Account & Access Management Policy Assessment：ポリシーを数分で採点

はじめに

X-AnalyticsのAccount and Access Management Policy Assessmentは、ポリシーをCIS Critical Security Controls v8.1に照らして数分で採点します。ポリシーをアップロードすると、エージェントがそれを検証し、基準と品質を採点して、プロファイル内の関連するCISスコアを更新し、ポリシーの各改善によってビジネスからどれだけのリスクを取り除けるかを示します。

最高イノベーション責任者であるBob Vescioが、ポリシーのアップロードから優先順位付けされたリスク低減の推奨事項まで、Account and Access Management Policy Assessmentを順を追って解説します。

主なポイント

• エージェントはアカウント・アクセス管理ポリシーを数分で採点します。パートナーやお客様によれば、手作業では30分から1時間かかる作業です。
• すべてのポリシーは採点前に検証され、正しい文書であることを裏付ける信頼度評価が示されます。
• 基準と品質の各要素に、スコアとその根拠が示されます。
• ポリシーの結果によってプロファイル内の関連するCISセーフガードのスコアが更新されるため、財務エクスポージャーに実際のポリシーが反映されます。
• レポートにはポリシーの各改善によるリスク低減効果が示され、フルアセスメントではその視点がセーフガード全体に広がります。

Account and Access Management Policy Assessmentとは？

X-Analytics内のアセスメントエージェントです。アカウント・アクセス管理ポリシーを読み取って検証・採点し、その結果をサイバーリスクプロファイルに適用します。X-AnalyticsのAI Toolboxに新たに加わった複数のアセスメントエージェントの一つで、プラットフォーム上で直接アセスメントを実行したいというお客様の要望に応えて構築されました。ほかにも、脆弱性管理アセスメント、ドメインアカウントレビュー、プロセスと手順の検証などがあります。

ポリシーアセスメントの始め方

3つのステップで始められます：

1. X-AnalyticsでAI Toolboxを開き、Account and Access Management Policy Assessmentを選択します。
2. 「Start Analysis」をクリックします。
3. 求められたら、アカウント・アクセス管理ポリシーをアップロードします。

エージェントによるポリシーの検証

採点の前に、エージェントは検証チェックを実行し、その文書がアカウント・アクセス管理ポリシーであること、そしてドラフトではなく最終版であることを確認します。完了した各チェックは信頼度評価とともに表示されます。ウォークスルーでは、すべてのチェックが95%の信頼度評価で合格しました。続いてご自身で確認すると、エージェントが採点を開始します。

ポリシーの採点方法

エージェントはポリシーを2つの部分に分けて採点し、各要素にはスコアとその根拠が表示されます。

基準スコア

基準スコアは、ポリシーがフレームワークの要件をどの程度網羅しているかを測定します。ウォークスルーで使用したポリシーはCIS Critical Security Controls v8.1のセーフガードに整合しており、アセスメントはNIST CSFなど、別のフレームワークに整合させることもできます。

品質スコア

品質スコアは、ポリシーがどの程度適切に作成・維持されているかを測定するもので、オーナーシップと説明責任、レビューと保守、トレーサビリティなどの要素を対象とします。

ポリシーアセスメントによるCISスコアの更新

ポリシーは多くのCISセーフガードの構成要素であり、プロセス関連のセーフガードでは、スコアの大きな割合を占めることが少なくありません。エージェントは、検証・採点済みのポリシーに基づいて関連する各CISスコアを調整するため、上がるスコアもあれば下がるスコアもあります。これにより、プロファイルを客観的な方法で調整・キャリブレーションできます。「Yes, inform my profile」を選択すると、新しいスコアが適用されます。

ポリシーアセスメントレポートの内容

Account and Access Management Policy Assessmentレポートは、ポリシーの現状と、各改善の価値を示します。内容は次のとおりです：

