はじめに

AWSの最大の魅力は、必要に応じてリソースを増減したり、設定を柔軟に変更できたりする点にあります。 一方で、柔軟に環境が変わり続けるからこそ、セキュリティも「一度設定したら終わり」にはできません。

実際、クラウド環境のセキュリティ状況をまとめたDatadogの調査レポート「State of Cloud Security 2025」でも、AWS環境には基本的なセキュリティ対策を継続して見直す余地があることを示しています。 

AWSにおける主なセキュリティ対策・認証情報の状況（2025年）※一部抜粋

指標	結果	数値の意味（※1）	対象
1年以上経過した有効なアクセスキーを持つ割合	59%	リスク要因に該当する割合	AWS IAMユーザ
IMDSv2を強制している割合（※2）	49%	対策を実施している割合	EC2インスタンス
S3 Block Public Accessで保護されている割合	83%	対策を実施している割合	S3バケット

※本記事内容に関する出典・参考
Datadog「State of Cloud Security 2025」をもとに作成

※1「1年以上経過した有効なアクセスキー」は、リスク要因に該当するIAMユーザの割合です。一方、「IMDSv2の強制」「S3 Block Public Access」は、対策が実施されているリソースの割合を示します。各指標は評価対象や母数が異なるため、数値を単純に比較するものではありません。
※2 IMDSv2：EC2 Instance Metadata Service Version 2の略称。

 3年以上経過したアクセスキーを持つクラウドユーザの割合（2023～2025年）

※本記事内容に関する出典・参考
Datadog「State of Cloud Security 2025」

上の図からも、3年以上経過したアクセスキーを持つクラウドユーザが一定の割合で存在することが分かります。AWS環境では、リソースの追加や設定変更だけでなく、認証情報についても継続的に利用状況を確認し、必要に応じて見直すことが重要です。

こうしたAWS環境のセキュリティ設定を確認するための基準の一つが、CIS Benchmarkです。 Center for Internet Security（以下、CIS）では、2026年4月のCIS Benchmarksアップデートで、「CIS Amazon Web Services Foundations Benchmark v7.0.0」（以下、CIS AWS Foundations Benchmark） のリリースが案内されました。

また、AWS Security Hub CSPMでも、AWS Foundational Security Best Practicesに加え、2026年6月にはAI Security Best Practicesが新たなセキュリティ標準として追加されています。

本記事では、CIS AWS Foundations Benchmark v7.0.0の主な変更点と、Security Hub CSPMで確認できる範囲、第三者によるAWS設定診断の役割を整理します。

INDEX

はじめに

CIS AWS Foundations Benchmarkとは

CIS AWS Foundations Benchmark v7.0.0の主な変更点：AWS Organizationsを中心にガバナンスを強化

Security Hub CSPMが対応するCISの最新版はv5.0.0 - v7.0.0とのバージョン差

継続監視と定期診断をどう組み合わせるか

まとめ

CIS AWS Foundations Benchmarkとは

CIS Benchmarkの概要

CIS Benchmarkは、OS、クラウドサービス、データベース、ネットワーク機器などを安全に構成するための推奨事項をまとめたセキュリティ基準です。各Benchmarkでは、確認すべき設定項目や、その理由、確認方法などが示されています。Center for Internet Securityが、セキュリティ専門家などのコミュニティによる合意形成プロセスを通じて策定している点が特徴です。

その中でCIS AWS Foundations Benchmarkは、AWS環境を安全に構成するための推奨事項をまとめたBenchmarkです。これは、AWS自身が提供するベストプラクティスとは別に第三者の立場から確認すべき設定がまとめられていて、IAM・認証、ログ・監視、ストレージ、サーバ、ネットワークなど、AWS環境の基礎となる幅広い領域が確認対象となります。

また、各推奨事項は、適用時の運用影響や求められるセキュリティレベルなどに応じてLevel 1 / Level 2に分類されています。次章で紹介する変更点にもLevel 1 / Level 2が含まれるため、ここでそれぞれの違いを簡単に整理します。

