The term "CIS Controls" can be translated to German as "CIS-Kontrollen."

Die CIS-Kontrollen, kurz für die Center for Internet Security Controls, sind eine Reihe bewährter Verfahren, die speziell für die Cybersicherheit entwickelt wurden. Ihr Zweck besteht darin, Organisationen einen strukturierten Ansatz zum Schutz ihrer Systeme, Netzwerke und Daten vor Cyberbedrohungen zu bieten. Durch die Implementierung dieser Kontrollen können Organisationen ihre Sicherheitslage verbessern und ihre Resilienz gegen Cyberangriffe stärken.

Funktionen und Vorteile der CIS-Kontrollen

Die CIS-Kontrollen bestehen aus einer priorisierten Reihe von Maßnahmen, die die häufigsten Cyberbedrohungen und Schwachstellen abmildern. Sie decken eine breite Palette von Sicherheitsproblemen ab und bieten Organisationen ein umfassendes und effektives Rahmenwerk für die Cyberabwehr. Zu den wichtigsten Funktionen und Vorteilen der CIS-Kontrollen gehören:

1. Umfassende Abdeckung: Die CIS-Kontrollen umfassen verschiedene Aspekte der Cybersicherheit, einschließlich Hardware- und Software-Schutz, sichere Konfigurationen, Schwachstellenmanagement und Risikomanagementpraktiken unter anderem. Diese umfassende Abdeckung stellt sicher, dass Organisationen einen ganzheitlichen Ansatz zur Cybersicherheit haben.

2. Anpassungsfähigkeit: Die Kontrollen sind so konzipiert, dass sie auf Organisationen jeder Größe und Branche anwendbar sind. Sie sind skalierbar und können an die spezifischen Bedürfnisse und Bedrohungslagen einer Organisation angepasst werden. Diese Anpassungsfähigkeit macht sie zu einer flexiblen und praktischen Lösung für verschiedene Arten von Organisationen.

3. Priorisierung von Maßnahmen: Die Kontrollen sind in einer priorisierten Reihenfolge organisiert, sodass Organisationen sich zuerst auf die kritischsten und wirkungsvollsten Maßnahmen konzentrieren können. Durch die Adressierung der hochpriorisierten Kontrollen können Organisationen signifikante Risiken und Schwachstellen effektiv mindern.

4. Ständige Verbesserung: Die CIS-Kontrollen dienen als Rahmenwerk für die kontinuierliche Überwachung und Verbesserung der Cybersicherheitsmaßnahmen. Organisationen können ihre Sicherheitslage regelmäßig bewerten und Anpassungen basierend auf Änderungen in der Cyberbedrohungslage vornehmen. Dieser proaktive Ansatz hilft Organisationen, neuen Bedrohungen einen Schritt voraus zu sein.

Kategorien der CIS-Kontrollen

Die CIS-Kontrollen sind in drei Kategorien unterteilt, die jeweils spezifische Bereiche der Cybersicherheit adressieren:

1. Grundlegende Cyber-Hygiene

• Inventarisierung und Kontrolle von Hardware-Assets: Organisationen sollten eine umfassende Inventarisierung ihrer Hardware-Assets, einschließlich Computer, Server und Netzwerkgeräte, haben. Die Implementierung von Kontrollen zur Verwaltung und Sicherung dieser Assets ist entscheidend zur Minimierung von Risiken.

• Inventarisierung und Kontrolle von Software-Assets: Organisationen sollten ein Inventar aller innerhalb ihrer Netzwerke verwendeten Software führen. Diese Kontrolle hilft, unautorisierte Softwareinstallationen zu verhindern und stellt sicher, dass alle Software auf dem neuesten Stand und ordnungsgemäß lizenziert ist.

• Kontinuierliches Schwachstellenmanagement: Regelmäßige Schwachstellenbewertungen und Patch-Management sind entscheidend zum Schutz vor bekannten Schwachstellen. Organisationen sollten ein System zur Identifizierung von Schwachstellen, Priorisierung basierend auf Risiken, Anwendung von Patches und kontinuierlicher Überwachung neuer Schwachstellen haben.

• Kontrollierte Nutzung von administrativen Privilegien: Die Nutzung administrativer Privilegien auf autorisiertes Personal zu beschränken, reduziert das Risiko unautorisierter Zugriffe und bösartiger Aktivitäten. Organisationen sollten starke Kontrollen und Richtlinien bezüglich des administrativen Zugriffs etablieren.

