CIS Controls
CIS Controls, joka on lyhenne Center for Internet Security Controlsista, ovat joukko parhaiksi käytännöiksi määriteltyjä suosituksia erityisesti kyberturvallisuudelle. Niiden tarkoitus on tarjota organisaatioille jäsennelty lähestymistapa järjestelmiensä, verkkojensa ja datansa suojaamiseksi kyberuhilta. Toteuttamalla nämä kontrollit organisaatiot voivat parantaa turvallisuustilannettaan ja parantaa kykyään selvitä kyberhyökkäyksistä.
CIS Controlien ominaisuudet ja edut
CIS Controlling koostuu priorisoiduista toimenpiteistä, jotka lieventävät yleisimpiä kyberuhkia ja haavoittuvuuksia. Ne kattavat laajan valikoiman turvallisuuskysymyksiä ja tarjoavat organisaatioille kattavan ja tehokkaan kehyksen kyberturvallisuudelle. Jotkut CIS Controlien keskeisistä ominaisuuksista ja eduista ovat:
Kattava kattavuus: CIS Controls kattaa erilaisia kyberturvallisuuden osa-alueita, mukaan lukien laitteiston ja ohjelmiston suojaus, turvallisten määritysten tekeminen, haavoittuvuuksien hallinta ja riskienhallintakäytännöt, muiden muassa. Tämä kattava kattavuus varmistaa, että organisaatioilla on kokonaisvaltainen lähestymistapa kyberturvallisuuteen.
Mukautuvuus: Kontrollit on suunniteltu soveltuviksi kaiken kokoisille ja eri alojen organisaatioille. Ne ovat skaalautuvia ja niitä voidaan mukauttaa organisaation erityistarpeisiin ja uhkaympäristöön. Tämä mukautuvuus tekee näistä joustavan ja käytännöllisen ratkaisun eri tyyppisille organisaatioille.
Toimenpiteiden priorisointi: Kontrollit on järjestetty priorisoidusti, jolloin organisaatiot voivat keskittyä ensin kriittisimpiin ja vaikuttavimpiin toimenpiteisiin. Keskittymällä korkean prioriteetin kontolleihin organisaatiot voivat tehokkaasti lieventää merkittäviä riskejä ja haavoittuvuuksia.
Jatkuva parantaminen: CIS Controls toimii kehyksenä kyberturvallisuustoimenpiteiden jatkuvaan seurannan ja parantamisen kannalta. Organisaatiot voivat säännöllisesti arvioida turvallisuustilannettaan ja tehdä muutoksia kyberuhkien muuttuvan maiseman perusteella. Tämä proaktiivinen lähestymistapa auttaa organisaatioita pysymään edellä nousevista uhista.
CIS Controlien kategoriat
CIS Controlit jaetaan kolmeen kategoriaan, joista kukin käsittelee kyberturvallisuuden erityisalueita:
1. Perushygienia
Laitteiston inventointi ja hallinta: Organisaatioiden tulisi ylläpitää kattavaa inventaariota laitteistaan, mukaan lukien tietokoneet, palvelimet ja verkkolaitteet. Näiden laitteiden hallinnan ja suojaamisen kontrollien käyttö on oleellista riskin minimoinnissa.
Ohjelmiston inventointi ja hallinta: Organisaatioiden tulisi ylläpitää inventaariota kaikista verkossaan käytettävistä ohjelmistoista. Tämä kontrolli auttaa estämään luvatonta ohjelmistojen asennusta ja varmistaa, että kaikki ohjelmistot ovat ajan tasalla ja asianmukaisesti lisenssipohjaisia.
Jatkuva haavoittuvuuksien hallinta: Säännölliset haavoittuvuusarviot ja paikkausten hallinta ovat oleellisia tunnetuilta haavoittuvuuksilta suojautumiseksi. Organisaatioilla tulisi olla järjestelmä, jolla tunnistetaan haavoittuvuudet, priorisoidaan ne riskin perusteella, sovelletaan paikkaukset ja seurataan jatkuvasti uusia haavoittuvuuksia.
Hallinnollisten oikeuksien kontrolloitu käyttö: Hallinnollisten oikeuksien rajoittaminen vain valtuutetuille henkilöstöille vähentää luvattoman pääsyn ja haitallisten toimintojen riskiä. Organisaatioiden tulisi luoda tiukat kontrollit ja politiikat hallinnollisten oikeuksien käyttöön liittyen.
