Intune と CIS Windows 11 ベンチマークの比較：監査前に行うギャップ分析の進め方

要点： Intune と CIS のギャップ分析とは、Intune のポリシーが Windows 11 に実際に設定している値を、選んだ CIS ベンチマークの推奨事項と一つずつ比較する作業です。通常は CIS Microsoft Intune for Windows 11 Benchmark（2026 年 11 月時点の最新版は v5.0.0）を使います。Intune のセキュリティ ベースラインは Microsoft 自身の推奨であり、同じ文書ではありません。成果物は登録簿で、各項目を「適合」「意図的に異なる（理由付き）」「未設定」「Intune では強制できない」に分類します。監査の前に実施し、すべての差異を指摘事項ではなく記録された判断にしておきましょう。

取引先の質問票、サイバー保険の申込書、監査人から「Windows 端末は CIS に沿って強化されているか」と聞かれる日は必ず来ます。Intune を使い、Microsoft の Windows セキュリティ ベースラインを割り当てていると、「はい」と答えたくなります。しかしそれは正確ではありません。ベースラインと CIS ベンチマークは大部分が重なりますが、異なる組織が作成した別々の文書であり、一方に適合している端末がもう一方の項目を満たさないことは珍しくありません。

Intune と CIS のギャップ分析は、その違いが自社の端末のどこにあるかを明らかにする作業です。本記事では、比較すべき CIS 文書、比較表の作り方、Intune で直接強制できる推奨事項とできないもの、例外を根拠ある判断として記録する方法を説明します。展開したベースラインが今も端末で実際に動いている構成かどうかを扱ったIntune セキュリティ ベースライン監査：構成ドリフトの見つけ方の続編にあたります。

Intune のセキュリティ ベースラインは CIS と同じか？

同じではありません。Intune の Windows セキュリティ ベースラインは Microsoft の推奨構成で、ベースラインのバージョンごとに既定値が公開されています。Center for Internet Security（CIS）は別の合意形成プロセスでベンチマークを作成しています。主要な項目（Defender の有効化、ファイアウォールの有効化、BitLocker、古いプロトコルの無効化）では両者はおおむね一致しますが、対象範囲、具体的な値、扱う設定の数は異なります。CIS の推奨が Microsoft の既定値より厳しいものもあれば、一方にしかない設定もあります。さらに CIS は推奨事項を Level 1、Level 2 といったプロファイルに分けていますが、Microsoft は各設定に一つの推奨値を示すだけです。

つまり「Intune のベースラインを展開した」は良い出発点ですが、CIS に適合している証拠にはなりません。CIS について問われたら、誠実な答えは比較から導くしかありません。

どの CIS Windows 11 ベンチマークと比較すべきか？

CIS は Windows 11 向けに二つのベンチマークを公開しており、取り違えが最初によくある失敗です。

• CIS Microsoft Intune for Windows 11 Benchmark： Intune で管理する端末向けで、各推奨事項が MDM または設定カタログの設定として記述されています。CIS は 2026 年 7 月のベンチマーク更新で v5.0.0 を公開しました。Intune 管理の端末であれば、通常はこちらを使います。
• CIS Microsoft Windows 11 Enterprise Benchmark： グループ ポリシーを前提に書かれています。本記事執筆時点の最新版は v5.1.0 で、CIS の 2026 年 9 月の更新で公開されました。グループ ポリシーで管理するドメイン環境や、グループ ポリシーが多くの設定を担っているハイブリッド環境に向いています。

どちらを選ぶにしても、分析表の冒頭にベンチマーク名、バージョン、プロファイルを明記してください。バージョンのない「CIS Level 1」は誰も検証できない参照であり、推奨事項はリリースごとに変わります。以前の分析が古いバージョンの Intune ベンチマークに対するものなら、新しいバージョンへの移行は単なる更新ではなく新規の比較として扱いましょう。

Intune ベースライン・CIS Intune ベンチマーク・CIS Windows 11 Enterprise ベンチマークの比較

三つの違い

• 作成者： Intune ベースラインは Microsoft、二つの CIS ベンチマークはいずれも Center for Internet Security。
• 提供形態： ベースラインはそのまま割り当てられる Intune プロファイル、CIS Intune ベンチマークは Intune のポリシーで実装する文書、Enterprise ベンチマークはグループ ポリシーを前提とした文書。
• プロファイル： ベースラインは設定ごとに一つの推奨値でカスタマイズ可能、CIS ベンチマークは Level 1・Level 2 などに推奨事項を分けています。
• バージョン管理： ベースラインのバージョンは Windows のリリースに合わせて公開され、既存のプロファイルは管理者が更新するまで元のバージョンのままです。CIS ベンチマークは CIS 独自のスケジュールで公開されます。
• 最適な使い方： ベースラインは迅速でサポートされた初期構成、CIS Intune ベンチマークは Intune 管理端末に CIS を求められたときの基準、Enterprise ベンチマークはグループ ポリシー管理環境の基準。
• 単独で証明できること： ベースラインは Microsoft の推奨を割り当てたことを示すだけで、CIS ベンチマークは端末と比較して初めて意味を持ちます。

