CIS Controls.
Prioritera cyberförsvar, motivera lämplig Implementation Group och granska genomförandet spårbart i den egna driften.
- CIS Critical Security Controls v8.1
- Av Jonathan Bezdek
- Aktuellt per: 2026-10-22
- Lästid: 7 min.
Kort svar.
CIS Controls är Center for Internet Securitys prioriterade rekommendationer för cyberförsvar. Version 8.1 ordnar 153 Safeguards i 18 temaområden. Implementation Groups hjälper till att börja utifrån risker och tillgängliga resurser. Grupperna bygger på varandra. Dokumenterat genomförande är varken automatiskt en certifiering eller underlag för alla lagstadgade skyldigheter.
CIS Controls v8.1 som praktisk vägledning.
CIS Controls strukturerar valet av skyddsrutiner för system och nätverk. En Control är ett temaområde. Tillhörande Safeguards beskriver mer konkreta handlingsområden. Utgivarsidan för v8.1 beskriver versionen som en iterativ revidering av v8, bland annat med preciserade begrepp, anpassade tillgångsklasser och koppling till NIST CSF 2.0.
Rekommendationerna är ingen allmänt gällande lagstadgad skyldighet. En organisation kan avtala om dem som arbetsgrund. Kunder eller avtal kan kräva vissa underlag. CIS:s vanliga frågor klargör uttryckligen att Controls inte ersätter andra regulatoriska eller formella valideringsförfaranden. Urvalet bör därför passa egna tjänster och ytterligare förpliktelser.
CIS Controls och CIS Benchmarks har olika uppgifter. Controls gäller allmän skyddspraxis, Benchmarks säker konfiguration av vissa produkter och tekniker. Ett konfigurationsfynd kan stödja en genomförandebedömning men besvarar inte alla organisatoriska frågor. Utgivaren beskriver avgränsningen i sina Controls-frågor.
Välj Implementation Groups utifrån risker och resurser.
Implementation Groups hjälper organisationer av olika storlek att prioritera. Enligt CIS:s gruppöversikt räknas riskprofil och tillgängliga resurser. IG1 omfattar 56 grundläggande Safeguards. CIS rekommenderar denna start för varje organisation. Begränsade säkerhetsresurser förklarar inriktningen men motiverar inget generellt undantag från ytterligare risker eller avtalskrav.
IG2 kompletterar IG1-urvalet med 74 Safeguards för större operativ komplexitet. Utgivarsidan beskriver bland annat egna IT-ansvariga, olika avdelningar och känsligare information. IG2 innebär därför inte att enbart arbeta med tilläggen och utelämna grunderna. Hela den överenskomna omfattningen är avgörande.
IG3 lägger till ytterligare 23 Safeguards och omfattar därmed alla 153. CIS beskriver bland annat specialiserad säkerhetskompetens och hantering av riktade angrepp. Grupperna är ingen allmän mognadsskala. En vald grupp säger i sig varken om åtgärderna fungerar eller vilka kvarvarande risker organisationen har accepterat.
Cyberförsvarets viktigaste arbetsområden.
Följande sex områden samlar arbetet med CIS Controls redaktionellt. De är ingen ny officiell katalogstruktur. För det konkreta urvalet är publicerad version, överenskommen Implementation Group och aktuell drift fortsatt avgörande.
Förstå tillgångar och data.
Skyddsbeslut behöver en spårbar överblick över system, programvara och information som faktiskt används. Som praktisk förberedelse bör ansvariga klargöra vilken tjänst som bedöms och vilka beroenden som bär upp den. En tillgångslista förlorar sitt värde om driftsförändringar inte längre förs in eller ingen kan bedöma fullständigheten.
Koppla samman säker konfiguration och sårbarhetsarbete.
Konfiguration, programvara som stöds och hantering av kända sårbarheter samverkar. För genomförandet rekommenderas att utöver tekniska regler fastställa ansvar och ändringsväg. Produktspecifika Benchmarks kan hjälpa till att bedöma konfigurationen. De ersätter inte beslutet om vilka system och driftsförhållanden som ingår i bedömningen.
Hantera identiteter och åtkomst.
Behörigheter måste passa uppgifter och skyddsbehov. En praktisk bedömning bör omfatta både inställningar och arbetssteg när personer börjar, byter roll eller slutar. En korrekt konfigurerad kontotyp visar inte att föråldrade åtkomster upptäcks och tas bort tillförlitligt. Lämplig driftsdokumentation hjälper till att styrka detta.
Samordna observation och respons.
Säkerhetsinformation måste nå personer som kan bedöma och hantera den. Klargör vid genomförandet vem som granskar meddelanden, hur en incident lämnas vidare och vilken ersättare som träder in. Enbart tillgång till ett verktyg förklarar inte ansvaret. En prövad responsuppgift kan visa om överenskommen rutin faktiskt fungerar.
Beakta återställning och leverantörer.
Den aktuella leveransen beror ofta på säkerhetskopior, externa tjänster och avtalade stödvägar. Pröva praktiskt vem som kan återställa vilken leverans vid ett avbrott och vilken information som behövs. Ett underlag bör visa den egna användningsomfattningen. En leverantörsrapport besvarar inte automatiskt alla kundernas uppgifter.