Laitteiston ja ohjelmiston turvalliset määritykset: Laitteiston ja ohjelmiston määrittäminen turvallisilla asetuksilla auttaa minimoimaan hyökkäyspinnan ja vähentää onnistuneiden hyökkäysten todennäköisyyttä. Organisaatioiden tulisi noudattaa alan parhaita käytäntöjä turvallisissa määrityksissä.
2. Perusturvallisuuden kontrollit
Rajoitepuolustus: Verkon turvallisuustoimenpiteiden, kuten palomuurien, verkon segmentoinnin ja tunkeutumisen havaitsemisjärjestelmien käyttöönotto auttaa suojautumaan ulkoisilta uhilta. Organisaatioiden tulisi luoda vahvat rajoitepuolustukset luvattoman pääsyn estämiseksi.
Datansuojaus: Organisaatioiden tulisi toteuttaa toimenpiteitä arkaluontoisen datan suojaamiseksi, mukaan lukien salaus, tietojen menetyksen estäminen ja käyttöoikeuskontrollit. Datansuojaustoiminnot auttavat lieventämään tietomurtojen ja luvattoman tiedon paljastumisen riskiä.
Telemetria ja tapahtumiin vastaaminen: Vahvojen valvonta- ja lokitusjärjestelmien käyttöönottaminen mahdollistaa organisaatioiden havaita ja reagoida turvallisuustapahtumiin nopeasti. Nämä kontrollit tarjoavat näkyvyyden verkkoliikenteeseen, järjestelmätoimintoihin ja mahdollisiin turvallisuusuhkiin.
3. Organisatoriset turvallisuuskontrollit
Hallinto, riskienhallinta ja haavoittuvuuksien hallinta: Organisaatioiden tulisi luoda tehokkaita hallintorakenteita ja prosesseja kyberturvallisuusriskien hallintaan. Tähän sisältyy riskiarvioinnit, politiikan kehittäminen ja turvallisuuskontrollien jatkuva parantaminen.
Sähköpostin ja verkkoselaimen suojaukset: Sähköpostin ja verkkoselaimen turvallisuuskontrollien, kuten roskapostisuodattimien ja verkkosisällön suodatuksen, käyttöönotto auttaa suojautumaan phishing-hyökkäyksiltä ja haittaohjelmilta.
Verkkosatamien, protokollien ja palveluiden rajoittaminen ja hallinta: Organisaatioiden tulisi minimoida avointen satamien, protokollien ja palveluiden määrää hyökkäyspinnan pienentämiseksi. Vain tarpeelliset satamat ja palvelut tulisi sallia, ja niiden käyttöön pitäisi olla tiukat kontrollit.
Datapalautuskyvyt: Vahvojen datan varmuuskopiointi- ja palautusprosessien olemassaolo auttaa organisaatioita toipumaan kyberturvallisuustapahtumista ja minimoimaan liiketoiminnan häiriöitä.
Lisätietoja
CIS Controls voidaan mukauttaa organisaation erityistarpeiden mukaan. Organisaatioiden tulisi arvioida uhkakenttäänsä, alan vaatimuksiaan ja sääntelyn velvoitteitaan määrittääkseen, mitkä kontrollit ovat sopivimpia toteutettavaksi.
Center for Internet Security (CIS) tarjoaa resursseja ja työkaluja auttaakseen organisaatioita toteuttamaan CIS Controlit tehokkaasti. Näihin resursseihin kuuluvat yksityiskohtaiset toteutusohjeet, vertailuarvot ja ohjeet.
CIS Controlien säännölliset tarkastukset ja päivitykset tehdään kyberturvallisuuden asiantuntijoiden ja ammattilaisten yhteisön toimesta. Tämä varmistaa, että kontrollit pysyvät ajan tasalla nousevien uhkien ja alan parhaiden käytäntöjen kanssa.
Aiheeseen liittyviä termejä
NIST Cybersecurity Framework: Kehys, joka auttaa organisaatioita hallitsemaan ja vähentämään kyberturvallisuusriskia. NIST Cybersecurity Framework tarjoaa joustavan ja skaalautuvan lähestymistavan kyberturvallisuuteen.
Defense in Depth: Kyberturvallisuusstrategia, joka käyttää useita puolustuskerroksia suojatakseen arkaluontoisia tietoja ja järjestelmiä erilaisilta uhkilta. Defense in Depth -strategiassa käytetään keinoina estäviä, havainnollisia ja korjaavia kontrolleja kerrostettuun puolustukseen.