表：CIS BenchmarkにおけるLevel 1 / Level 2の違い

項目	概要
Level　1	業務への影響を抑えながら適用できる基本的な推奨事項
Level　2	Level 1を拡張した多層防御の推奨事項。セキュリティをより重視する環境向けで、適用時には運用影響への考慮が必要

上表のとおり、Level 2はLevel 1を拡張し、より多層的な防御を想定した推奨事項です。ただし、すべての環境で一律に適用すればよいわけではありません。システムの用途や運用への影響を考慮して採用する必要があります。

また、CIS BenchmarkだけですべてのAWSリスクを評価できるわけではありません。システム固有の構成や扱うデータ、実際の運用方法などもあわせて確認することが重要です。

CIS AWS Foundations Benchmark v7.0.0の主な変更点：AWS Organizationsを中心にガバナンスを強化

CIS AWS Foundations Benchmarkは継続的に更新されており、2026年4月のCIS Benchmarksアップデートでは、v7.0.0のリリースが案内されました。2026年9月現在、CISが公開している最新版となります。

v7.0.0では、新しい推奨事項の追加や既存設定の更新、AWSサービスの変化に合わせたセクションの再編などが行われています。

特に注目したいのが、AWS Organizationsを利用した組織全体のガバナンスに関する推奨事項の強化です。以下では、Organizations関連の項目を中心に、アクセス制御やログ取得に関する主な変更点を一部抜粋して紹介します。 

表：CIS AWS Foundations Benchmark v7.0.0の変更ポイント ※一部抜粋

CIS項目	Level 1 / Level 2	主な確認内容	ポイント
2.1.1	Level 2	Organizationsでrootアクセスを集中管理する	各メンバーアカウントに長期的なroot認証情報を持たせない
2.1.2	Level 2	組織内アカウントに認可ガードレールを適用する	SCPやRCPなどを利用し、組織全体で権限の上限を制御する
2.1.5	Level 2	Organizationsのポリシー管理を委任する	管理アカウントの日常利用を減らし、職務を分離する
2.1.6	Level 2	Organizations連携サービスをDelegated Administratorで管理する	CloudTrailなどの組織管理を専用アカウントへ委任する
2.21	Level 1	リソースポリシーによる無制限なアクセスを防ぐ	Principal: "*"による許可に適切な制限条件が設定されているか確認する
4.10	Level 1	AWS管理のWebフロントエンドでアクセスログを取得する	CloudFront、ALB/NLB、API Gatewayなどのアクセスを追跡可能にする

※本記事内容に関する出典・参考
CIS「CIS Amazon Web Services Foundations Benchmark v7.0.0」をもとに一部抜粋・要約

※SCP：Service Control Policy。AWS Organizations配下のアカウントやOUに対して、利用可能な権限の上限を設定する仕組み。
※RCP：Resource Control Policy。組織内のAWSリソースに対して、リソースベースのアクセス権限の上限を設定する仕組み。
※OU：Organizational Unit。AWS Organizations内で複数のAWSアカウントをまとめて管理するための単位。
※Delegated Administrator：AWS Organizationsと連携するサービスの管理権限を、管理アカウント以外のメンバーアカウントへ委任する仕組み。

CIS v7.0.0では、IAM、CloudTrail、S3、Security Groupなどの設定に加え、AWS Organizationsを利用した組織全体のガバナンスに関する推奨事項が拡充され、Organizationsに関する専用セクションが追加されています。
これらの追加により、個々のAWSアカウントの設定だけでなく、組織単位でのガードレールや権限分離も、より明確な確認対象となっています。

Security Hub CSPMが対応するCISの最新版はv5.0.0 - v7.0.0とのバージョン差

AWS Security Hub CSPMは、AWSアカウントやリソースのセキュリティ設定を、あらかじめ定義されたセキュリティ標準に基づいて継続的に評価するサービスです。

セキュリティ標準を有効化すると、標準に含まれるセキュリティコントロールに対してチェックが実行され、要件を満たしているかどうかが評価されます。チェックには、定期的に実行されるものと、リソースの設定変更を契機に実行されるものがあります。

Security Hub CSPMでは、CIS AWS Foundations Benchmarkのほか、AWS Foundational Security Best Practices、AI Security Best Practicesなどの標準も利用できます。一方で、2026年9月現在、CISが公開しているBenchmarkとSecurity Hub CSPMが対応するバージョンには差があります。