Involvera människor och granskning.
Skyddspraxis behöver begripliga uppgifter och bedömning av genomförandet. Som hjälpmedel kan team dokumentera vem som driver en åtgärd, vilken observation som visar dess tillstånd och när nästa granskning ska ske. Anpassningar är meningsfulla när tjänster, hot eller ansvar ändras. Ett frågeformulär som fyllts i en gång återspeglar inte sådana förändringar av sig självt.
Tillämpa CIS Controls stegvis.
Avgränsa den aktuella tjänsten.
Börja praktiskt med att beskriva tjänsten, dess system, information och externa beroenden så att senare bedömning får en tydlig gräns.
Motivera grupp och ytterligare krav.
Välj en Implementation Group utifrån risker och resurser och dokumentera vilka ytterligare lagkrav eller avtalskrav som ska beaktas separat.
Kom överens om genomförande och ansvar.
Omsätt vald arbetsgrund i konkreta uppgifter och utse för varje uppgift en person med lämpligt ansvar och befogenhet.
Samla driftsdokumentation.
Koppla genomförandet till lämpliga konfigurationer, granskningsnoteringar eller processunderlag och ange deras omfattning och aktuell period.
Koppla samman bedömning och förbättring.
Pröva underlagens bevisvärde, hantera upptäckta avvikelser och fastställ hur effekten av en korrigering ska kunna ses.
Besluta på nytt vid förändringar.
Ompröva urval, ansvar och underlag när tjänst, riskprofil eller tillgängliga resurser förändras väsentligt.
Vad en CIS Controls-bedömning säger.
En bedömning är meningsfull endast inom sin beskrivna omfattning. Dokumentera vilken version och vilket urval som bedömts, vilka system som omfattas och vilka underlag resultatet bygger på. En självbedömning kan strukturera arbetet. En gruppbeteckning eller ett enda totalvärde förklarar inte ensamt det faktiska genomförandet.
CIS Controls Assessment Specification ger en grund för gemensam förståelse av bedömningen av Safeguards. Den offentliga dokumentationen innehåller en version för v8.1. Vilket konkret förfarande och vilka stickprov ert syfte behöver ska avtalas före granskningen. Denna översikt återskapar inga enskilda granskningsanvisningar.
CIS Controls Accreditation gäller kvalificerade leverantörer av genomförande-, revisions- eller bedömningstjänster. Den offentliga programsidan beskriver kompetensbekräftelsen och valet av lämplig leverantör. Detta ska skiljas från bedömningen av kundorganisationen. Därav följer varken ett allmänt certifikat för varje Controls-användare eller en fast giltighetstid för dennes egen genomförandedokumentation.
Bedöm andra ramverk som komplement.
NIST CSF strukturerar önskade säkerhetsresultat, medan CIS Controls hjälper till att prioritera praktiskt skyddsarbete. ISO 27001 behandlar ledningssystemet och dess oberoende certifiering. NIST SP 800-53 erbjuder en bredare katalog över säkerhets- och dataskyddskontroller. PCI DSS ställer separata krav på skyddet av betalkortsuppgifter. Ett Controls-urval ersätter inte respektive underlag.
I Secani.
Secani erbjuder en egen redaktionell företagskatalog baserad på CIS Controls v8.1. Profiluppgifter omfattar bland annat överenskommen Implementation Group, moln, OT och egen programvaruutveckling. Grupperna behandlas som kumulativ prioritering, inte som certifiering eller mognadsbedömning. Katalogen är ingen officiell CIS-översättning och oberoende sakkunnigt godkännande återstår.
Börja med en motiverad arbetsgrund.
Välj en tjänst vars skyddspraxis ska förbättras spårbart. Kom överens med ansvariga om omfattning, tillämpad version och lämplig Implementation Group. Dokumentera vem som beslutar om ytterligare åtgärder eller accepterade risker.
Pröva sedan vilka driftsunderlag som redan finns för denna omfattning och vilka uttalanden de tillåter. Planera saknat arbete med ansvariga och datum. Därmed uppstår en verifierbar uppgift innan ett omfattande åtgärdsprogram utvidgas till hela organisationen.
Källor.
Vanliga frågor.
Nej. Implementation Groups prioriterar ett kumulativt urval utifrån risker och resurser. De är ingen certifieringsskala eller allmän mognadsskala.
Ja. IG2 lägger till 74 Safeguards till de 56 i IG1. IG3 lägger sedan till 23 och omfattar därmed alla 153.
Nej. Controls beskriver allmänna skyddsrutiner, Benchmarks härdning av vissa produkter och tekniker. En konfigurationsgranskning bedömer därför inte automatiskt hela Controls-genomförandet.
Nej. En vald Controls-arbetsgrund och en oberoende ISMS-bedömning gör olika uttalanden. Ytterligare lagkrav eller avtalskrav på underlag ska fortsatt prövas separat.
Prioritera skyddsarbetet spårbart.
Diskutera hur ni kan arbeta med vald omfattning, ansvar och underlag i Secani.
Denna sida förklarar CIS Controls med egna ord och ersätter inte utgivarens publikationer eller sakkunnig granskning. Överenskommen version, aktuell omfattning och respektive gällande krav är avgörande.