Center for Internet Security

Identity

• CIS公式サイト（About Us）によれば、「CIS is an independent, nonprofit organization with a mission to create confidence in the connected world（CISはつながる世界への信頼を創出することを使命とする、独立した非営利組織である）」とされる。検証待ち About Us | CIS

Capability

• CIS公式サイト（Controls）によれば、CIS Critical Security Controls®（CIS Controls）は「Prioritized & simplified best practices（優先順位付けされ簡素化されたベストプラクティス）」として提供されているとされる。検証待ち CIS Controls | CIS
• CIS公式サイト（CIS Benchmarks）によれば、CIS Benchmarks®という別の成果物が提供されており、CIS ControlsとCIS Benchmarksは目的の異なる2つの主要な成果物として区別される（Controlsは組織全体のベストプラクティス、Benchmarksは個別システム・製品の設定基準）。検証待ち CIS Benchmarks® | CIS

Credibility

公開Evidence未整備

Use Case

• CIS公式サイトによれば、CIS SecureSuite®プラットフォームを通じてCIS Controls実装状況の評価・測定（CIS CSAT）や、ThreatWA™による新興のサイバー・物理的脅威に関する洞察の提供等、組織がベストプラクティスを実践するための複数のツール・サービスを展開しているとされる。検証待ち About Us | CIS
• CIS公式サイトによれば、CIS Hardened Images®という、CIS Benchmarksに準拠済みの仮想マシンイメージも提供しているとされ、ガイダンス文書の公開に留まらず実践支援ツールとして具体化されている。検証待ち About Us | CIS
• Qualys公式サイト（Security Configuration Assessment）によれば、Qualys SCA（Security Configuration Assessment）製品は「lets you assess, report, monitor and remediate security-related configuration issues based on the Center for Internet Security (CIS) Benchmarks（CIS Benchmarksに基づきセキュリティ関連の設定問題を評価・報告・監視・是正できる）」機能を提供する。同ページによれば、この製品内の統制（controls）自体は「developed and validated in-house by Qualys security experts and certified by CIS（Qualys社内のセキュリティ専門家が開発・検証し、CISにより認証されている）」とされる。**認証の対象はQualys社そのものやQualys SCA製品全体ではなく、その中に実装された個別の統制（controls／content）がCISの認証を受けている**という点に留意が必要。CIS Benchmarksへ準拠支援を行うベンダー製品の実装例である。検証待ち Security Configuration Assessment | Qualys

Constraints / Current Status

• CIS公式サイト（CIS Controls Navigator）によれば、CIS ControlsはNIST Cybersecurity Framework (CSF) 2.0・NIST SP 800-171 Rev.2/Rev.3・NIST SP 800-53 Revision 5等へのマッピングを公式に提供している。ただしこれは実践的ガイダンス同士の対応関係であり、NISTによる法的な監督関係やCISがNISTの下位認証機関であることを意味するものではない。検証待ち CIS Controls Navigator | CIS
• CIS自身は非営利組織であり、SOC 2やISO 27001のような第三者認証を企業に対して発行する認証機関ではなく、ベストプラクティス文書（Controls/Benchmarks）とその実践支援ツールを提供する団体である点で、OneTrust・Vanta・Drata等のコンプライアンス自動化ベンダーとは異なる非営利の立ち位置にある。検証待ち About Us | CIS

Key References

• なぜCIS Controls・CIS Benchmarksが参照されるのですか？
• Center for Internet Security（CIS）とはどのような組織ですか？
• CIS ControlsとCIS Benchmarksは何が違いますか？

Related

• NIST— CIS公式サイト（CIS Controls Navigator、cisecurity.org/controls/cis-controls-navigator）によれば、CIS ControlsはNIST Cybersecurity Framework (CSF) 2.0・NIST SP 800-171・NIST SP 800-53等へのマッピングを公式に提供している。これは実践ガイダンス同士の対応関係であり、法的な監督・認証関係ではないため、上下関係を示すrelationshipTypeではなく中立的なrelatedEntityを採用（organization↔organizationの対称的な関連）。targetのnistは既存Production Entity。