CIS Controls.
Rangsorolja a kibervédelmet, indokolja a megfelelő Implementation Group kiválasztását, és ellenőrizze követhetően a saját működés megvalósítását.
- CIS Critical Security Controls v8.1
- Szerző: Jonathan Bezdek
- Állapot: 2026. 10. 22.
- Olvasási idő: 7 perc
Rövid válasz.
A CIS Controls a Center for Internet Security rangsorolt kibervédelmi ajánlásai. A 8.1 verzió 153 Safeguard védelmi elemet rendez 18 tématerületbe. Az Implementation Group csoportok a kockázatok és elérhető erőforrások szerinti kezdést segítik. A csoportok egymásra épülnek; a dokumentált megvalósítás sem automatikus tanúsítás, sem minden jogszabályi kötelezettség igazolása.
A CIS Controls v8.1 mint gyakorlati támpont.
A CIS Controls a rendszerek és hálózatok védelmi gyakorlatainak kiválasztását strukturálja. A Control egy tématerület; a hozzá tartozó Safeguard elemek konkrétabb cselekvési területeket írnak le. A v8.1 kiadói oldala ezt a változatot a v8 fokozatos felülvizsgálataként jelöli, többek között pontosított fogalmakkal, módosított eszközosztályokkal és a NIST CSF 2.0-ra való hivatkozással.
Az ajánlások nem általánosan alkalmazandó jogszabályi kötelezettségek. A szervezet megállapodhat munkaalapként való alkalmazásukban; az ügyfelek vagy szerződések meghatározott bizonyítékokat követelhetnek. A CIS GYIK kifejezetten tisztázza, hogy a Controls nem helyettesít más szabályozási vagy formális igazolási eljárásokat. A kiválasztásnak ezért illeszkednie kell a saját szolgáltatásokhoz és a további kötelezettségekhez.
A CIS Controls és a CIS Benchmarks feladata eltérő. A Controls az általános védelmi gyakorlatra, a Benchmarks meghatározott termékek és technológiák biztonságos konfigurálására vonatkozik. Egy konfigurációs megállapítás támogathatja a megvalósítás értékelését, de nem válaszol meg minden szervezeti kérdést. Ezt a különbséget a kiadó a Controls GYIK-ben írja le.
Implementation Group választása kockázatok és erőforrások szerint.
Az Implementation Group csoportok különböző méretű szervezetek rangsorolását támogatják. A CIS csoportáttekintése szerint a kockázati profil és a rendelkezésre álló erőforrások számítanak. Az IG1 56 alapvető Safeguard elemet foglal magában; a CIS minden szervezetnek ezt a kezdést ajánlja. A korlátozott biztonsági erőforrások magyarázzák az irányt, de nem alapoznak meg általános kivételt a további kockázatok vagy szerződéses követelmények alól.
Az IG2 az IG1 válogatását 74 Safeguard elemmel bővíti a nagyobb működési összetettséghez. A kiadó oldala többek között saját informatikai felelősöket, különböző részlegeket és érzékenyebb információkat ír le. Az IG2 ezért nem azt jelenti, hogy kizárólag a hozzáadott pontokkal kell dolgozni, az alapokat pedig ki lehet hagyni. A teljes egyeztetett terjedelem a döntő.
Az IG3 további 23 Safeguard elemet ad hozzá, így mind a 153-at magában foglalja. A CIS ehhez többek között speciális biztonsági szaktudást és célzott támadásokkal való foglalkozást ír le. Ezek a csoportok nem általános érettségi skála: a választott csoport önmagában sem azt nem mondja meg, működnek-e intézkedései, sem azt, milyen maradványkockázatokat fogadott el a szervezet.
A kibervédelem legfontosabb munkaterületei.
A következő hat terület szerkesztett módon foglalja össze a CIS Controls munkáját; nem új hivatalos katalógusstruktúra. A konkrét kiválasztáshoz továbbra is a közzétett változat, az egyeztetett Implementation Group és a vizsgált működés az irányadó.
Az állomány és adatok megismerése.
A védelmi döntésekhez a ténylegesen használt rendszerek, szoftverek és információk követhető áttekintése szükséges. Gyakorlati előkészítésként a felelősöknek tisztázniuk kell, mely szolgáltatást vizsgálják, és milyen függőségek támogatják. Az állománylista elveszíti értékét, ha a működési változások már nem jutnak el bele, vagy senki sem tudja megítélni teljességét.
