CIS Controls.
Priorisoikaa kyberpuolustus, perustelkaa sopiva Implementation Group ja arvioikaa toteutus omassa toiminnassanne jäljitettävästi.
- CIS Critical Security Controls v8.1
- Kirjoittaja: Jonathan Bezdek
- Tilanne: 22.10.2026
- Lukuaika: 6 min.
Lyhyt vastaus.
CIS Controls on Center for Internet Securityn priorisoitu kyberpuolustussuositusten kokonaisuus. Versio 8.1 jäsentää 153 Safeguard-suojatoimea 18 aihealueeseen. Implementation Group -ryhmät auttavat aloittamaan riskien ja resurssien mukaan. Ryhmät rakentuvat toistensa päälle. Dokumentoitu toteutus ei automaattisesti ole sertifiointi eikä osoitus kaikkien lakisääteisten velvoitteiden täyttymisestä.
CIS Controls v8.1 käytännön ohjenuorana.
CIS Controls jäsentää järjestelmien ja verkkojen suojauskäytäntöjen valintaa. Control tarkoittaa aihealuetta, ja siihen liittyvät Safeguard-suojatoimet kuvaavat tarkempia toiminta-alueita. Version 8.1 julkaisijasivu kuvaa sen v8:n vaiheittaiseksi uudistukseksi, johon kuuluvat muun muassa täsmennetyt käsitteet, mukautetut omaisuusluokat ja yhteys NIST CSF 2.0:aan.
Suositukset eivät ole yleisesti sovellettava lakisääteinen velvoite. Organisaatio voi sopia niistä työn perustana. Asiakkaat tai sopimukset voivat vaatia tiettyä näyttöä. CIS:n usein kysytyt kysymykset selventävät nimenomaisesti, etteivät hallintakeinot korvaa muita sääntelyyn liittyviä tai muodollisia todentamismenettelyjä. Siksi valinnan on hyvä vastata omia palveluja ja lisävelvoitteita.
CIS Controlsilla ja CIS Benchmarksilla on eri tehtävät. Controls koskee yleisiä suojauskäytäntöjä ja Benchmarks tiettyjen tuotteiden ja teknologioiden turvallisia määrityksiä. Määrityshavainto voi tukea toteutuksen arviointia, mutta ei vastaa kaikkiin organisatorisiin kysymyksiin. Julkaisija kuvaa eron Controls-kokonaisuuden usein kysytyissä kysymyksissä.
Implementation Group valitaan riskien ja resurssien mukaan.
Implementation Group -ryhmät tukevat eri kokoisten organisaatioiden priorisointia. CIS:n ryhmäkatsauksen mukaan riskiprofiili ja käytettävissä olevat resurssit ratkaisevat. IG1 sisältää 56 perustason suojatoimea. CIS suosittelee tätä aloitusta jokaiselle organisaatiolle. Rajalliset turvallisuusresurssit selittävät painotuksen, mutta eivät luo yleistä poikkeusta laajempiin riskeihin tai sopimusvaatimuksiin.
IG2 täydentää IG1:n valintaa 74 suojatoimella monimutkaisempaa toimintaa varten. Julkaisijasivu kuvaa muun muassa omia IT-vastuuhenkilöitä, eri osastoja ja arkaluonteisempia tietoja. IG2 ei siksi tarkoita vain lisäkohtien käsittelyä perusteet sivuuttaen. Ratkaiseva on koko sovittu laajuus.
IG3 lisää vielä 23 suojatoimea ja kattaa siten kaikki 153. CIS kuvaa siihen muun muassa erikoistunutta turvallisuusosaamista ja kohdennettujen hyökkäysten käsittelyä. Ryhmät eivät ole yleinen kypsyysasteikko. Valittu ryhmä ei yksin kerro toimenpiteiden toimivuudesta eikä organisaation hyväksymistä jäännösriskeistä.
Kyberpuolustuksen keskeiset työalueet.
Seuraavat kuusi aluetta kokoavat CIS Controls -työn toimituksellisesti. Ne eivät ole uusi virallinen luettelorakenne. Konkreettisessa valinnassa ratkaisevia ovat julkaistu versio, sovittu Implementation Group ja tarkasteltava toiminta.
Ymmärtäkää omaisuus ja tiedot.
Suojautumispäätökset tarvitsevat jäljitettävän yleiskuvan todella käytetyistä järjestelmistä, ohjelmistoista ja tiedoista. Käytännön valmisteluna vastuuhenkilöiden on hyvä selvittää tarkasteltava palvelu ja sen riippuvuudet. Omaisuusluettelo menettää arvonsa, jos toiminnan muutokset eivät enää päivity siihen tai kukaan ei voi arvioida sen täydellisyyttä.
