CIS Controls.
Nustatykite kibernetinės gynybos prioritetus, pagrįskite tinkamą įgyvendinimo grupę ir atsekamai tikrinkite įgyvendinimą savo veikloje.
- CIS Critical Security Controls v8.1
- Autorius: Jonathan Bezdek
- Aktualu: 2026-10-22
- Skaitymo trukmė: 7 min.
Trumpas atsakymas.
CIS Controls yra prioritetinės Center for Internet Security kibernetinės gynybos rekomendacijos. 8.1 versija suskirsto 153 apsaugos priemones į 18 temų. Įgyvendinimo grupės padeda pradėti pagal riziką ir turimus išteklius. Grupės papildo viena kitą; dokumentuotas įgyvendinimas automatiškai nėra nei sertifikavimas, nei visų teisinių pareigų įvykdymo įrodymas.
CIS Controls v8.1 kaip praktinis orientyras.
CIS Controls struktūruoja sistemų ir tinklų apsaugos praktikų pasirinkimą. Control yra teminė sritis; jai priklausantys Safeguards aprašo konkretesnes veiklos sritis. Leidėjo v8.1 puslapyje ši versija apibūdinama kaip nuoseklus v8 atnaujinimas, be kita ko, patikslinant sąvokas, turto klases ir ryšį su NIST CSF 2.0.
Rekomendacijos nėra visuotinė teisinė pareiga. Organizacija gali susitarti naudoti jas kaip darbo pagrindą; klientai ar sutartys gali reikalauti tam tikrų įrodymų. CIS DUK aiškiai nurodo, kad Controls nepakeičia kitų reguliavimo ar formalių atitikties įrodymo procedūrų. Todėl pasirinkimas turi atitikti savo paslaugas ir papildomus įsipareigojimus.
CIS Controls ir CIS Benchmarks atlieka skirtingas užduotis. Controls skirtas bendrai apsaugos praktikai, Benchmarks – saugiai konkrečių produktų ir technologijų konfigūracijai. Konfigūracijos radinys gali padėti vertinti įgyvendinimą, tačiau neatsako į visus organizacinius klausimus. Šį skirtumą leidėjas paaiškina Controls DUK.
Rinkitės įgyvendinimo grupes pagal riziką ir išteklius.
Įgyvendinimo grupės padeda įvairaus dydžio organizacijoms nustatyti prioritetus. Pagal CIS grupių apžvalgą svarbus rizikos profilis ir turimi ištekliai. IG1 apima 56 pagrindines apsaugos priemones; CIS rekomenduoja nuo jų pradėti kiekvienai organizacijai. Riboti saugumo ištekliai paaiškina kryptį, tačiau nesukuria bendros išimties didesnei rizikai ar sutartiniams reikalavimams.
IG2 papildo IG1 pasirinkimą 74 apsaugos priemonėmis sudėtingesnei veiklai. Leidėjo puslapyje, be kita ko, aprašomi savi IT atsakingieji, skirtingi padaliniai ir jautresnė informacija. Todėl IG2 nereiškia, kad reikia tvarkyti tik papildomus punktus ir praleisti pagrindus. Svarbi visa sutarta aprėptis.
IG3 prideda dar 23 apsaugos priemones ir taip apima visas 153. CIS čia, be kita ko, aprašo specializuotą saugumo kompetenciją ir darbą su tikslinėmis atakomis. Šios grupės nėra bendra brandos skalė: pasirinkta grupė savaime nepasako nei ar jos priemonės veikia, nei kokią likutinę riziką organizacija priėmė.
Svarbiausios kibernetinės gynybos darbo sritys.
Toliau šešios sritys redakciškai sugrupuoja darbą su CIS Controls; tai nėra nauja oficiali katalogo struktūra. Konkrečiam pasirinkimui lemiama lieka paskelbta versija, sutarta įgyvendinimo grupė ir nagrinėjama veikla.
Supraskite turtą ir duomenis.
Apsaugos sprendimams reikia atsekamos tikrai naudojamų sistemų, programinės įrangos ir informacijos apžvalgos. Praktiškai rengdamiesi atsakingi asmenys turėtų išsiaiškinti, kokia paslauga nagrinėjama ir kokios priklausomybės ją užtikrina. Inventoriaus sąrašas praranda vertę, jei veiklos pokyčiai jame nebeatsispindi arba niekas negali įvertinti jo išsamumo.
