CIS Controls.
Odredite prioritete kibernetičke obrane, obrazložite odgovarajuću provedbenu skupinu i sljedivo provjerite provedbu u vlastitom poslovanju.
- CIS Critical Security Controls v8.1
- Autor: Jonathan Bezdek
- Stanje: 22. 10. 2026.
- Vrijeme čitanja: 7 min.
Kratak odgovor.
CIS Controls prioritetne su preporuke organizacije Center for Internet Security za kibernetičku obranu. Verzija 8.1 raspoređuje 153 zaštitne mjere u 18 tematskih područja. Provedbene skupine pomažu započeti prema rizicima i dostupnim resursima. Skupine se nadograđuju; dokumentirana provedba nije automatski certifikacija ni dokaz svih zakonskih obveza.
CIS Controls v8.1 kao praktična orijentacija.
CIS Controls strukturira odabir zaštitnih praksi za sustave i mreže. Control je tematsko područje; pripadajuće Safeguards opisuju konkretnija područja djelovanja. Stranica izdavača za v8.1 opisuje tu verziju kao iterativnu reviziju v8, među ostalim s preciziranim pojmovima, prilagođenim klasama imovine i vezom s NIST CSF 2.0.
Preporuke nisu općevažeća zakonska obveza. Organizacija ih može dogovoriti kao radnu osnovu; klijenti ili ugovori mogu tražiti određene dokaze. CIS-ova česta pitanja izričito pojašnjavaju da Controls ne zamjenjuje druge regulatorne ili formalne postupke dokazivanja. Zato odabir treba odgovarati vlastitim uslugama i dodatnim obvezama.
CIS Controls i CIS Benchmarks imaju različite zadaće. Controls se odnosi na opću zaštitnu praksu, a Benchmarks na sigurnu konfiguraciju određenih proizvoda i tehnologija. Konfiguracijski nalaz može poduprijeti ocjenu provedbe, ali ne odgovara na sva organizacijska pitanja. Izdavač opisuje tu razliku u čestim pitanjima o Controls.
Odaberite provedbene skupine prema rizicima i resursima.
Provedbene skupine (Implementation Groups) podupiru organizacije različitih veličina u određivanju prioriteta. Prema CIS-ovu pregledu skupina važni su profil rizika i dostupni resursi. IG1 obuhvaća 56 temeljnih zaštitnih mjera; CIS preporučuje taj početak svakoj organizaciji. Ograničeni sigurnosni resursi objašnjavaju usmjerenje, ali ne stvaraju opću iznimku od dodatnih rizika ili ugovornih zahtjeva.
IG2 dodaje odabiru IG1 još 74 zaštitne mjere za veću operativnu složenost. Stranica izdavača opisuje, među ostalim, vlastite IT odgovorne osobe, različite odjele i osjetljivije informacije. IG2 zato ne znači obrađivati isključivo dodatne stavke i izostaviti osnove. Presudan je cijeli dogovoreni opseg.
IG3 dodaje još 23 zaštitne mjere i time obuhvaća svih 153. CIS pritom opisuje, među ostalim, specijaliziranu sigurnosnu kompetenciju i suočavanje s ciljanim napadima. Te skupine nisu opća ljestvica zrelosti: odabrana skupina sama ne govori funkcioniraju li njezine mjere ni koje je preostale rizike organizacija prihvatila.
Najvažnija radna područja kibernetičke obrane.
Sljedećih šest područja urednički objedinjuje rad s CIS Controls; nisu nova službena struktura kataloga. Za konkretan odabir mjerodavni ostaju objavljena verzija, dogovorena provedbena skupina i razmatrano poslovanje.
Razumijte imovinu i podatke.
Odluke o zaštiti trebaju sljediv pregled stvarno korištenih sustava, softvera i informacija. Kao praktičnu pripremu odgovorne osobe trebaju razjasniti koja se usluga razmatra i koje je ovisnosti podupiru. Popis imovine gubi vrijednost ako se operativne promjene više ne odražavaju u njemu ili nitko ne može procijeniti njegovu potpunost.
Povežite sigurnu konfiguraciju i upravljanje ranjivostima.
Konfiguracija, podržani softver i postupanje s poznatim ranjivostima međusobno su povezani. Za provedbu se preporučuje uz tehničko pravilo odrediti odgovornost i put promjene. Smjernice Benchmarks za pojedine proizvode mogu pomoći ocijeniti konfiguraciju; ne zamjenjuju odluku o sustavima i radnim uvjetima obuhvaćenima ocjenom.
Upravljajte identitetima i pristupima.
Ovlasti moraju odgovarati zadacima i potrebama zaštite. Praktična procjena treba obuhvatiti postavke i korake pri dolasku, promjeni uloge i odlasku osoba. Pravilno uspostavljena vrsta računa još ne dokazuje da se zastarjeli pristupi pouzdano prepoznaju i ukidaju; za to pomažu prikladni operativni zapisi.
Uskladite opažanje i odgovor.
Sigurnosne informacije moraju doći do osoba koje ih mogu procijeniti i obraditi. Za provedbu razjasnite tko provjerava obavijesti, kako se incident prosljeđuje i koja zamjena uskače. Sama dostupnost alata ne objašnjava te odgovornosti. Uvježban zadatak odgovora može pokazati funkcionira li dogovoreni postupak zaista.
Uključite obnovu i pružatelje usluga.
Razmatrana usluga često ovisi o sigurnosnim kopijama, vanjskim uslugama i dogovorenim putovima podrške. Praktično provjerite tko pri prekidu može obnoviti koju uslugu i koje informacije treba. Dokaz treba pokazati vlastiti opseg primjene; izvješće pružatelja ne odgovara automatski na sve zadatke njegovih klijenata.