A biztonságos konfiguráció és sérülékenységkezelés összekapcsolása.
A konfiguráció, a támogatott szoftver és az ismert sérülékenységek kezelése összefügg. A megvalósításhoz a technikai előírás mellett célszerű meghatározni a felelősséget és a változtatási utat is. A termékspecifikus benchmarkok segíthetik a konfiguráció értékelését; nem helyettesítik annak eldöntését, mely rendszerek és működési feltételek tartoznak az értékeléshez.
Az identitások és hozzáférések működtetése.
A jogosultságoknak illeszkedniük kell a feladatokhoz és a védelmi szükséglethez. A gyakorlati értékelésnek a beállításokat és a személyek belépésekor, váltásakor és kilépésekor végzett munkalépéseket is vizsgálnia kell. A helyesen beállított fióktípus még nem bizonyítja, hogy az elavult hozzáféréseket megbízhatóan felismerik és visszavonják; ehhez hasznosak a megfelelő működési feljegyzések.
A megfigyelés és reagálás egyeztetése.
A biztonsági információknak olyan személyekhez kell eljutniuk, akik értékelni és kezelni tudják őket. A megvalósításhoz tisztázza, ki vizsgálja a jelzéseket, hogyan adnak tovább incidenst, és milyen helyettesítés lép életbe. Az eszköz puszta elérhetősége nem magyarázza meg ezeket a felelősségi köröket. Egy kipróbált reagálási feladat megmutathatja, ténylegesen működik-e az egyeztetett folyamat.
A helyreállítás és szolgáltatók figyelembevétele.
A vizsgált szolgáltatás gyakran mentésektől, külső szolgáltatásoktól és egyeztetett támogatási útvonalaktól függ. A gyakorlatban vizsgálja meg, megszakításkor ki milyen szolgáltatást tud helyreállítani, és milyen információ kell ehhez. A bizonyítékból ki kell derülnie a saját felhasználási terjedelemnek; a szolgáltató jelentése nem válaszol meg automatikusan minden ügyfélfeladatot.
Az emberek és az ellenőrzés bevonása.
A védelmi gyakorlathoz érthető feladatok és megvalósításuk értékelése kell. Munkasegédletként a csapatok rögzíthetik, ki működtet egy intézkedést, milyen megfigyelés mutatja az állapotát, és mikor esedékes új ellenőrzés. Módosítás indokolt, ha változnak a szolgáltatások, fenyegetések vagy felelősségi körök. Egy egyszer kitöltött kérdőív nem tükrözi önmagától ezeket a változásokat.
A CIS Controls lépésenkénti alkalmazása.
A vizsgált szolgáltatás lehatárolása.
Gyakorlati kezdésként úgy írja le a szolgáltatást, rendszereit, információit és külső függőségeit, hogy a későbbi értékelésnek felismerhető határa legyen.
A csoport és további követelmények indokolása.
A kockázatok és erőforrások alapján válasszon Implementation Group csoportot, és rögzítse, milyen további jogszabályi vagy szerződéses követelményeket kell külön figyelembe venni.
A megvalósítás és felelősség egyeztetése.
Alakítsa a választott munkaalapot konkrét feladatokká, és minden feladathoz nevezzen meg megfelelő felelősségi körrel és hatáskörrel rendelkező személyt.
Működési feljegyzések gyűjtése.
Kapcsolja a megvalósítást megfelelő konfigurációkhoz, vizsgálati feljegyzésekhez vagy folyamatbizonyítékokhoz, és jelölje azok terjedelmét és vizsgált időszakát.
Az értékelés és fejlesztés összekapcsolása.
Vizsgálja a bizonyítékok erejét, dolgozza fel a feltárt eltéréseket, és határozza meg, miről legyen felismerhető egy helyesbítés hatása.
Új döntés változások esetén.
Vizsgálja felül a kiválasztást, felelősségi köröket és bizonyítékokat, ha a szolgáltatás, a kockázati profil vagy az elérhető erőforrások lényegesen változnak.
Mit mond el egy CIS Controls értékelés?