• 総合評価とポリシースコア、および基準と品質それぞれの合計スコア
• すべての基準要素に対する「適切」「要改善」「不適切」の評価と、各スコアの根拠
• すべての品質要素のスコアと根拠
• プロファイルに加えられた変更
• 追加または強化できるポリシーの各要素によるリスク低減効果

ウォークスルーでは、ポリシーのスコアは60.3%で、「要改善」と評価されました。CISセーフガード6.2に関連する要素の追加が単独で最も大きな効果をもたらし、リスクを約30万6,000ドル低減します。推奨される変更をすべて行うと、約76万1,000ドルの低減になります。

レポートは共有可能なアーティファクトとしてVaultに保存し、編集して共有できます。コンサルティングファームはクライアントに直接提供でき、社内チームは必要とする同僚と共有できます。

フルアセスメントによる深掘り

フルアセスメントでは、ポリシーだけにとどまらず、アカウント・アクセス管理のセーフガード一式をすべて評価します。各セーフガードは複数の構成要素に分けられ、「はい」「部分的」「いいえ」のシンプルな選択肢で回答します。12のセクションを通じて、エージェントは関連するCISスコアをさらに精緻化します。

再度「Yes, inform my profile」を選択すると、新しいレポートが自動的に生成されます。このレポートはポリシーの結果を保持したうえでフルアセスメントの所見を追加し、各セーフガードを全体として捉えた新たな推奨事項を提示します。ウォークスルーでは、アカウント・アクセス管理を全面的に強化すると、リスクが341万ドル低減されます。CISセーフガード5.5だけに絞った場合は、36万4,000ドルの低減になります。

ポリシーアセスメントとフルアセスメントの比較

よくある質問

Account and Access Management Policy Assessmentでは何ができますか？
アカウント・アクセス管理ポリシーをCIS Critical Security Controls v8.1に照らして検証・採点し、プロファイル内の関連するCISスコアを更新して、ポリシーの各改善によるリスク低減効果を示します。

ポリシーの採点にはどのくらい時間がかかりますか？
数分です。パートナーやお客様からは、同じレビューを手作業で行うと30分から1時間かかると伺っています。

誤った文書をアップロードした場合はどうなりますか？
エージェントは採点前にすべてのアップロードを検証し、それがアカウント・アクセス管理ポリシーの最終版であることを確認します。また、信頼度評価を表示するので、確信を持って次に進めます。

どのフレームワークに対応していますか？
このアセスメントはCIS Critical Security Controls v8.1のセーフガードに整合しており、NIST CSFなど別のフレームワークに整合させることもできます。

結果を共有できますか？
はい。レポートを共有可能なアーティファクトとしてVaultに保存し、編集して、チームと共有できます。コンサルティングファームであればクライアントと共有することもできます。

ポリシーアセスメントとフルアセスメントの違いは何ですか？
ポリシーアセスメントは、文書化されたポリシーを採点します。フルアセスメントは、アカウント・アクセス管理のすべてのセーフガードを評価し、CISスコアをさらに精緻化して、セーフガード全体に対する推奨事項を返します。

アセスメントについてご質問がありますか？X-Analyticsのカスタマーサクセスチーム（customersuccess@x-analytics.com）までお問い合わせください。

関連記事

CIS CSC 8.1 アップロードエージェントのご紹介
CIS Critical Security Controls v8.1の結果をアップロードし、X-Analyticsのプロファイルに変換できます。

Vault：アーティファクトの保存、注釈、共有
作成したアーティファクトを保管し、ご自身のメモを追加して、ご自身が管理するアクセス権で共有できます。

Profile Integrity Check：プロファイルの正確性を維持
CISスコアと推奨事項の基盤となるプロファイルを、最新かつ正確な状態に保てます。

スキャンから緩和計画へ：脆弱性エクスポージャー分析エージェントがTenableに対応
Tenableを接続するかスキャンデータをアップロードすると、リスクを低減する脆弱性対策の推奨事項が優先順位付きで数分で得られます。

© 2026 X-Analytics. All rights reserved.