CSC1「許可されたデバイスと無許可のデバイスのインベントリ」
CSC1は、デバイスのインベントリ管理について述べられています。
コントロール
「ネットワーク上のすべてのハードウェアデバイスを能動的に管理（イベントリ作成、追跡、修正）し、アクセス権限を許可されたデバイスだけに付与します。また、無許可のデバイスや管理されていないデバイスを検出し、これらのデバイスがアクセス権限を取得することを防止します。」
サブコントロール
- 「自動化された資産インベントリ検出ツールを適用し、これを使用して組織のパブリックネットワークおよびプライベートネットワークに接続されたシステムの予備の資産インベントリを作成します。IPv4またはIPv6のネットワークアドレス範囲をスキャンするアクティブツールおよびトラフィックの分析に基づいてホストを特定するパッシブツールの両方を採用する必要があります。」
- 「DHCPを使用して動的にアドレスを割りあてている場合は、システムに対して動的ホスト構成プロトコル(DHCP)サーバのロギング機能を適用して 資産インベントリを改善し、このDHCP情報から不明なシステムを検知します。」
- 「機器の取得に伴ってインベントリシステムが新規に更新され、承認されたデバイスがネットワークに接続されることを確認します。」
- 「少なくともネットワークアドレス、マシン名、各システムの目的、および各デバイスの責任を負う資産所有者、各デバイスに関連付けられた部門を記録して、ネットワークに接続されたすべてのシステムおよびネットワークデバイス自体の資産インベントリを保守します。このインベントリには、デスクトップ、ラップトップ、サーバ、ネットワーク機器（ルータ、スイッチ、ファイアウォールなど）、プリンタ、ストレージエリアネットワーク、VoIP（Voice over IP）電話、マルチホームアドレス、仮想アドレスなど、ネットワーク上にIP（Internet Protocol）アドレスを持つすべてのシステムが含まれている必要があります。作成する資産インベントリには、デバイスがポータブルデバイス／パーソナルデバイスであるかどうかに関するデータも含める必要があります。携帯電話、タブレット、ラップトップなど、データの保管または処理が可能なポータブル電子機器は、組織のネットワークに接続しているかどうかに関係なく特定する必要があります。 」
- 「ネットワークに接続できるデバイスを制限しコントロールするために、802.1x によるネットワークレベル認証を適用します。許可されているシステムと無許可のシステムを判別するために、802.1x をインベントリデータに結びつける必要があります。」
- 「プライベートネットワークへの接続前に、クライアント証明書を使用してシステムを検証および認証します。」
なぜこのコントロールが重要なのか？
本コントロールの重要性は他のコントロールのベースになるということである。例えば、CSC2のソフトウェア管理しようと思った時、入れ物（ハードウェア）の情報がないと現状の把握しようがない。また、CSC3のシステム設定においても、どのようなデバイスを管理するかの情報（WindowsOSのデスクトップPC10台など）がないと設定の更新・現状の確認ができない。
本コントロールでは何を行うのか？
CISのコントロールによると、①インベントリ（一覧表）を作成し、②ネットワーク上におけるデバイスの現状を確認し、③インベントリと調査した現状のギャップがあれば、原因を調査し、是正することが定められています。
本コントロールでは具体的に何を行うのか？
①インベントリ作成、②デバイスの現状追跡、③ギャップの修正それぞれをサブコントロールを基に具体的にみていく。
①インベントリ作成
- デバイスの購入時、更改時にインベントリに新規追加、変更(CSC1.3)
- インベントリにa.IPアドレス、b.デバイス名、c.デバイスの利用目的、d.デバイス管理者名、e.デバイスに関連付けられた部門を記入(CSC1.4)
- ネットワーク上のIPアドレスを付与されたデバイスを記入(CSC1.4)
②デバイスの現状追跡
- アクティブツールを用いたデバイスの追跡(CSC1.1)
※アクティブツールとは、一定範囲のIPアドレスに一斉にパケットを送付し、応答状況からネットワークに接続されているデバイスを把握する。（例：一定範囲のIPアドレスにpingコマンドを送信し、応答を収集する）
- パッシブツールを用いたデバイスの追跡(CSC1.1)
※パッシブツールとは、ネットワークにパッシブツールを配置し、そのネットワークを流れるパケットを収集し、ネットワークに接続されているデバイスを把握する。
③ギャップの修正
