Center for Internet Security（CIS）は、2026年8月11日付の「CIS Benchmarks August 2026 Update」で、前月に更新されたBenchmarkをまとめて公開しました。今回の目玉は、Azure Database ServicesとAWS Database Servicesの2つがv2.0.0にメジャー更新されたことです。本記事では、CIS公式ブログの記述を一次情報として、更新内容を整理し、クラウドDBを運用する際の確認手順と、以前取り上げたNIST IR 8611「m-NGAC」との役割分担を考えます。

1. 今回更新されたBenchmark

CISは、更新の中から主なものを挙げています。新規のBenchmarkとBuild Kitの公開は、今回はありませんでした。

Benchmark	バージョン	公式ブログの記述
Microsoft Azure Database Services	v2.0.0	追加20件、更新23件、削除2件。67件のチケットに対応。廃止サービスを削除
AWS Database Services	v2.0.0	公開の告知とフィードバックの依頼。具体的な変更点の記載はなし
PostgreSQL 13	v1.3.0	バージョン変更への追従と誤字の修正
PostgreSQL 14	v1.3.0	同上
FortiGate 7.4.x	v1.0.1	CIS-CATによる設定スキャンに初対応。評価用の成果物を32件作成
HPE Aruba CX Switch	v1.0.0	v1.0.0を公開

2. Azure Database Services v2.0.0：中身のある改訂

6件のうち、変更内容が最も具体的に示されているのがAzure版です。

• 推奨事項：追加20件、更新23件、削除2件
• 対応したチケット：67件
• 削除された対象サービス：Azure SQL EdgeとAzure Database for MariaDB（いずれも提供終了のサービス）
• 全変更履歴：PDFとDOCXの末尾に収録

提供終了のサービスがBenchmarkから外れたため、これらを使っている環境は、Benchmarkの評価対象から外れる点に注意が必要です。該当する場合は、サービス自体の移行計画と合わせて確認してください。追加された20件は、新しい設定項目や、これまで対象外だったリスクへの対応の可能性があります。具体的な中身は、変更履歴で確認する必要があります。

3. AWS Database Services v2.0.0：詳細は本体で確認

AWS版もv2.0.0にメジャー更新されましたが、公式ブログには変更の内訳が書かれておらず、コミュニティへのフィードバックの依頼にとどまっています。メジャーバージョンが上がった事実は確かですが、更新の規模や中身は、Benchmark本体の変更履歴を見るまでわかりません。

4. その他の更新

• PostgreSQL 13 / 14（v1.3.0）：バージョン変更への追従と誤字修正が中心の軽微な更新。既にこのBenchmarkで運用している場合は、影響は小さいと見られます
• FortiGate 7.4.x（v1.0.1）：初めてCIS-CAT（CISの設定評価ツール）で設定をスキャンできるようになりました。評価用の成果物は32件です。手作業のチェックから自動評価へ移せる点が実用面での変化です
• HPE Aruba CX Switch（v1.0.0）：HPE Arubaコミュニティの協力で公開されたスイッチ向けBenchmarkです

5. クラウドDB利用者の確認手順

1. 利用しているDBサービスと、適用中のBenchmarkのバージョンを一覧にする
2. Azure版・AWS版は、v2.0.0の変更履歴で、追加・更新・削除された推奨事項を確認する
3. 現在の設定と新しい推奨事項を突き合わせ、不足している項目を洗い出す
4. 適用しない項目は、理由と代替策を記録する
5. 廃止されたサービス（Azure SQL EdgeやAzure Database for MariaDB）を使っていないか確認する

旧バージョンとの差分から確認を始めるのは効率的です。ただし、追加された項目は新しい設定要求を意味するため、差分だけでなく、追加項目そのものの妥当性も検討してください。

6. m-NGACとの役割分担（筆者の考察）

以前の記事で取り上げたNIST IR 8611のm-NGACと並べて考えると、CISのBenchmarkとは、守る対象と問いが異なります。以下は筆者の整理です。

観点	CIS Benchmarks	m-NGAC（NIST IR 8611）
守るもの	DBサービスとその設定	DB内のデータへのアクセス権
問い	DBは安全に設定されているか	誰がどのデータを使えるか
位置づけ	コンセンサスに基づく設定指針。今すぐ適用できる	特許取得済みのNIST発の提案で、PoC段階
得意な領域	認証、ネットワーク、ログなどの基本的な堅牢化	行・列・フィールド単位の細かな認可

設定が堅牢でも、認可が粗ければ、権限を持つ利用者が必要以上のデータに触れられます。逆に認可が細かくても、DBの設定が弱ければ、認可の仕組み自体が攻撃の対象になります。両者は代替ではなく補完の関係にあります。

関連記事：NIST IR 8611「m-NGAC」を解説：DB内部で認可を強制する新しいアクセス制御

7. 読むときの注意点

• 本記事の根拠はCIS公式ブログの記述です。各Benchmark本体の推奨事項の中身は確認していません
• AWS版の変更内容は、ブログに記載がないため不明です。導入前に変更履歴の確認が必要です
• 2026年9月分の「CIS Benchmarks September 2026 Update」もすでに公開されています。最新の更新も併せて確認してください
• 確認した時点で、公式ブログ内のAWS版のダウンロードリンクは、AWS版ではなくAzure版のページを指していました。AWS版は、CISのAmazon Web Servicesのページから入手するのが確実です

まとめ

• 2026年8月のCIS Benchmarks更新は6件。Azure・AWSのDatabase Servicesがv2.0.0に更新された
• Azure版は、追加20件・更新23件・削除2件で、提供終了サービスも整理された
• AWS版は、ブログに変更点の記載がなく、詳細は本体の変更履歴で確認が必要
• CIS Benchmarksは設定の堅牢化、m-NGACはデータへの認可という別の層で、両方を組み合わせて考えるのが現実的

参考資料

• CIS: CIS Benchmarks August 2026 Update（公式ブログ）
• CIS: CIS Benchmarks
• NIST IR 8611 m-NGAC: Transcending Traditional Database Security Models