Hvad CIS Controls er
Center for Internet Security udgiver atten Controls, der hver er opdelt i sikkerhedstiltag: konkrete handlinger som at føre en oversigt over enheder, konfigurere dem sikkert, styre sårbarheder, begrænse administratorrettigheder, gemme revisionslogs, beskytte e-mail og browsere, forsvare mod malware, gendanne data, uddanne medarbejderne, styre serviceudbydere, teste applikationer, håndtere hændelser og gennemføre penetrationstests. Version 8.1 fra 2024 tilpassede sikkerhedstiltagene til NIST Cybersecurity Framework 2.0 og tilføjede governance som funktion.
Sikkerhedstiltagene er inddelt i tre Implementation Groups. IG1 er det grundniveau, enhver organisation bør opfylde. IG2 tilføjer det, en organisation med følsomme data og egne IT-medarbejdere har brug for. IG3 er til organisationer, der står over for målrettede angribere.
Hvad et CIS-baseret spørgeskema spørger om
Kunder, der bruger CIS Controls, ofte i den offentlige sektor, i sundhedssektoren og i amerikanske virksomheder, stiller spørgsmål, der læses som en tjekliste: fører du en oversigt over alle virksomhedens enheder og al software, hvor hurtigt installeres kritiske patches, kræves multifaktorgodkendelse ved fjernadgang og administratoradgang, gemmes revisionslogs og i hvor lang tid, er backups isolerede og testede, hvilken Implementation Group opfylder du. Spørgsmålene er konkrete, og det samme er de svar, de forventer.
At svare som leverandør
Besvar hvert sikkerhedstiltag med, hvad der gøres, hvordan og hvor ofte, og hvor dokumentationen findes. "Kritiske patches inden for 14 dage, fulgt i sårbarhedsscanneren, undtagelser godkendt af CTO'en" besvarer et spørgsmål om patching. Vurderer du dig selv op mod Controls, så angiv, hvilken Implementation Group du opfylder, og vedhæft vurderingen; CIS udgiver et gratis værktøj til det. Hvor et sikkerhedstiltag hører under din hostingudbyder, for eksempel de fysiske servere, så sig det, og henvis til udbyderens certificering.
De tekniske svar overlapper med næsten alle andre spørgeskemaer. De samme fakta om patching, adgang, logning og backups besvarer ISO 27001, SOC 2 og SIG, så hold dem samlet ét sted.
I Responsemate
Svaret for hvert sikkerhedstiltag ligger ét sted i vidensbasen med dokumentationen og dens udløbsdato vedhæftet, og hvert spørgeskema udarbejdes ud fra det med kilderne vist på rækken. Viden i Responsemate.
Spørgsmål, folk stiller
Kan vi blive certificeret efter CIS Controls?
Nej. Der findes ingen CIS-certificering. Kunderne spørger, hvilken Implementation Group du opfylder, og beder om dokumentation for sikkerhedstiltagene, og nogle revisorer vurderer op mod kontrollerne som en del af andet arbejde.
Hvilken Implementation Group bør en lille SaaS-leverandør sigte efter?
Som minimum Implementation Group 1, som Center for Internet Security kalder grundlæggende cyberhygiejne. De fleste kunder, der bruger CIS Controls, forventer, at en SaaS-leverandør opfylder IG1 fuldt ud og dele af IG2.