CIS Controls.

Τα CIS Controls οργανώνουν την επιλογή πρακτικών προστασίας για συστήματα και δίκτυα. Ένα Control αποτελεί θεματικό τομέα· τα αντίστοιχα Safeguards περιγράφουν συγκεκριμένα πεδία δράσης. Η σελίδα του εκδότη για την v8.1 χαρακτηρίζει αυτή την έκδοση ως σταδιακή αναθεώρηση της v8, μεταξύ άλλων με ακριβέστερους όρους, προσαρμοσμένες κατηγορίες πόρων και σύνδεση με το NIST CSF 2.0.

Οι συστάσεις δεν αποτελούν γενικά ισχύουσα νομική υποχρέωση. Ένας οργανισμός μπορεί να τις συμφωνήσει ως βάση εργασίας· πελάτες ή συμβάσεις μπορεί να απαιτούν συγκεκριμένα τεκμήρια. Οι συχνές ερωτήσεις του CIS διευκρινίζουν ρητά ότι τα Controls δεν αντικαθιστούν άλλες κανονιστικές ή επίσημες διαδικασίες τεκμηρίωσης. Γι’ αυτό η επιλογή πρέπει να ταιριάζει στις ίδιες τις υπηρεσίες και στις πρόσθετες υποχρεώσεις.

Τα CIS Controls και τα CIS Benchmarks έχουν διαφορετικά καθήκοντα. Τα Controls αφορούν γενικές πρακτικές προστασίας, ενώ τα Benchmarks ασφαλή διαμόρφωση συγκεκριμένων προϊόντων και τεχνολογιών. Ένα εύρημα διαμόρφωσης μπορεί να υποστηρίζει αξιολόγηση υλοποίησης, αλλά δεν απαντά σε όλα τα οργανωτικά ερωτήματα. Ο εκδότης περιγράφει αυτή τη διάκριση στις συχνές ερωτήσεις για τα Controls.

Οι ομάδες υλοποίησης υποστηρίζουν οργανισμούς διαφορετικών μεγεθών στην ιεράρχηση προτεραιοτήτων. Σύμφωνα με την επισκόπηση ομάδων του CIS, καθοριστικά είναι το προφίλ κινδύνου και οι διαθέσιμοι πόροι. Η IG1 περιλαμβάνει 56 βασικά μέτρα προστασίας· το CIS συνιστά αυτή την αφετηρία σε κάθε οργανισμό. Οι περιορισμένοι πόροι ασφάλειας εξηγούν την κατεύθυνση, αλλά δεν θεμελιώνουν γενική εξαίρεση από περαιτέρω κινδύνους ή συμβατικές απαιτήσεις.

Η IG2 προσθέτει 74 μέτρα προστασίας στην επιλογή IG1 για μεγαλύτερη λειτουργική πολυπλοκότητα. Η σελίδα του εκδότη περιγράφει, μεταξύ άλλων, ίδιους υπευθύνους πληροφορικής, διαφορετικά τμήματα και πιο ευαίσθητες πληροφορίες. Επομένως, η IG2 δεν σημαίνει ότι εξετάζονται μόνο τα πρόσθετα σημεία και παραλείπονται τα βασικά. Καθοριστικό είναι το συνολικό συμφωνημένο εύρος.

Η IG3 προσθέτει άλλα 23 μέτρα προστασίας και συνεπώς περιλαμβάνει και τα 153. Το CIS αναφέρει γι’ αυτήν, μεταξύ άλλων, εξειδικευμένη επάρκεια ασφάλειας και αντιμετώπιση στοχευμένων επιθέσεων. Αυτές οι ομάδες δεν αποτελούν γενική κλίμακα ωριμότητας: μια επιλεγμένη ομάδα από μόνη της δεν δηλώνει ούτε αν τα μέτρα της λειτουργούν ούτε ποιους υπολειπόμενους κινδύνους αποδέχθηκε ο οργανισμός.

