CIS Controls.
Seadke küberkaitse prioriteedid, põhjendage sobiv rakendusrühm ning kontrollige rakendamist enda tegevuses jälgitavalt.
- CIS Critical Security Controls v8.1
- Autor: Jonathan Bezdek
- Seisuga: 22.10.2026
- Lugemisaeg: 6 min
Lühivastus.
CIS Controls on Center for Internet Security prioriseeritud soovitused küberkaitseks. Versioon 8.1 jaotab 153 kaitsemeedet 18 teemavaldkonda. Rakendusrühmad aitavad alustada riskide ja olemasolevate ressursside järgi. Rühmad täiendavad üksteist; dokumenteeritud rakendamine ei ole automaatselt sertifitseerimine ega tõend kõigi seadusjärgsete kohustuste täitmisest.
CIS Controls v8.1 praktilise orientiirina.
CIS Controls struktureerib süsteemide ja võrkude kaitsepraktikate valikut. Control on teemavaldkond; selle Safeguards ehk kaitsemeetmed kirjeldavad konkreetsemaid tegevusvaldkondi. Väljaandja v8.1 leht nimetab seda v8 järkjärguliseks uuenduseks, muu hulgas täpsustatud mõistete, kohandatud varaklasside ja seosega NIST CSF 2.0-ga.
Soovitused ei ole üldkehtiv seadusjärgne kohustus. Organisatsioon võib need tööalusena kokku leppida; kliendid või lepingud võivad nõuda kindlaid tõendeid. CISi KKK selgitab sõnaselgelt, et Controls ei asenda muid regulatiivseid või ametlikke tõendamismenetlusi. Seetõttu peaks valik sobima enda teenuste ja lisakohustustega.
CIS Controlsil ja CIS Benchmarkidel on eri ülesanded. Controls puudutab üldist kaitsepraktikat, Benchmarks aga kindlate toodete ja tehnoloogiate turvalist seadistamist. Seadistusleid võib rakendushinnangut toetada, kuid ei vasta kõigile korralduslikele küsimustele. Väljaandja kirjeldab seda eristust oma Controlsi KKKs.
Valige rakendusrühmad riskide ja ressursside järgi.
Rakendusrühmad toetavad eri suurusega organisatsioone prioriteetide seadmisel. CISi rühmaülevaate järgi loevad riskiprofiil ja olemasolevad ressursid. IG1 hõlmab 56 põhilist kaitsemeedet; CIS soovitab seda algust igale organisatsioonile. Piiratud turberessursid selgitavad suunitlust, kuid ei põhjenda üldist erandit ulatuslikumatest riskidest või lepingulistest nõuetest.
IG2 täiendab IG1 valikut 74 kaitsemeetmega suurema tegevuskeerukuse jaoks. Väljaandja leht kirjeldab muu hulgas enda IT-vastutajaid, eri osakondi ja tundlikumat teavet. Seetõttu ei tähenda IG2 üksnes lisapunktide käsitlemist ning põhialuste väljajätmist. Määrav on kogu kokkulepitud ulatus.
IG3 lisab veel 23 kaitsemeedet ning hõlmab seega kõiki 153. CIS kirjeldab selle jaoks muu hulgas spetsialiseeritud turbepädevust ja sihitud rünnakutega tegelemist. Need rühmad ei ole üldine küpsusskaala: valitud rühm üksi ei ütle, kas selle meetmed toimivad või milliseid jääkriske organisatsioon on aktsepteerinud.
Küberkaitse olulisemad töövaldkonnad.
Järgmised kuus valdkonda koondavad toimetuslikult tööd CIS Controlsiga; need ei ole uus ametlik kataloogistruktuur. Konkreetse valiku jaoks jäävad määravaks avaldatud versioon, kokkulepitud rakendusrühm ja vaadeldav tegevus.
Mõistke varasid ja andmeid.