Intune と CIS のギャップ分析はどう進めるか？

小規模な環境なら、最初の一巡は自社で実施できます。数日を見込み、その大半は対応付けの作業になります。

1. 基準を確定する。 ベンチマーク、バージョン、プロファイルを決めます（多くの小規模組織では CIS Intune for Windows 11 ベンチマークの Level 1）。どの推奨事項を対象とするかも記録します。特定の端末種別や機能にのみ該当するものもあります。
2. 各設定を何が設定しているか棚卸しする。 Windows 端末を対象とするすべての Intune ポリシーを一覧にします。セキュリティ ベースライン、設定カタログのプロファイル、エンドポイント セキュリティ ポリシー（ウイルス対策、ファイアウォール、ディスク暗号化、攻撃面の減少、アカウント保護）、古いデバイス構成プロファイルなどです。同じ設定が複数の場所で設定されていることがあり、すべてを把握する必要があります。
3. 推奨事項ごとに設定元を対応付ける。 CIS の推奨事項ごとに、どのポリシーが設定しているか、構成値、期待値を記録します。推奨事項一つにつき一行のスプレッドシートにすれば、それ自体が証跡になります。
4. 端末が報告する状態を確認する。 ポリシーは何が適用されるべきかを示し、設定ごとの状態レポートは実際に何が適用されたかを示します。各プロファイルの設定別レポートを確認し、サンプル端末では「設定」の「アカウント」にある職場または学校アカウントの画面から管理診断レポートをエクスポートします。構成値だけでなく、競合やエラーも登録簿に記載します。
5. 各行を分類する。 結果は固定の選択肢で記録します。適合、意図的に異なる（理由と責任者付き）、未設定、設定済みだが競合またはエラー、Intune では強制できない（代わりにどう対処しているか付き）、該当なし。
6. 是正の順序を決める。 業務への影響がない「未設定」から先に解消します。ユーザーや業務アプリに影響しうる変更は、まずパイロット グループでテストしてから広く割り当てます。

スプレッドシートは保管しておきましょう。次回の分析（新しいベンチマーク版や新しいベースライン版の後）は、ゼロからではなくこの表との比較になります。

Intune で強制できる CIS 推奨事項とできないものは？

実際には、各行はおおむね三つに分かれます。

• Intune で直接設定できるもの： 大多数です。ほとんどの推奨事項は設定カタログの設定やエンドポイント セキュリティ ポリシー内の設定に対応しており、CIS Intune ベンチマークはその対応付けをしやすいように書かれています。
• 間接的に設定するもの： カスタム構成（OMA-URI）、PowerShell スクリプト、修復スクリプトが必要なものや、別の場所で機能がライセンスされ有効になっていることが前提のものがあります。実現は可能ですが、忘れられやすく、環境が変わると気づかないうちに機能しなくなりやすい項目です。配布方法と確認方法を記録しておきましょう。
• デバイス管理の範囲外のもの： 少数ですが、端末の設定ではなく、運用手順、ハードウェア、別のシステムの状態を記述した推奨事項もあります。コンプライアンス チェック、文書化した手順、明示的な例外で対応し、登録簿にそう明記します。

自社環境での割合がどうであれ、一行ずつ書き残してください。分析の目的はパーセンテージのスコアではなく、監査人がどの推奨事項を選んでも、それに対して何をしているかが分かる状態にすることです。

差異はどこに現れやすいか？

件数は挙げませんが、複数のポリシーで重複して設定されている、Windows の既定値のまま、あるいは業務上の理由で緩められたまま記録がない、といった理由で、次の領域は最初に確認する価値があります。