Yhdistäkää turvalliset määritykset ja haavoittuvuustyö.
Määritykset, tuetut ohjelmistot ja tunnettujen haavoittuvuuksien käsittely liittyvät toisiinsa. Toteutuksessa kannattaa teknisen vaatimuksen lisäksi määrittää vastuu ja muutosreitti. Tuotekohtaiset vertailuarvot voivat auttaa määrityksen arvioinnissa. Ne eivät korvaa päätöstä arviointiin kuuluvista järjestelmistä ja toimintaolosuhteista.
Hallinnoikaa identiteettejä ja käyttöoikeuksia.
Käyttöoikeuksien on vastattava tehtäviä ja suojaustarvetta. Käytännön arvioinnin on hyvä kattaa sekä asetukset että henkilön aloittamisen, siirtymisen ja poistumisen työvaiheet. Oikein määritetty tilityyppi ei vielä osoita vanhentuneiden oikeuksien luotettavaa havaitsemista ja poistamista. Siihen auttavat toiminnan asianmukaiset tallenteet.
Sovittakaa havainnointi ja reagointi yhteen.
Turvallisuustietojen on välityttävä henkilöille, jotka osaavat arvioida ja käsitellä ne. Selvittäkää toteutuksessa ilmoitusten tarkastaja, poikkeaman välittämistapa ja sijainen. Pelkkä työkalun saatavuus ei selitä näitä vastuita. Harjoiteltu reagointitehtävä voi osoittaa sovitun menettelyn todellisen toimivuuden.
Huomioikaa palauttaminen ja palveluntarjoajat.
Tarkasteltava palvelu riippuu usein varmuuskopioista, ulkoisista palveluista ja sovituista tukikanavista. Arvioikaa käytännössä, kuka voi palauttaa minkäkin palvelun keskeytyksessä ja mitä tietoja tarvitaan. Todisteesta on hyvä ilmetä oma käyttölaajuus. Palveluntarjoajan raportti ei automaattisesti vastaa kaikkiin sen asiakkaiden tehtäviin.
Ottakaa ihmiset ja arviointi mukaan.
Suojauskäytännöt tarvitsevat ymmärrettävät tehtävät ja toteutuksen arvioinnin. Apuvälineenä tiimit voivat kirjata toimenpiteen ylläpitäjän, sen tilaa osoittavan havainnon ja seuraavan arvioinnin ajankohdan. Mukautukset ovat mielekkäitä palvelujen, uhkien tai vastuiden muuttuessa. Kerran täytetty kysely ei itsestään kuvaa näitä muutoksia.
CIS Controlsin vaiheittainen soveltaminen.
Rajatkaa tarkasteltava palvelu.
Kuvatkaa käytännön aluksi palvelu järjestelmineen, tietoineen ja ulkoisine riippuvuuksineen niin, että myöhemmällä arvioinnilla on tunnistettava raja.
Perustelkaa ryhmä ja lisävaatimukset.
Valitkaa Implementation Group riskien ja resurssien perusteella ja kirjatkaa erikseen huomioitavat muut laki- tai sopimusvaatimukset.
Sopikaa toteutuksesta ja vastuusta.
Muuntakaa valittu työperusta konkreettisiksi tehtäviksi ja nimetkää jokaiselle henkilö, jolla on sopiva vastuu ja toimivalta.
Kerätkää toiminnan tallenteet.
Yhdistäkää toteutus sopiviin määrityksiin, tarkastustallenteisiin tai prosessitodisteisiin ja merkitkää niiden laajuus sekä tarkastelujakso.
Yhdistäkää arviointi ja parantaminen.
Arvioikaa todisteiden merkitys, käsitelkää havaitut poikkeamat ja määrittäkää, mistä korjauksen vaikutus voidaan tunnistaa.
Päättäkää uudelleen muutosten yhteydessä.
Arvioikaa valinta, vastuut ja näyttö uudelleen, kun palvelu, riskiprofiili tai käytettävissä olevat resurssit muuttuvat olennaisesti.
Mitä CIS Controls -arviointi osoittaa.
Arviointi on merkityksellinen vain kuvatulla laajuudellaan. Kirjatkaa arvioitu versio ja valinta, katetut järjestelmät ja tuloksen perustana olevat todisteet. Itsearviointi voi jäsentää työtä. Ryhmätunnus tai yksi kokonaispistemäärä ei yksin selitä todellista toteutusta.