Kaitseotsused vajavad jälgitavat ülevaadet tegelikult kasutatavatest süsteemidest, tarkvarast ja teabest. Praktilise ettevalmistusena peaksid vastutajad selgitama, millist teenust vaadeldakse ning millised sõltuvused seda toetavad. Varaloend kaotab väärtuse, kui tegevuse muudatused enam sinna ei jõua või keegi ei suuda selle täielikkust hinnata.
Ühendage turvaline seadistus ja turvanõrkuste käsitlemine.
Seadistus, toetatud tarkvara ja teadaolevate turvanõrkuste käsitlemine on omavahel seotud. Rakendamiseks on soovitatav määrata tehnilise nõude kõrval ka vastutus ja muutmisviis. Tootepõhised Benchmarks-juhised võivad aidata seadistust hinnata; need ei asenda otsust, millised süsteemid ning käitamistingimused kuuluvad hindamisse.
Hallake identiteete ja juurdepääse.
Õigused peavad sobima ülesannete ja kaitsetarbega. Praktiline hindamine peaks vaatlema nii seadistusi kui ka tööetappe inimese tööleasumisel, rollivahetusel ning lahkumisel. Õigesti loodud kontotüüp ei tõesta veel vananenud juurdepääsude usaldusväärset tuvastamist ja eemaldamist; selleks on abiks sobivad tegevuskirjed.
Kooskõlastage vaatlus ja reageerimine.
Turbeteave peab jõudma inimesteni, kes saavad seda hinnata ja käsitleda. Rakendamiseks selgitage, kes teateid kontrollib, kuidas intsident edasi antakse ja milline asendaja sekkub. Tööriista pelk olemasolu ei selgita neid vastutusalasid. Läbi harjutatud reageerimisülesanne võib näidata, kas kokkulepitud protsess tegelikult toimib.
Arvestage taastamist ja teenuseosutajaid.
Vaadeldav teenus sõltub sageli varukoopiatest, välistest teenustest ja kokkulepitud tugikanalitest. Kontrollige praktiliselt, kes saab katkestuse korral millise teenuse taastada ning millist teavet selleks vajatakse. Tõend peaks näitama enda kasutusulatust; teenuseosutaja aruanne ei vasta automaatselt kõigile tema klientide ülesannetele.
Kaasake inimesed ja kontroll.
Kaitsepraktika vajab arusaadavaid ülesandeid ning rakendamise hindamist. Tööabina võivad meeskonnad talletada, kes meedet käitab, milline vaatlus selle seisundit näitab ja millal toimub uus kontroll. Kohandamine on mõistlik teenuste, ohtude või vastutusalade muutumisel. Ühekordselt täidetud küsimustik ei kajasta selliseid muudatusi iseenesest.
CIS Controlsi rakendamine sammhaaval.
Piiritlege vaadeldav teenus.
Praktilise alustussammuna kirjeldage teenust, selle süsteeme, teavet ja väliseid sõltuvusi nii, et hilisemal hindamisel oleks äratuntav piir.
Põhjendage rühm ja lisanõuded.
Valige riskide ja ressursside alusel rakendusrühm ning talletage, milliseid täiendavaid õiguslikke või lepingulisi nõudeid tuleb eraldi arvestada.
Leppige kokku rakendamine ja vastutus.
Muutke valitud tööalus konkreetseteks ülesanneteks ning määrake igale ülesandele sobiva vastutusala ja volitusega inimene.
Koguge tegevuskirjeid.
Seostage rakendamine sobivate seadistuste, kontrollikirjete või protsessitõenditega ning märkige nende ulatus ja vaadeldav periood.
Ühendage hindamine ja parendamine.
Kontrollige tõendite tõendusjõudu, käsitlege tuvastatud kõrvalekaldeid ja määrake, mille järgi peaks paranduse mõju olema äratuntav.
Otsustage muudatuste korral uuesti.
Vaadake valik, vastutusalad ja tõendid uuesti üle, kui teenus, riskiprofiil või olemasolevad ressursid oluliselt muutuvad.
Mida CIS Controlsi hindamine kinnitab.