Μια αξιολόγηση έχει αποδεικτική αξία μόνο μέσα στο περιγραφόμενο εύρος της. Καταγράψτε ποια έκδοση και επιλογή αξιολογήθηκαν, ποια συστήματα καλύπτονται και σε ποια αποδεικτικά στοιχεία βασίζεται το αποτέλεσμα. Μια αυτοαξιολόγηση μπορεί να οργανώνει την εργασία· μια ένδειξη ομάδας ή μία συνολική τιμή δεν εξηγούν από μόνες τους την πραγματική υλοποίηση.

Το CIS Controls Assessment Specification προσφέρει βάση κοινής κατανόησης της αξιολόγησης μέτρων προστασίας. Η δημόσια τεκμηρίωση αναφέρει έκδοση για την v8.1. Η συγκεκριμένη διαδικασία και τα δείγματα που απαιτούνται για τον σκοπό σας πρέπει να συμφωνούνται πριν από τον έλεγχο· αυτή η επισκόπηση δεν αναπαράγει επιμέρους οδηγίες ελέγχου.

Η διαπίστευση CIS Controls αφορά κατάλληλους παρόχους υπηρεσιών υλοποίησης, επιθεώρησης ή αξιολόγησης. Η δημόσια σελίδα προγράμματος περιγράφει την επιβεβαίωση επάρκειάς τους και την επιλογή κατάλληλου παρόχου. Αυτό διακρίνεται από την αξιολόγηση του οργανισμού πελάτη. Δεν προκύπτει ούτε γενικό πιστοποιητικό για κάθε χρήστη Controls ούτε σταθερή διάρκεια ισχύος των δικών του αρχείων υλοποίησης.

Το NIST CSF οργανώνει επιθυμητά αποτελέσματα ασφάλειας, ενώ τα CIS Controls βοηθούν στην ιεράρχηση πρακτικής εργασίας προστασίας. Το ISO 27001 αφορά το σύστημα διαχείρισης και την ανεξάρτητη πιστοποίησή του. Το NIST SP 800-53 προσφέρει ευρύτερο κατάλογο μέτρων ασφάλειας και προστασίας δεδομένων. Το PCI DSS θέτει αυτοτελείς απαιτήσεις προστασίας δεδομένων καρτών πληρωμών· μια επιλογή Controls δεν αντικαθιστά το αντίστοιχο τεκμήριο.

Το Secani παρέχει δικό του συντακτικά επεξεργασμένο κατάλογο επιχειρήσεων βάσει CIS Controls v8.1. Τα στοιχεία προφίλ καταγράφουν, μεταξύ άλλων, τη συμφωνημένη ομάδα υλοποίησης, νέφος, OT και ίδια ανάπτυξη λογισμικού. Οι ομάδες αντιμετωπίζονται ως σωρευτική ιεράρχηση προτεραιοτήτων και όχι ως πιστοποίηση ή αξιολόγηση ωριμότητας· ο κατάλογος δεν αποτελεί επίσημη μετάφραση CIS και εκκρεμεί η ανεξάρτητη ουσιαστική έγκρισή του.

Επιλέξτε μια υπηρεσία της οποίας η πρακτική προστασίας πρέπει να βελτιωθεί τεκμηριωμένα. Συμφωνήστε με τους υπευθύνους το εύρος, την έκδοση αναφοράς και την κατάλληλη ομάδα υλοποίησης. Καταγράψτε ποιος αποφασίζει για πρόσθετα μέτρα ή αποδεκτούς κινδύνους.

Έπειτα εξετάστε για αυτό το εύρος ποια αποδεικτικά στοιχεία υπάρχουν ήδη από τη λειτουργία και ποια συμπεράσματα επιτρέπουν. Προγραμματίστε την εργασία που λείπει με υπευθύνους και προθεσμίες. Έτσι δημιουργείται επαληθεύσιμο καθήκον πριν επεκταθεί ένα εκτενές πρόγραμμα μέτρων σε όλο τον οργανισμό.