Uključite ljude i provjeru.
Zaštitna praksa treba razumljive zadatke i ocjenu provedbe. Kao pomagalo timovi mogu zabilježiti tko provodi mjeru, koje opažanje pokazuje njezino stanje i kada slijedi ponovna provjera. Prilagodbe su smislene pri promjeni usluga, prijetnji ili odgovornosti. Jednom ispunjen upitnik sam ne odražava takve promjene.
Primjenjujte CIS Controls korak po korak.
Odredite razmatranu uslugu.
Kao praktičan početak opišite uslugu, njezine sustave, informacije i vanjske ovisnosti tako da kasnija procjena ima prepoznatljivu granicu.
Obrazložite skupinu i dodatne zahtjeve.
Na temelju rizika i resursa odaberite provedbenu skupinu i zabilježite koje dodatne zakonske ili ugovorne zahtjeve treba uzeti u obzir zasebno.
Dogovorite provedbu i odgovornost.
Pretvorite odabranu radnu osnovu u konkretne zadatke i za svaki imenujte osobu s odgovarajućom nadležnošću i ovlastima.
Prikupite operativne zapise.
Povežite provedbu s prikladnim konfiguracijama, zapisima provjere ili procesnim dokazima te označite njihov opseg i razmatrano razdoblje.
Povežite ocjenjivanje i poboljšavanje.
Provjerite dokaznu vrijednost, obradite utvrđena odstupanja i odredite po čemu će biti vidljiv učinak ispravka.
Ponovno odlučite pri promjenama.
Ponovno provjerite odabir, odgovornosti i dokaze kada se bitno promijene usluga, profil rizika ili dostupni resursi.
Što pokazuje procjena CIS Controls.
Procjena je sadržajna samo unutar opisanog opsega. Zabilježite ocijenjenu verziju i odabir, obuhvaćene sustave i dokaze na kojima se rezultat temelji. Samoprocjena može strukturirati rad; oznaka skupine ili pojedinačna ukupna vrijednost još ne objašnjavaju stvarnu provedbu.
CIS Controls Assessment Specification pruža osnovu za zajedničko razumijevanje ocjenjivanja zaštitnih mjera. Javna dokumentacija navodi verziju za v8.1. Konkretan postupak i uzorke potrebne za vašu svrhu treba dogovoriti prije provjere; ovaj pregled ne reproducira pojedinačne upute provjere.
CIS Controls Accreditation odnosi se na kvalificirane pružatelje usluga provedbe, revizije ili procjene. Javna stranica programa opisuje potvrdu njihove kompetentnosti i odabir prikladnog pružatelja. To treba odvojiti od ocjene klijentove organizacije. Iz toga ne proizlazi opći certifikat za svakog korisnika Controls ni fiksna valjanost njegovih zapisa provedbe.
Razmotrite druge okvire kao dopunu.
NIST CSF strukturira željene sigurnosne ishode, dok CIS Controls pomaže odrediti prioritete praktičnog zaštitnog rada. ISO 27001 obrađuje sustav upravljanja i njegovu neovisnu certifikaciju. NIST SP 800-53 nudi širi katalog sigurnosnih kontrola i kontrola privatnosti. PCI DSS postavlja zasebne zahtjeve zaštite podataka platnih kartica; odabir Controls ne zamjenjuje pripadajući dokaz.
U Secaniju.
Secani pruža vlastiti urednički katalog za poduzeća na temelju CIS Controls v8.1. Podaci profila obuhvaćaju, među ostalim, dogovorenu provedbenu skupinu, oblak, OT i vlastiti razvoj softvera. Skupine se tretiraju kao kumulativno određivanje prioriteta, a ne certifikacija ili ocjena zrelosti; katalog nije službeni prijevod CIS-a i njegovo neovisno stručno odobrenje još predstoji.
Počnite s obrazloženom radnom osnovom.
Odaberite uslugu čiju zaštitnu praksu treba sljedivo poboljšati. S odgovornim osobama dogovorite opseg, osnovnu verziju i prikladnu provedbenu skupinu. Pritom zabilježite tko donosi odluke o dodatnim mjerama ili prihvaćenim rizicima.
Zatim za taj opseg provjerite koji operativni dokazi već postoje i koje zaključke dopuštaju. Planirajte nedostajući rad s odgovornim osobama i rokovima. Tako nastaje provjerljiv zadatak prije širenja opsežnog programa mjera na cijelu organizaciju.
Česta pitanja.
Ne. Provedbene skupine određuju prioritete kumulativnog odabira prema rizicima i resursima; nisu certifikacijska ni opća ljestvica zrelosti.
Da. IG2 dodaje 74 mjere na 56 zaštitnih mjera iz IG1; IG3 zatim dodaje 23 i time obuhvaća svih 153.
Ne. Controls opisuje opće zaštitne prakse, a Benchmarks sigurnosno ojačavanje određenih proizvoda i tehnologija; konfiguracijska provjera zato ne ocjenjuje automatski cjelokupnu provedbu Controls.
Ne. Odabrana radna osnova Controls i neovisna ocjena ISMS-a imaju različite zaključke; dodatne zakonske ili ugovorne zahtjeve dokazivanja treba provjeriti zasebno.
Sljedivo odredite prioritete zaštitnog rada.
Razgovarajte o tome kako u Secaniju obrađivati odabrani opseg, odgovornosti i dokaze.
Ova stranica vlastitim riječima objašnjava CIS Controls i ne zamjenjuje publikacije izdavača ni stručnu provjeru. Mjerodavni su dogovorena verzija, razmatrani opseg i važeći zahtjevi.