CIS Controls.
Nosakiet kiberaizsardzības prioritātes, pamatojiet piemēroto ieviešanas grupu un izsekojami pārbaudiet ieviešanu savā darbībā.
- CIS Critical Security Controls v8.1
- Autors: Jonathan Bezdek
- Aktualizēts: 22.10.2026
- Lasīšanas laiks: 7 min.
Īsā atbilde.
CIS Controls ir Center for Internet Security prioritāri ieteikumi kiberaizsardzībai. Versija 8.1 sakārto 153 aizsardzības pasākumus jeb Safeguards 18 tematiskajās jomās. Ieviešanas grupas palīdz sākt atbilstoši riskiem un pieejamajiem resursiem. Grupas papildina cita citu; dokumentēta ieviešana automātiski nav ne sertifikācija, ne visu likumā noteikto pienākumu izpildes apliecinājums.
CIS Controls v8.1 kā praktiska orientācija.
CIS Controls strukturē sistēmu un tīklu aizsardzības prakšu atlasi. Control ir tematiska joma; saistītie Safeguards apraksta konkrētākus rīcības laukus. Izdevēja v8.1 lapa šo redakciju raksturo kā v8 iteratīvu pārskatījumu, cita starpā ar precizētiem jēdzieniem, pielāgotām aktīvu klasēm un saikni ar NIST CSF 2.0.
Ieteikumi nav vispārēji piemērojams likuma pienākums. Organizācija var vienoties tos izmantot par darba pamatu; klienti vai līgumi var pieprasīt noteiktus apliecinājumus. CIS biežākie jautājumi skaidri norāda, ka kontroles neaizstāj citas regulatīvās vai formālās apliecināšanas procedūras. Tādēļ atlasei jāatbilst pašu pakalpojumiem un papildu saistībām.
CIS Controls un CIS Benchmarks ir atšķirīgi uzdevumi. Kontroles attiecas uz vispārīgu aizsardzības praksi, bet etaloni — uz noteiktu produktu un tehnoloģiju drošu konfigurāciju. Konfigurācijas konstatējums var palīdzēt ieviešanas novērtēšanā, bet neatbild uz visiem organizatoriskajiem jautājumiem. Šo nošķīrumu izdevējs apraksta Controls biežākajos jautājumos.
Izvēlieties ieviešanas grupas pēc riskiem un resursiem.
Ieviešanas grupas palīdz dažāda lieluma organizācijām noteikt prioritātes. Saskaņā ar CIS grupu pārskatu būtisks ir riska profils un pieejamie resursi. IG1 ietver 56 pamata aizsardzības pasākumus; CIS iesaka šo sākumpunktu katrai organizācijai. Ierobežoti drošības resursi izskaidro ievirzi, bet nerada vispārēju izņēmumu plašākiem riskiem vai līguma prasībām.
IG2 papildina IG1 atlasi ar 74 aizsardzības pasākumiem lielākai darbības sarežģītībai. Izdevēja lapa cita starpā apraksta savus IT atbildīgos, dažādas nodaļas un sensitīvāku informāciju. Tādēļ IG2 nenozīmē strādāt tikai ar papildu punktiem un izlaist pamatus. Izšķirošs ir viss saskaņotais aptvērums.
IG3 pievieno vēl 23 aizsardzības pasākumus un tādējādi aptver visus 153. CIS šim nolūkam cita starpā apraksta specializētu drošības kompetenci un mērķētu uzbrukumu izvērtēšanu. Šīs grupas nav vispārēja brieduma skala: izvēlētā grupa pati par sevi nepasaka, vai tās pasākumi darbojas un kādus atlikušos riskus organizācija pieņēmusi.
Kiberaizsardzības svarīgākās darba jomas.
Tālāk minētās sešas jomas ir autoru veidots CIS Controls darba apkopojums; tās nav jauna oficiāla kataloga struktūra. Konkrētajai atlasei noteicoša paliek publicētā redakcija, saskaņotā ieviešanas grupa un izvērtētā darbība.
Izprast resursus un datus.
Aizsardzības lēmumiem vajadzīgs izsekojams pārskats par faktiski izmantotajām sistēmām, programmatūru un informāciju. Praktiskā sagatavošanā atbildīgajiem jānoskaidro, kāds pakalpojums tiek izvērtēts un kādas atkarības to nodrošina. Resursu saraksts zaudē vērtību, ja darbības izmaiņas tajā vairs nenonāk vai neviens nevar novērtēt tā pilnīgumu.