Susiekite saugią konfigūraciją ir pažeidžiamumų tvarkymą.
Konfigūracija, palaikoma programinė įranga ir žinomų pažeidžiamumų tvarkymas yra susiję. Įgyvendinant rekomenduojama kartu su techniniu reikalavimu nustatyti atsakomybę ir pakeitimo kelią. Konkretiems produktams skirti Benchmarks gali padėti įvertinti konfigūraciją; jie nepakeičia sprendimo, kokios sistemos ir veikimo sąlygos priklauso vertinimui.
Valdykite tapatybes ir prieigas.
Teisės turi atitikti užduotis ir apsaugos poreikį. Praktinis vertinimas turėtų apimti ir nustatymus, ir darbo žingsnius priimant žmones, keičiant jų pareigas bei jiems išeinant. Teisingai sukurtas paskyros tipas dar neįrodo, kad pasenusios prieigos patikimai aptinkamos ir panaikinamos; tam naudingi tinkami veiklos įrašai.
Suderinkite stebėjimą ir reagavimą.
Saugumo informacija turi pasiekti žmones, galinčius ją įvertinti ir tvarkyti. Įgyvendindami išsiaiškinkite, kas tikrina pranešimus, kaip perduodamas incidentas ir kas pavaduoja atsakinguosius. Vien įrankio prieinamumas šių atsakomybių nepaaiškina. Išbandyta reagavimo užduotis gali parodyti, ar sutartas procesas iš tikrųjų veikia.
Atsižvelkite į atkūrimą ir paslaugų teikėjus.
Nagrinėjama paslauga dažnai priklauso nuo atsarginių kopijų, išorinių paslaugų ir sutartų pagalbos kelių. Praktiškai patikrinkite, kas sutrikimo metu kokią paslaugą gali atkurti ir kokios informacijos tam reikia. Įrodymas turi parodyti jūsų naudojimo aprėptį; teikėjo ataskaita automatiškai neatsako į visas jo klientų užduotis.
Įtraukite žmones ir patikrą.
Apsaugos praktikai reikia suprantamų užduočių ir jų įgyvendinimo vertinimo. Kaip pagalbinę priemonę komandos gali užfiksuoti, kas taiko priemonę, koks stebėjimas rodo jos būklę ir kada numatyta nauja patikra. Pakeitimai prasmingi keičiantis paslaugoms, grėsmėms ar atsakomybėms. Vieną kartą užpildytas klausimynas savaime tokių pokyčių neatspindi.
Laipsniškas CIS Controls taikymas.
Apibrėžkite nagrinėjamą paslaugą.
Pradėkite aprašydami paslaugą, jos sistemas, informaciją ir išorines priklausomybes taip, kad vėlesnis vertinimas turėtų aiškias ribas.
Pagrįskite grupę ir papildomus reikalavimus.
Pagal riziką ir išteklius pasirinkite įgyvendinimo grupę bei užfiksuokite, į kokius kitus teisinius ar sutartinius reikalavimus reikia atsižvelgti atskirai.
Suderinkite įgyvendinimą ir atsakomybę.
Paverskite pasirinktą darbo pagrindą konkrečiomis užduotimis ir kiekvienai paskirkite asmenį su tinkama atsakomybe bei įgaliojimais.
Rinkite veiklos įrašus.
Susiekite įgyvendinimą su tinkamomis konfigūracijomis, patikrų įrašais ar procesų įrodymais bei pažymėkite jų aprėptį ir nagrinėjamą laikotarpį.
Susiekite vertinimą ir gerinimą.
Patikrinkite įrodymų vertę, tvarkykite nustatytus neatitikimus ir nustatykite, pagal ką bus atpažįstamas korekcijos poveikis.
Keičiantis aplinkybėms spręskite iš naujo.
Iš naujo peržiūrėkite pasirinkimą, atsakomybes ir įrodymus, jei iš esmės keičiasi paslauga, rizikos profilis ar turimi ištekliai.
Ką parodo CIS Controls vertinimas.