Hindamine on sisukas ainult kirjeldatud ulatuse sees. Talletage hinnatud versioon ja valik, hõlmatud süsteemid ning tõendid, millele tulemus tugineb. Enesehindamine võib tööd struktureerida; rühmamärgis või üks üldskoor üksi ei selgita veel tegelikku rakendamist.
CIS Controls Assessment Specification annab aluse kaitsemeetmete hindamise ühisele mõistmisele. Avalik dokumentatsioon loetleb v8.1 versiooni. Millist konkreetset menetlust ja milliseid valimeid teie eesmärgiks vajatakse, tuleb enne hindamist kokku leppida; see ülevaade ei korda üksikuid kontrollijuhiseid.
CIS Controls Accreditation puudutab kvalifitseeritud rakendus-, auditi- või hindamisteenuste osutajaid. Avalik programmileht kirjeldab nende pädevuse kinnitamist ja sobiva teenuseosutaja valimist. Seda tuleb eristada kliendiorganisatsiooni hindamisest. Sellest ei tulene üldist sertifikaati igale Controlsi kasutajale ega tema enda rakenduskirjete kindlat kehtivusaega.
Vaadelge teisi raamistikke täiendavalt.
NIST CSF struktureerib soovitud turbetulemusi, CIS Controls aga aitab praktilise kaitsetöö prioriseerimisel. ISO 27001 käsitleb juhtimissüsteemi ja selle sõltumatut sertifitseerimist. NIST SP 800-53 pakub laiemat turva- ja andmekaitsekontrollide kataloogi. PCI DSS seab maksekaardiandmete kaitsele eraldi nõuded; Controlsi valik ei asenda vastavat tõendit.
Secanis.
Secani pakub enda koostatud ettevõttekataloogi CIS Controls v8.1 alusel. Profiiliandmed hõlmavad muu hulgas kokkulepitud rakendusrühma, pilve, OTd ja enda tarkvaraarendust. Rühmi käsitletakse kumulatiivse prioriseerimisena, mitte sertifitseerimise või küpsushinnanguna; kataloog ei ole ametlik CISi tõlge ning selle sõltumatu erialane heakskiit on veel saamata.
Alustage põhjendatud tööalusest.
Valige teenus, mille kaitsepraktikat tuleb jälgitavalt parendada. Leppige vastutajatega kokku ulatus, aluseks olev versioon ja sobiv rakendusrühm. Talletage seejuures, kes otsustab lisameetmete või aktsepteeritud riskide üle.
Seejärel kontrollige selle ulatuse jaoks, millised tegevustõendid on juba olemas ja millist väidet need lubavad. Kavandage puuduv töö koos vastutajate ning tähtaegadega. Nii tekib kontrollitav ülesanne enne ulatusliku meetmeprogrammi laiendamist kogu organisatsioonile.
Korduma kippuvad küsimused.
Ei. Rakendusrühmad prioriseerivad kumulatiivset valikut riskide ja ressursside järgi; need ei ole sertifitseerimis- ega üldine küpsusskaala.
Jah. IG2 täiendab IG1 56 kaitsemeedet veel 74ga; IG3 lisab seejärel 23 ja hõlmab seega kõiki 153.
Ei. Controls kirjeldab üldisi kaitsepraktikaid, Benchmarks kindlate toodete ja tehnoloogiate turvakarmistust; seadistuskontroll ei hinda seetõttu automaatselt kogu Controlsi rakendamist.
Ei. Valitud Controlsi tööalusel ja ISMSi sõltumatul hindamisel on erinevad väited; täiendavaid õiguslikke või lepingulisi tõendamisnõudeid tuleb kontrollida eraldi.
Seadke kaitsetöö prioriteedid jälgitavalt.
Arutage, kuidas käsitleda valitud ulatust, vastutusalasid ja tõendeid Secanis.
See leht selgitab CIS Controlsi oma sõnadega ega asenda väljaandja väljaandeid või erialast hindamist. Määravad on kokkulepitud versioon, vaadeldav ulatus ja vastavalt kehtivad nõuded.