表：CIS最新版とSecurity Hub CSPM対応状況

項目	CISの対応バージョン
CISが公開するAWS Foundations Benchmark最新版	v7.0.0
Security Hub CSPMが対応する最新版	v5.0.0
その他の対応バージョン	v3.0.0、v1.4.0、v1.2.0

さらに、Security Hub CSPMが対応しているCIS Benchmarkであっても、すべての推奨事項を自動的に評価できるわけではありません。AWSのドキュメントでも、CIS Benchmarkの要件のうち、Security Hub CSPMでは自動評価されず、手動での確認が必要な項目も示されています。

Security Hub CSPMは、設定変更を契機としたチェックや定期的なチェックを通じて、対応するセキュリティコントロールについて標準の要件からの逸脱を継続的に把握するのに適しています。

一方、Security Hub CSPMが対応していないバージョンや自動評価の対象外となる項目については、別の方法で確認する必要があります。次に、Security Hub CSPMによる継続監視と定期診断の役割を整理します。

継続監視と定期診断をどう組み合わせるか

Security Hub CSPMと第三者による定期的なAWS設定診断は、どちらか一方を選ぶのではなく、それぞれの役割を理解したうえで組み合わせることが重要です。

表：Security Hub CSPMと弊社AWS設定診断の役割の違い

	Security Hub CSPM	弊社AWS設定診断
評価方法	対応するセキュリティコントロールを自動・継続的に評価	定期的にAWS環境を診断
主な基準	CIS v5.0.0、AWS Foundational Security Best Practicesなど	CIS v6.0.0 ＋ 弊社独自観点
特徴	AWSリソースの設定を継続的にチェックし、標準の要件からの逸脱を把握	自動評価だけでは判断しづらい項目や、弊社独自の観点を含めて確認
向いている用途	日常的な継続監視	定期的な第三者評価や、より広い観点での確認

弊社AWS設定診断の対応方針

弊社のAWS設定診断では現在、CIS AWS Foundations Benchmark v6.0.0＋弊社独自観点を標準としています。
あわせて、AWS Foundational Security Best Practicesなどを診断オプションとして提供できる体制の整備を進めるとともに、CIS AWS Foundations Benchmark v7.0.0の内容を踏まえた診断基準のアップデートも進めています。 

弊社診断基準のアップデート方針

※弊社サービスの診断基準および今後の対応予定は、2026年9月時点の情報です。

したがって、Security Hub CSPMで日々の変化を継続的に確認し、定期診断で自動評価だけでは判断しづらい領域を確認するとともに、診断基準も継続的に更新することで、AWS環境をより広い視点から確認できます。

まとめ

CIS AWS Foundations Benchmark v7.0.0では、AWS Organizationsを利用した組織全体のガバナンスに関する推奨事項が拡充され、Organizationsに関する専用セクションが追加されました。これにより、各アカウントの設定だけでなく、組織全体でのガードレールや委任管理といった観点がより明確になりました。

一方、2026年9月時点でSecurity Hub CSPMが対応するCIS AWS Foundations Benchmarkの最新版はv5.0.0であり、CISが公開するv7.0.0とはバージョン差があります。また、Security Hub CSPMが対応するCISであっても、すべての要件を自動評価できるわけではありません。

そのため、Security Hub CSPMによる継続的な監視に加え、定期診断で自動評価しづらい項目を確認し、評価基準の更新に応じて診断内容も見直していくことが重要です。

弊社のAWS設定診断についても、AWS Foundational Security Best PracticesやCIS v7.0.0の内容を踏まえ、診断内容のアップデートを進めています。

AWS設定診断に関するご相談やサービスの詳細については、お気軽にお問い合わせください。

関連するサービス

セキュリティ脆弱性診断サービス

Webアプリケーション、API、サーバー、ネットワークの脆弱性診断に対応。初めて担当する方にも、診断対象の整理から見積もり、診断、報告、改善方法のご提案、再診断まで一貫して支援します。診断実績1,500社以上。対象範囲が決まっていない段階でもご相談いただけます。