CIS Controls Assessment Specification tarjoaa perustan suojatoimien arvioinnin yhteiselle ymmärrykselle. Julkinen dokumentaatio sisältää v8.1-version. Tarpeeseenne sopiva konkreettinen menettely ja otokset on sovittava ennen arviointia. Tämä yleiskatsaus ei toista yksittäisiä tarkastusohjeita.
CIS Controls Accreditation koskee päteviä toteutus-, auditointi- tai arviointipalvelujen tarjoajia. Ohjelman julkinen sivu kuvaa niiden pätevyyden vahvistamisen ja sopivan palveluntarjoajan valinnan. Tämä on erotettava asiakasorganisaation arvioinnista. Tästä ei seuraa yleistä sertifikaattia jokaiselle Controls-käyttäjälle eikä kiinteää voimassaoloaikaa tämän omille toteutustallenteille.
Muiden viitekehysten täydentävä tarkastelu.
NIST CSF jäsentää tavoiteltuja turvallisuustuloksia, kun taas CIS Controls auttaa käytännön suojaustyön priorisoinnissa. ISO 27001 käsittelee hallintajärjestelmää ja sen riippumatonta sertifiointia. NIST SP 800-53 tarjoaa laajemman turvallisuuden ja tietosuojan hallintakeinoluettelon. PCI DSS asettaa erilliset maksukorttitietojen suojausvaatimukset. Controls-valinta ei korvaa asianomaista näyttöä.
- NIST CSFTutustukaa turvallisuustuloksiin ja organisaation toimintaympäristöön.
- ISO 27001Tarkastelkaa tietoturvan hallintajärjestelmää ja sertifiointia erikseen.
- NIST SP 800-53Tutustukaa toiseen hallintakeinoluetteloon ja sen soveltamiskehykseen.
- PCI DSSTutustukaa maksukorttiympäristön erilliseen arviointiin.
Secanissa.
Secani tarjoaa oman toimituksellisen yritysluettelon CIS Controls v8.1:n perusteella. Profiilitiedot kattavat muun muassa sovitun Implementation Groupin, pilven, operatiivisen teknologian ja oman ohjelmistokehityksen. Ryhmiä käsitellään kumulatiivisena priorisointina, ei sertifiointina tai kypsyysarviointina. Luettelo ei ole CIS:n virallinen käännös, ja sen riippumaton asiantuntijahyväksyntä on vielä tekemättä.
Aloittakaa perustellusta työpohjasta.
Valitkaa palvelu, jonka suojauskäytäntöjä on tarkoitus parantaa jäljitettävästi. Sopikaa vastuuhenkilöiden kanssa laajuudesta, käytettävästä versiosta ja sopivasta Implementation Groupista. Kirjatkaa samalla, kuka päättää lisätoimenpiteistä tai hyväksytyistä riskeistä.
Arvioikaa sitten tälle laajuudelle toiminnasta jo saatavat todisteet ja niiden mahdollistamat johtopäätökset. Suunnitelkaa puuttuva työ vastuuhenkilöineen ja määräaikoineen. Näin syntyy todennettava tehtävä ennen laajan toimenpideohjelman laajentamista koko organisaatioon.
Lähteet.
Usein kysytyt kysymykset.
Ei. Implementation Groupit priorisoivat kumulatiivisen valinnan riskien ja resurssien mukaan. Ne eivät ole sertifiointi- tai yleinen kypsyysasteikko.
Kyllä. IG2 lisää IG1:n 56 suojatoimeen vielä 74. IG3 lisää sen jälkeen 23 ja kattaa siten kaikki 153.
Eivät. Controls kuvaa yleisiä suojauskäytäntöjä, Benchmarks tiettyjen tuotteiden ja teknologioiden koventamista. Määritystarkastus ei siksi automaattisesti arvioi koko Controls-toteutusta.
Ei. Valittu Controls-työpohja ja tietoturvan hallintajärjestelmän riippumaton arviointi osoittavat eri asioita. Muut laki- tai sopimusperusteiset näyttövaatimukset on arvioitava erikseen.
Priorisoikaa suojaustyö jäljitettävästi.
Keskustelkaa siitä, miten käsittelette valitsemaanne laajuutta, vastuita ja näyttöä Secanissa.
Tämä sivu selittää CIS Controlsia omin sanoin eikä korvaa julkaisijan julkaisuja tai asiantuntija-arviota. Ratkaisevia ovat sovittu versio, tarkasteltava laajuus ja kulloinkin sovellettavat vaatimukset.