Az értékelés csak a leírt terjedelmén belül érdemi. Rögzítse, mely változatot és válogatást értékelték, mely rendszereket fed le, és milyen bizonyítékokra támaszkodik az eredmény. Az önértékelés strukturálhatja a munkát; egy csoportcímke vagy egyetlen összesített érték önmagában még nem magyarázza meg a tényleges megvalósítást.
A CIS Controls Assessment Specification alapot ad a Safeguard elemek értékelésének közös értelmezéséhez. A nyilvános dokumentáció a v8.1-hez tartozó változatot sorol fel. A konkrét eljárást és a céljához szükséges mintavételt vizsgálat előtt kell egyeztetni; ez az áttekintés nem másolja le az egyes vizsgálati utasításokat.
A CIS Controls Accreditation minősített megvalósítási, audit- vagy értékelési szolgáltatókra vonatkozik. A program nyilvános oldala ezek kompetenciaigazolását és a megfelelő szolgáltató kiválasztását írja le. Ezt meg kell különböztetni az ügyfélszervezet értékelésétől. Ebből sem általános tanúsítvány nem következik minden Controls-felhasználónak, sem rögzített érvényességi idő a saját megvalósítási feljegyzéseikre.
Más keretrendszerek kiegészítő vizsgálata.
A NIST CSF a kívánt biztonsági eredményeket strukturálja, míg a CIS Controls a gyakorlati védelmi munka rangsorolását segíti. Az ISO 27001 az irányítási rendszerrel és független tanúsításával foglalkozik. A NIST SP 800-53 tágabb biztonsági és adatvédelmi kontrollkatalógust kínál. A PCI DSS külön követelményeket támaszt a fizetésikártya-adatok védelmére; a Controls-válogatás nem helyettesíti az adott igazolást.
A Secaniban.
A Secani saját szerkesztésű vállalati katalógust biztosít a CIS Controls v8.1 alapján. A profiladatok többek között az egyeztetett Implementation Group csoportot, a felhőt, az OT-t és a saját szoftverfejlesztést rögzítik. A csoportokat kumulatív rangsorolásként kezeli, nem tanúsításként vagy érettségi értékelésként; a katalógus nem hivatalos CIS-fordítás, és független szakmai jóváhagyása még hátravan.
Induljon indokolt munkaalappal.
Válasszon szolgáltatást, amelynek védelmi gyakorlatát követhetően fejleszteni szeretné. A felelősökkel egyeztesse a terjedelmet, az alapul vett változatot és a megfelelő Implementation Group csoportot. Rögzítse azt is, ki dönt további intézkedésekről vagy elfogadott kockázatokról.
Ezután vizsgálja meg, milyen működési bizonyítékok állnak már rendelkezésre ehhez a terjedelemhez, és milyen állítást engednek meg. Tervezze meg a hiányzó munkát felelősökkel és időpontokkal. Így ellenőrizhető feladat születik, mielőtt egy kiterjedt intézkedési programot az egész szervezetre kiterjesztenének.
Gyakori kérdések.
Nem. Az Implementation Group csoportok a kockázatok és erőforrások szerint rangsorolnak egy kumulatív válogatást; nem tanúsítási vagy általános érettségi skála.
Igen. Az IG2 az IG1 56 Safeguard elemét további 74-gyel bővíti; az IG3 ezután 23-at ad hozzá, így mind a 153-at magában foglalja.
Nem. A Controls általános védelmi gyakorlatokat, a Benchmarks meghatározott termékek és technológiák megerősítését írja le; a konfiguráció ellenőrzése ezért nem értékeli automatikusan a teljes Controls-megvalósítást.
Nem. A választott Controls-munkaalap és az ISMS független értékelése eltérő állításokat hordoz; a további jogszabályi vagy szerződéses igazolási követelményeket külön kell vizsgálni.
Rangsorolja követhetően a védelmi munkát.
Beszéljük meg, hogyan kezelheti a választott terjedelmet, felelősségi köröket és bizonyítékokat a Secaniban.
Ez az oldal saját szavakkal ismerteti a CIS Controlst, és nem helyettesíti a kiadói kiadványokat vagy a szakmai vizsgálatot. Az egyeztetett változat, a vizsgált terjedelem és a mindenkor érvényes követelmények az irányadók.