Vertinimas prasmingas tik aprašytoje aprėptyje. Užfiksuokite, kokia versija ir pasirinkimas įvertinti, kokios sistemos apimtos ir kokiais įrodymais remiasi rezultatas. Savęs vertinimas gali struktūruoti darbą; grupės žyma ar vienas bendras balas dar nepaaiškina tikrojo įgyvendinimo.
CIS Controls Assessment Specification suteikia pagrindą bendram apsaugos priemonių vertinimo supratimui. Viešoje dokumentacijoje pateikiama v8.1 versija. Konkrečią procedūrą ir jūsų tikslui reikalingas imtis reikia suderinti prieš vertinimą; ši apžvalga neatkuria atskirų tikrinimo instrukcijų.
CIS Controls Accreditation taikoma kvalifikuotiems diegimo, audito ar vertinimo paslaugų teikėjams. Viešame programos puslapyje aprašomas jų kompetencijos patvirtinimas ir tinkamo teikėjo pasirinkimas. Tai reikia atskirti nuo kliento organizacijos vertinimo. Iš to nekyla nei bendras sertifikatas kiekvienam Controls naudotojui, nei fiksuotas jo paties įgyvendinimo įrašų galiojimo laikas.
Papildomai nagrinėkite kitas sistemas.
NIST CSF struktūruoja siekiamus saugumo rezultatus, o CIS Controls padeda nustatyti praktinio apsaugos darbo prioritetus. ISO 27001 skirtas vadybos sistemai ir nepriklausomam jos sertifikavimui. NIST SP 800-53 siūlo platesnį saugumo ir privatumo kontrolės priemonių katalogą. PCI DSS nustato atskirus mokėjimo kortelių duomenų apsaugos reikalavimus; pasirinktos Controls priemonės nepakeičia atitinkamo įrodymo.
„Secani“ sistemoje.
„Secani“ pateikia savo redakcinį įmonių katalogą, pagrįstą CIS Controls v8.1. Profilio duomenys, be kita ko, apima sutartą įgyvendinimo grupę, debesiją, OT ir savą programinės įrangos kūrimą. Grupės laikomos kaupiamuoju prioritetų nustatymu, o ne sertifikavimu ar brandos vertinimu; katalogas nėra oficialus CIS vertimas, o nepriklausomas specialistų patvirtinimas dar negautas.
Pradėkite nuo pagrįsto darbo pagrindo.
Pasirinkite paslaugą, kurios apsaugos praktiką reikia atsekamai pagerinti. Su atsakingais asmenimis suderinkite aprėptį, naudojamą versiją ir tinkamą įgyvendinimo grupę. Užfiksuokite, kas priima sprendimus dėl papildomų priemonių ar priimtos rizikos.
Tada patikrinkite, kokie veiklos įrodymai jau yra šiai aprėpčiai ir kokias išvadas jie leidžia daryti. Suplanuokite trūkstamą darbą, atsakinguosius ir terminus. Taip sukuriama patikrinama užduotis prieš išplečiant didelę priemonių programą visai organizacijai.
Dažniausi klausimai.
Ne. Įgyvendinimo grupės nustato kaupiamojo pasirinkimo prioritetus pagal riziką ir išteklius; tai nėra sertifikavimo ar bendra brandos skalė.
Taip. IG2 prie 56 IG1 apsaugos priemonių prideda dar 74; IG3 vėliau prideda 23 ir taip apima visas 153.
Ne. Controls aprašo bendras apsaugos praktikas, o Benchmarks – konkrečių produktų ir technologijų saugumo stiprinimą; todėl konfigūracijos patikra automatiškai neįvertina viso Controls įgyvendinimo.
Ne. Pasirinktas Controls darbo pagrindas ir nepriklausomas ISMS vertinimas reiškia skirtingus dalykus; papildomus teisinius ar sutartinius įrodymų reikalavimus reikia tikrinti atskirai.
Atsekamai nustatykite apsaugos darbo prioritetus.
Aptarkite, kaip galite tvarkyti pasirinktą aprėptį, atsakomybes ir įrodymus „Secani“ sistemoje.
Šiame puslapyje CIS Controls aiškinamos savais žodžiais; jis nepakeičia leidėjo publikacijų ar profesinio vertinimo. Lemiamą reikšmę turi sutarta versija, nagrinėjama aprėptis ir atitinkami taikomi reikalavimai.