、テクノロジーコントロールの検証と継続的な監視を支援するように設計された、事前定義されたインジケーターテンプレートのコレクションです。このアプリケーションは、Cybersecurity Controls Accelerator とともに実行することも、スタンドアロンアプリケーションとして実行することもできます。")アプリケーションは、CIS コントロールにマッピングされる事前定義済みインジケーターテンプレートを提供します。 注: Cybersecurity Controls Acceleratorアプリケーションを実装しないことにした場合でも、[Technology Controls Monitoring Accelerator](https://servicenow-prod.fluidtopics.net/GkK90JRM_HBLYpIBxVJNDw "Technology Controls Monitoring Accelerator は、データの収集を容易にし、テクノロジーコントロールの検証と継続的な監視を支援するように設計された、事前定義されたインジケーターテンプレートのコレクションです。このアプリケーションは、Cybersecurity Controls Accelerator とともに実行することも、スタンドアロンアプリケーションとして実行することもできます。")を使用して、ポリシーとコンプライアンス管理アプリケーションから Unified Compliance Framework (UCF) を介して CIS および ISO 27002 に準拠しているか検証できます。詳細については、「[Technology Controls Monitoring Accelerator](https://servicenow-prod.fluidtopics.net/GkK90JRM_HBLYpIBxVJNDw "Technology Controls Monitoring Accelerator は、データの収集を容易にし、テクノロジーコントロールの検証と継続的な監視を支援するように設計された、事前定義されたインジケーターテンプレートのコレクションです。このアプリケーションは、Cybersecurity Controls Accelerator とともに実行することも、スタンドアロンアプリケーションとして実行することもできます。")」を参照してください。 ## インジケータテンプレートにマッピングされた UCF コントロール {#ariaid-title4} UCF からインポートされた CIS または ISO 各種法令・基準等を使用する場合でも、285 (171 CIS および 114 ISO) の自動監視インジケーターテンプレートを使用してコンプライアンスアクティビティを管理できます。 171 のインジケータテンプレートは、Cybersecurity Controls Accelerator アプリケーションが提供する 171 の CIS コントロール目標にマッピングされます。 注: 26 の基本インジケーターテンプレートの情報は、次の例に示すように、さまざまな ServiceNow ITx アプリケーションから取得されます。 {#map-ucf-to-indicator-templates__table_ezp_qw1_wnb__entry__3} | CIS Control | 説明 | ITx ソースアプリケーション | |-|-|-| | CIS Control 1.1 | アクティブディスカバリーツールを使用して、組織のネットワークに接続されているデバイスを特定し、ハードウェア資産のインベントリを更新します。 | ディスカバリー | | CIS Control 1.2 | パッシブなディスカバリーツールを使用して、組織のネットワークに接続されているデバイスを特定し、組織のハードウェア資産のインベントリを自動的に更新します。 | ディスカバリー | | CIS Controls 1.4 | 情報を保存または処理する可能性があるすべてのテクノロジー資産の正確かつ最新のインベントリを維持します。このインベントリには、組織のネットワークに接続されているかどうかにかかわらず、すべてのハードウェア資産が含まれます。 | ディスカバリー | | CIS Control 1.5 | ハードウェア資産在庫に、各資産のネットワークアドレス、ハードウェアアドレス、マシン名、データ資産オーナー、部門、およびハードウェア資産がネットワークへの接続が承認されているかどうかが記録されていることを確認します。 | ディスカバリー | | CIS Control 1.6 | 許可されていない資産がネットワークから削除されるか、隔離されるか、またはインベントリが適切なタイミング適宜更新されるように確保します。 | ディスカバリー | | CIS Control 1.7 | 802.1x 標準に従って、ポートレベルのアクセス制御を使用して、ネットワークに対して認証できるデバイスを制御します。認証システムをハードウェア資産インベントリデータに関連付けて、認可済みデバイスのみがネットワークに接続できるようにする必要があります。 | ディスカバリー | | CIS Control 1.8 | クライアント証明書を使用して、組織の信頼できるネットワークに接続するハードウェア資産を認証します。 | ディスカバリー | | CIS Control 2.1 | 任意のビジネスシステムで、企業内のビジネス目的で必要なすべての認可済みソフトウェアの最新リストを維持します。 | ソフトウェア資産管理 | | CIS Control 2.2 | 現在ソフトウェアのベンダーによってサポートされているソフトウェアアプリケーションまたはオペレーティングシステムのみが、組織の認可済みソフトウェアインベントリに追加されていることを確認します。サポートされていないソフトウェアは、インベントリシステムでサポート対象外としてタグ付けする必要があります。 | ソフトウェア資産管理 | | CIS Control 2.3 | 組織全体でソフトウェアインベントリツールを使用して、ビジネスシステム上のすべてのソフトウェアのドキュメントを自動化します。 | ソフトウェア資産管理 | | CIS Control 2.4 | ソフトウェアインベントリシステムは、組織によって認可されたオペレーティングシステムを含む、すべてのソフトウェアの名前、バージョン、公開者、およびインストール日を追跡する必要があります。 | ソフトウェア資産管理 | | CIS Control 2.5 | ソフトウェアインベントリシステムは、すべてのデバイスと関連付けられたソフトウェアを 1 つの場所から追跡できるように、ハードウェア資産インベントリに関連付ける必要があります。 | CMDB | | CIS Control 3.1 | 最新の SCAP 準拠の脆弱性スキャンツールを使用して、ネットワーク上のすべてのシステムを毎週またはそれ以上の頻度で自動的にスキャンし、組織のシステムの潜在的な脆弱性をすべて特定します。 | 脆弱性対応 | | CIS Control 3.2 | 各システムでローカルに実行されているエージェント、またはテスト対象のシステムで昇格された権利で設定されたリモートスキャナーを使用して、認証済み脆弱性スキャンを実行します。 | 脆弱性対応 | | CIS Control 3.6 | 継続的な脆弱性スキャンの結果を定期的に比較して、脆弱性が適切なタイミングで修正されていることを確認します。 | 脆弱性対応 | | CIS Control 3.7 | リスク評価プロセスを使用して、検出された脆弱性の修正を優先します。 | 脆弱性対応 | | CIS Control 15.1 | 有線ネットワークに接続されている認可済み無線アクセスポイントのインベントリを管理します。 | CMDB | | CIS Control 16.1 | オンサイトまたはリモートサービスプロバイダーにあるものを含む、組織の各認証システムのインベントリを管理します。 | CMDB | | CIS Control 18.5 | 標準化され、広範囲にわたってレビューされた暗号化アルゴリズムのみを使用します。 | ディスカバリー | | CIS Control 18.8 | 外部エンティティがセキュリティグループに連絡する手段を提供するなど、ソフトウェアの脆弱性のレポートを受け入れて対処するプロセスを確立します。 | 脆弱性対応 | | CIS Control 19.1 | 担当者のロールとインシデントの処理/管理のフェーズを定義する、書面によるインシデント応答計画があることを確認します。 | セキュリティインシデントレスポンス | | CIS Control 19.2 | コンピューターとネットワークのインシデントを処理するための役職と職務を特定の個人にアサインし、解決までのインシデント全体の追跡と文書化を行います。 | セキュリティインシデントレスポンス | | CIS Control 19.3 | 重要な意思決定のロールを担うことによってインシデント処理プロセスをサポートする管理担当者およびバックアップを指定します。 | セキュリティインシデントレスポンス | | CIS Control 19.4 | システムアドミニストレーターおよび他の人員メンバーがインシデント処理チームに例外イベントをレポートするために必要な時間、そのようなレポートのメカニズム、およびインシデント通知に含める必要がある情報の種類について、組織全体の標準を策定します。 | セキュリティインシデントレスポンス | | CIS Control 19.6 | インシデント処理チームへのコンピューターの例外とインシデントのレポートに関する情報を、すべての従業員に公開します。このような情報は、定期的な従業員の認識向上アクティビティに含める必要があります。 | セキュリティインシデントレスポンス | | CIS Control 19.8 | 組織への既知の影響または潜在的な影響に基づいて、インシデントのスコアリングと優先順位付けのスキーマを作成します。スコアを使用して、ステータスの更新頻度とエスカレーション手順を定義します。 | セキュリティインシデントレスポンス | [表 : 2. CIS Controls の基本インジケーターテンプレート] {#map-ucf-to-indicator-templates__table_ezp_qw1_wnb} 次に示すように、UCF からダウンロードされるコントロール目標には、ソースとして UCF があります。図 : 1. UCF コントロール目標 \[各種法令・基準内項目\] 関連リストをクリックすると、2 つの各種法令・基準内項目が存在することがわかります。1 つは CIS から取得され、もう 1 つは UCF から取得された ISO 27001 各種法令・基準等です。 図 : 2. UCF コントロール目標に含まれる各種法令・基準内項目 これらの各種法令・基準内項目により、Cybersecurity Controls Accelerator アプリケーションに含まれる CIS Controls の代わりに、UCF からダウンロードした CIS コントロールを使用し、コントロールを提供されたインジケーターテンプレートに関連付けることができます。 この UCF コントロール目標を類似のインジケーターテンプレートに関連付ける場合は、\[インジケーターテンプレート\] 関連リストをクリックし、\[提案済み\] ボタンをクリックします。 図 : 3. \[インジケーターテンプレート\] 関連リスト 選択したコントロール目標に適用できるインジケーターテンプレートのリストが表示されます。図 : 4. 提案されたインジケーターテンプレート UCF コントロール目標にマッピングするインジケーターテンプレートを選択し、\[追加\] をクリックします。図 : 5. インジケーターテンプレートの UCF コントロール目標へのマッピング