Sasaistīt drošu konfigurāciju un ievainojamību darbu.
Konfigurācija, atbalstīta programmatūra un zināmu ievainojamību apstrāde ir savstarpēji saistītas. Ieviešanai līdzās tehniskajai prasībai ieteicams noteikt atbildību un izmaiņu ceļu. Produktam specifiski etaloni var palīdzēt konfigurācijas novērtēšanā; tie neaizstāj lēmumu, kuras sistēmas un darbības nosacījumi ietilpst novērtējumā.
Pārvaldīt identitātes un piekļuvi.
Tiesībām jāatbilst uzdevumiem un aizsardzības vajadzībām. Praktiskā novērtēšanā jāaplūko gan iestatījumi, gan darba soļi personu pievienošanās, lomas maiņas un aiziešanas laikā. Pareizi iestatīts konta veids vēl nepierāda, ka novecojusi piekļuve tiek uzticami atklāta un atņemta; tam palīdz piemēroti darbības ieraksti.
Saskaņot novērošanu un reaģēšanu.
Drošības informācijai jānonāk pie personām, kas to spēj novērtēt un apstrādāt. Ieviešanai noskaidrojiet, kurš pārbauda paziņojumus, kā incidents tiek nodots tālāk un kurš aizvietotājs iesaistās. Rīka pieejamība vien šo atbildību neizskaidro. Izmēģināts reaģēšanas uzdevums var parādīt, vai saskaņotais process patiešām darbojas.
Ņemt vērā atjaunošanu un pakalpojumu sniedzējus.
Izvērtētais pakalpojums bieži ir atkarīgs no rezerves kopijām, ārējiem pakalpojumiem un saskaņotiem atbalsta ceļiem. Praktiski pārbaudiet, kurš pārtraukuma gadījumā kādu pakalpojumu var atjaunot un kāda informācija tam vajadzīga. Pierādījumam jāparāda pašu izmantošanas aptvērums; pakalpojumu sniedzēja ziņojums automātiski neatbild uz visiem tā klientu uzdevumiem.
Iesaistīt cilvēkus un pārbaudi.
Aizsardzības praksei vajadzīgi saprotami uzdevumi un to ieviešanas novērtējums. Kā darba palīglīdzekli komandas var fiksēt, kurš īsteno pasākumu, kāds novērojums parāda tā stāvokli un kad jāveic atkārtota pārbaude. Pielāgojumi ir lietderīgi, mainoties pakalpojumiem, draudiem vai atbildībai. Vienreiz aizpildīta anketa šādas izmaiņas pati neatspoguļo.
CIS Controls piemērošana soli pa solim.
Norobežot izvērtēto pakalpojumu.
Praktiski sākot darbu, aprakstiet pakalpojumu, tā sistēmas, informāciju un ārējās atkarības tā, lai vēlākajam novērtējumam būtu redzama robeža.
Pamatot grupu un papildu prasības.
Izvēlieties ieviešanas grupu, pamatojoties uz riskiem un resursiem, un fiksējiet, kādas citas likuma vai līgumu prasības jāņem vērā atsevišķi.
Vienoties par ieviešanu un atbildību.
Pārvērtiet izvēlēto darba pamatu konkrētos uzdevumos un katram norādiet personu ar atbilstošu atbildību un pilnvarām.
Apkopot darbības ierakstus.
Sasaistiet ieviešanu ar piemērotām konfigurācijām, pārbaudes ierakstiem vai procesu pierādījumiem un norādiet to aptvērumu un izvērtēto periodu.
Sasaistīt novērtēšanu un pilnveidi.
Pārbaudiet pierādījumu nozīmi, apstrādājiet konstatētās neatbilstības un nosakiet, kā varēs atpazīt korekcijas iedarbību.
Pieņemt jaunus lēmumus izmaiņu gadījumā.
Atkārtoti pārbaudiet atlasi, atbildību un pierādījumus, ja būtiski mainās pakalpojums, riska profils vai pieejamie resursi.
Ko apliecina CIS Controls novērtējums.
