CIS Controls
CIS Controls, kort for Center for Internet Security Controls, er et sett med beste praksiser spesielt designet for cybersikkerhet. Hensikten er å gi organisasjoner en strukturert tilnærming for å beskytte systemer, nettverk og data mot cybertrusler. Ved å implementere disse kontrollene kan organisasjoner forbedre sin sikkerhetsstilling og øke motstandsdyktigheten mot cyberangrep.
Egenskaper og fordeler med CIS Controls
CIS Controls består av et prioritert sett med tiltak som reduserer de mest vanlige cybertruslene og sårbarhetene. De dekker et bredt spekter av sikkerhetsbekymringer og gir organisasjoner en omfattende og effektiv ramme for cyberforsvar. Noen av de viktigste egenskapene og fordelene med CIS Controls inkluderer:
Omfattende dekning: CIS Controls omfatter ulike aspekter av cybersikkerhet, inkludert beskyttelse av maskinvare og programvare, sikre konfigurasjoner, sårbarhetshåndtering og risikostyringspraksiser, blant annet. Denne omfattende dekningen sikrer at organisasjoner har en helhetlig tilnærming til cybersikkerhet.
Tilpasningsevne: Kontrollene er utformet for å være anvendelige for organisasjoner av alle størrelser og bransjer. De er skalerbare og kan tilpasses en organisasjons spesifikke behov og trussellandskap. Denne tilpasningsevnen gjør dem til en fleksibel og praktisk løsning for ulike typer organisasjoner.
Prioritering av tiltak: Kontrollene er organisert på en prioritert måte, slik at organisasjoner kan fokusere på de mest kritiske og effektfulle tiltakene først. Ved å adressere de høyt prioriterte kontrollene kan organisasjoner effektivt redusere betydelige risikoer og sårbarheter.
Kontinuerlig forbedring: CIS Controls fungerer som en ramme for kontinuerlig overvåking og forbedring av sikkerhetstiltak. Organisasjoner kan regelmessig vurdere sikkerhetsposisjonen sin og gjøre justeringer basert på endringer i trussellandskapet. Denne proaktive tilnærmingen hjelper organisasjoner med å ligge foran nye trusler.
Kategorier av CIS Controls
CIS Controls er delt inn i tre kategorier, hver som adresserer spesifikke områder innen cybersikkerhet:
1. Grunnleggende cyberhygiene
Inventar og kontroll av maskinvareaktiva: Organisasjoner bør ha en omfattende oversikt over sine maskinvareaktiva, inkludert datamaskiner, servere og nettverksenheter. Implementering av kontroller for å administrere og sikre disse aktivene er avgjørende for å minimere risiko.
Inventar og kontroll av programvareaktiva: Organisasjoner bør opprettholde en oversikt over all programvare som brukes innenfor deres nettverk. Denne kontrollen bidrar til å forhindre uautoriserte programvareinstallasjoner og sikrer at all programvare er oppdatert og riktig lisensiert.
Kontinuerlig sårbarhetshåndtering: Regelmessige sårbarhetsvurderinger og lapphåndtering er essensielt for å beskytte mot kjente sårbarheter. Organisasjoner bør ha et system på plass for å identifisere sårbarheter, prioritere dem basert på risiko, anvende lapper og kontinuerlig overvåke for nye sårbarheter.
Kontrollert bruk av administrative privilegier: Å begrense bruken av administrative rettigheter til kun autorisert personell reduserer risikoen for uautorisert tilgang og skadelige aktiviteter. Organisasjoner bør etablere sterke kontroller og retningslinjer vedrørende administrativ tilgang.
Sikker konfigurasjon for maskinvare og programvare: Konfigurering av maskinvare og programvare med sikre innstillinger bidrar til å minimere angrepsflaten og redusere sannsynligheten for vellykkede angrep. Organisasjoner bør følge bransjens beste praksis for sikre konfigurasjoner.
2. Grunnleggende sikkerhetskontroller
Grenseforsvar: Implementering av nettverkssikkerhetstiltak som brannmurer, nettverkssegmentering og inntrengingsdeteksjonssystemer bidrar til å beskytte mot eksterne trusler. Organisasjoner bør etablere sterke grenser for å hindre uautorisert tilgang.
Databeskyttelse: Organisasjoner bør implementere tiltak for å beskytte sensitive data, inkludert kryptering, tapsforebygging og tilgangskontroller. Databeskyttelseskontroller bidrar til å redusere risikoen for datainnbrudd og uautorisert avsløring.
Telemetri og hendelsesrespons: Implementering av robuste overvåkings- og loggingssystemer gjør det mulig for organisasjoner å oppdage og respondere på sikkerhetshendelser raskt. Disse kontrollene gir innsyn i nettverkstrafikk, systemaktiviteter og potensielle sikkerhetshendelser.
3. Organisatoriske sikkerhetskontroller
Styring, risikostyring og sårbarhetshåndtering: Organisasjoner bør etablere effektive styringsstrukturer og prosesser for å håndtere cybersikkerhetsrisikoer. Dette inkluderer risikovurdering, utvikling av retningslinjer og kontinuerlig forbedring av sikkerhetskontroller.
E-post og nettleserbeskyttelse: Implementering av sikkerhetstiltak for e-post og nettlesere, som søppelfilter og webinnholdsfiltrering, bidrar til å beskytte mot phishing-angrep og skadelig programvare.
Begrensning og kontroll av nettverksporter, protokoller og tjenester: Organisasjoner bør minimere antallet åpne porter, protokoller og tjenester for å redusere angrepsflaten. Bare nødvendige porter og tjenester bør være tillatt, og strenge kontroller bør være på plass for deres bruk.
Data gjenopprettingsevne: Å ha robuste data backup og gjenopprettingsprosesser på plass hjelper organisasjoner med å komme seg etter cybersikkerhetshendelser og minimere forstyrrelser i forretningsdriften.
Tilleggsinformasjon
CIS Controls kan tilpasses basert på en organisasjons spesifikke behov. Organisasjoner bør vurdere sitt trussellandskap, bransjekrav og regulatoriske forpliktelser for å bestemme de mest passende kontrollene å implementere.
Center for Internet Security (CIS) tilbyr ressurser og verktøy for å bistå organisasjoner i å implementere CIS Controls effektivt. Disse ressursene inkluderer detaljerte implementeringsguider, benchmarks og retningslinjer.
Regelmessige gjennomganger og oppdateringer av CIS Controls utføres av et samfunn av cybersikkerhetseksperter og praktikere. Dette sikrer at kontrollene forblir oppdaterte med nye trusler og beste praksis i bransjen.
Relaterte termer
NIST Cybersecurity Framework: En ramme designet for å hjelpe organisasjoner med å håndtere og redusere cybersikkerhetsrisiko. NIST Cybersecurity Framework gir en fleksibel og skalerbar tilnærming til cybersikkerhet.
Defense in Depth: En cybersikkerhetsstrategi som benytter flere forsvarslag for å beskytte sensitiv informasjon og systemer mot ulike typer trusler. Defense in depth involverer bruk av en kombinasjon av forebyggende, oppdagende og korrigerende kontroller for å gi lagdelt forsvar.