• 監査ポリシー： CIS は特定の高度な監査ポリシーのサブカテゴリを推奨しています。誰も構成していなければ Windows の既定値が適用され、ベンチマークが想定するより記録されるログが少なくなります。
• ユーザー権利の割り当てとローカル アカウント： ローカル ログオン、リモート デスクトップ経由のログオン、サービスとしてのログオンを誰に許可するか、ローカル管理者アカウントをどう管理するか。
• 攻撃面の減少ルール： 各ルールがブロック モードか、パイロット時の監査モードのままか。
• リモート デスクトップとリモート アシスタンスの設定： サポートの都合で緩められ、その後締め直されないことがよくあります。
• ファイアウォールのログとプロファイル設定： ファイアウォールの有効化は一般的ですが、CIS が定めるログ設定やプロファイル別の設定はそうとは限りません。
• ディスク暗号化の詳細： BitLocker は通常有効ですが、回復、起動、暗号化方式といった具体的な設定で差異が出ます。

いずれも、テストせずに設定を変える理由にはなりません。どこから見るべきかを示すものです。

例外はどう記録すべきか？

例外とは、従わない、あるいは異なる方法で従うと判断した推奨事項です。監査人は例外ゼロを求めているわけではなく、一つひとつが判断であることを求めています。

例外ごとに、推奨事項とベンチマークのバージョン、実際に使っている値、理由（アプリケーションの要件、サポート上の必要性、テストで確認したユーザーへの影響）、補完的な管理策（あれば）、承認者、見直し日を記録します。期限のない「一時的な」例外は避けましょう。一年後には、その理由が今も有効か誰にも分からなくなります。

CIS の値を設定するポリシーから端末を除外して競合を解消してはいけません。目に見える競合を、目に見えないカバー範囲の穴に変えるだけです。これはベースライン ドリフトのガイドで説明しているのと同じ落とし穴です。

第三者による監査で何が加わるか？

自社で行う分析には価値がありますが、弱点が二つあります。対応付けを行う人が、たいていは設定した本人であること。そして Intune に登録されていない端末を誰も確認しないことです。第三者によるデバイス監査は、登録済みのすべての端末を指定したベンチマークと比較し、登録されているべきなのに登録されていない端末を数え、証跡として使えるよう設計された指摘一覧とワークブックをお渡しします。Intune デバイス監査のサンプルレポート（英語）で形式をご確認いただけます。デバイス監査はMicrosoft 365 セキュリティ監査と合わせて範囲を決めており、現在の料金はそのページに掲載しています。

ギャップ分析の結果、足りないのが設定ではなく機能だと分かった場合は、何かを購入する前に現在のライセンスに何が含まれているかを確認してください。Microsoft Intune の料金ページで各プランの内容を説明しています。

よくある質問

Intune のセキュリティ ベースラインを割り当てれば CIS に準拠したことになりますか？

なりません。ベースラインは Microsoft の推奨で、CIS と重なる部分はあっても同じではありません。CIS について何かを言うには、バージョンを明記した CIS ベンチマークとの比較が必要です。

CIS Intune ベンチマークと Windows 11 Enterprise ベンチマークのどちらを使うべきですか？

Intune で管理する端末なら CIS Microsoft Intune for Windows 11 Benchmark です。推奨事項が Intune の設定として書かれているためです。主にグループ ポリシーで管理する環境では Enterprise ベンチマークを使います。

すべての端末に Level 2 を適用できますか？

できますが、まずテストしてください。Level 2 の推奨事項はより厳しく、使い勝手やアプリケーションの互換性に影響するものがあります。多くの組織は全端末に Level 1 を適用し、管理者の端末など特定のグループに Level 2 を適用しています。

比較を自動で行うツールはありますか？

CIS ベンチマークに沿って端末をスキャンできるツールはいくつもあり、CIS も会員向けに独自の評価ツールを提供しています。端末の確認には役立ちますが、ある設定がなぜ異なるのか、誰が決めたのかは教えてくれません。それこそ監査人が次に尋ねることなので、登録簿は引き続き必要です。

ギャップ分析はどのくらいの頻度で行うべきですか？

採用している CIS ベンチマークの新版が公開されたとき、Intune ベースラインの新しいバージョンに移行したとき、そして少なくとも年に一度です。毎回ゼロからではなく、前回の登録簿と比較します。

差異を是正すると何か不具合が起きますか？

推奨事項によってはユーザーや古いアプリケーションに影響することがあります。まずパイロット グループに割り当て、1〜2 週間ほどエラーやヘルプデスクへの問い合わせを確認してから範囲を広げてください。

次のステップ

監査人や取引先から Windows 端末の CIS 対応について聞かれ、登録簿を自社だけで作るのが難しい場合は、コンサルタントにご相談ください。指定の CIS バージョンでデバイス監査を実施し、登録簿と証跡をお渡しします。