• Sichere Konfiguration für Hardware und Software: Die Konfiguration von Hardware und Software mit sicheren Einstellungen hilft, die Angriffsfläche zu minimieren und die Wahrscheinlichkeit erfolgreicher Angriffe zu reduzieren. Organisationen sollten den bewährten Methoden der Branche für sichere Konfigurationen folgen.

2. Gründlegende Sicherheitskontrollen

• Perimeterschutz: Die Implementierung von Netzwerksicherheitsmaßnahmen wie Firewalls, Netzwerksegmentierung und Intrusion-Detection-Systemen hilft, externe Bedrohungen abzuwehren. Organisationen sollten starke Perimeterschutzmaßnahmen etablieren, um unautorisierte Zugriffe zu verhindern.

• Datenschutz: Organisationen sollten Maßnahmen zum Schutz sensibler Daten ergreifen, einschließlich Verschlüsselung, Datenverlustverhinderung und Zugriffskontrollen. Datenschutzkontrollen helfen, das Risiko von Datenverletzungen und unautorisierter Offenlegung zu mindern.

• Telemetrie und Incident Response: Die Implementierung robuster Überwachungs- und Protokolliersysteme ermöglicht es Organisationen, Sicherheitsvorfälle schnell zu erkennen und darauf zu reagieren. Diese Kontrollen bieten Einblick in den Netzwerkverkehr, Systemaktivitäten und potenzielle Sicherheitsvorfälle.

3. Organisationale Sicherheitskontrollen

• Governance, Risikomanagement und Schwachstellenmanagement: Organisationen sollten effektive Governance-Strukturen und Prozesse für die Verwaltung von Cybersicherheitsrisiken etablieren. Dies umfasst Risikobewertungen, Richtlinienentwicklung und kontinuierliche Verbesserung der Sicherheitskontrollen.

• E-Mail- und Webbrowser-Schutzmaßnahmen: Die Implementierung von E-Mail- und Webbrowser-Sicherheitskontrollen, wie Spam-Filter und Web-Content-Filterung, hilft, Phishing-Angriffe und Malware abzuwehren.

• Einschränkung und Kontrolle von Netzwerkports, Protokollen und Diensten: Organisationen sollten die Anzahl offener Ports, Protokolle und Dienste minimieren, um die Angriffsfläche zu reduzieren. Nur notwendige Ports und Dienste sollten erlaubt sein, und es sollten strenge Kontrollen für deren Nutzung gelten.

• Fähigkeiten zur Datenwiederherstellung: Robuste Daten-Backup- und Wiederherstellungsprozesse helfen Organisationen, sich von Cybersicherheitsvorfällen zu erholen und die Unterbrechung des Geschäftsbetriebs zu minimieren.

Zusätzliche Informationen

• Die CIS-Kontrollen können basierend auf den spezifischen Bedürfnissen einer Organisation angepasst werden. Organisationen sollten ihre Bedrohungslage, Branchenanforderungen und regulatorischen Verpflichtungen bewerten, um die am besten geeigneten Kontrollen zu bestimmen, die implementiert werden sollen.

• Das Center for Internet Security (CIS) bietet Ressourcen und Tools, um Organisationen bei der effektiven Implementierung der CIS-Kontrollen zu unterstützen. Diese Ressourcen umfassen detaillierte Implementierungsleitfäden, Benchmarks und Richtlinien.

• Regelmäßige Überprüfungen und Aktualisierungen der CIS-Kontrollen werden von einer Gemeinschaft von Cybersicherheitsexperten und Praktikern durchgeführt. Dies stellt sicher, dass die Kontrollen mit neuen Bedrohungen und bewährten Praktiken in der Branche auf dem neuesten Stand bleiben.

Verwandte Begriffe

• NIST Cybersecurity Framework: Ein Rahmenwerk, das Organisationen dabei hilft, Cybersicherheitsrisiken zu verwalten und zu reduzieren. Das NIST Cybersecurity Framework bietet einen flexiblen und skalierbaren Ansatz zur Cybersicherheit.

• Tiefenverteidigung: Eine Cybersicherheitsstrategie, die mehrere Verteidigungsschichten einsetzt, um sensible Informationen und Systeme vor verschiedenen Bedrohungstypen zu schützen. Tiefenverteidigung beinhaltet die Verwendung einer Kombination aus präventiven, detektiven und korrektiven Kontrollen, um eine mehrschichtige Verteidigung zu bieten.