Novērtējums ir nozīmīgs tikai tā aprakstītajā aptvērumā. Fiksējiet, kāda redakcija un atlase novērtēta, kādas sistēmas aptvertas un uz kādiem pierādījumiem rezultāts balstās. Pašnovērtējums var strukturēt darbu; grupas apzīmējums vai viens kopējais rādītājs vēl neizskaidro faktisko ieviešanu.
CIS Controls Assessment Specification piedāvā pamatu kopīgai izpratnei par aizsardzības pasākumu novērtēšanu. Publiskajā dokumentācijā norādīta v8.1 redakcija. Pirms pārbaudes jāvienojas, kāda konkrēta procedūra un izlases vajadzīgas jūsu mērķim; šis pārskats neatveido atsevišķas pārbaudes instrukcijas.
CIS Controls Accreditation attiecas uz kvalificētiem ieviešanas, audita vai novērtēšanas pakalpojumu sniedzējiem. Publiskā programmas lapa apraksta to kompetences apliecināšanu un piemērota pakalpojumu sniedzēja izvēli. Tas jānošķir no klienta organizācijas novērtēšanas. No tā neizriet ne vispārējs sertifikāts katram Controls lietotājam, ne fiksēts pašu ieviešanas ierakstu derīguma termiņš.
Citus ietvarus aplūkojiet papildinoši.
NIST CSF strukturē vēlamos drošības rezultātus, savukārt CIS Controls palīdz noteikt praktiskā aizsardzības darba prioritātes. ISO 27001 aplūko pārvaldības sistēmu un tās neatkarīgo sertifikāciju. NIST SP 800-53 piedāvā plašāku drošības un datu aizsardzības kontroļu katalogu. PCI DSS nosaka atsevišķas prasības maksājumu karšu datu aizsardzībai; Controls atlase neaizstāj attiecīgo apliecinājumu.
Secani vidē.
Secani nodrošina pašu izstrādātu uzņēmumu katalogu uz CIS Controls v8.1 pamata. Profila informācija cita starpā aptver saskaņoto ieviešanas grupu, mākoni, OT un pašu programmatūras izstrādi. Grupas tiek uzskatītas par kumulatīvu prioritāšu noteikšanu, nevis sertifikāciju vai brieduma novērtējumu; katalogs nav oficiāls CIS tulkojums, un tā neatkarīgais profesionālais apstiprinājums vēl nav saņemts.
Sāciet ar pamatotu darba bāzi.
Izvēlieties pakalpojumu, kura aizsardzības prakse izsekojami jāpilnveido. Vienojieties ar atbildīgajiem par aptvērumu, izmantoto redakciju un piemēroto ieviešanas grupu. Fiksējiet, kurš pieņem lēmumus par papildu pasākumiem vai pieņemamiem riskiem.
Pēc tam šim aptvērumam pārbaudiet, kādi darbības pierādījumi jau ir pieejami un kādus secinājumus tie ļauj izdarīt. Plānojiet trūkstošo darbu ar atbildīgajiem un termiņiem. Tā rodas pārbaudāms uzdevums, pirms plaša pasākumu programma tiek attiecināta uz visu organizāciju.
Avoti.
Biežākie jautājumi.
Nē. Ieviešanas grupas nosaka kumulatīvas atlases prioritātes pēc riskiem un resursiem; tās nav sertifikācijas vai vispārēja brieduma skala.
Jā. IG2 papildina IG1 56 aizsardzības pasākumus ar vēl 74; IG3 pēc tam pievieno 23 un tādējādi aptver visus 153.
Nē. Controls apraksta vispārīgas aizsardzības prakses, bet Benchmarks — noteiktu produktu un tehnoloģiju nostiprināšanu; tādēļ konfigurācijas pārbaude automātiski nenovērtē visu Controls ieviešanu.
Nē. Izvēlētam Controls darba pamatam un neatkarīgam ISMS novērtējumam ir atšķirīgi secinājumi; papildu likuma vai līgumu apliecināšanas prasības jāpārbauda atsevišķi.
Izsekojami nosakiet aizsardzības darba prioritātes.
Pārrunājiet, kā pārvaldīt izvēlēto aptvērumu, atbildību un pierādījumus Secani vidē.
Šī lapa saviem vārdiem skaidro CIS Controls un neaizstāj izdevēja publikācijas vai profesionālu pārbaudi. Noteicoša ir saskaņotā redakcija, izvērtētais aptvērums un attiecīgi piemērojamās prasības.