Was die CIS Controls sind
Das Center for Internet Security veröffentlicht achtzehn Controls, jeweils aufgeteilt in Schutzmaßnahmen (Safeguards): konkrete Schritte wie ein Inventar der Geräte führen, sie sicher konfigurieren, Schwachstellen managen, Administratorrechte kontrollieren, Audit-Logs aufbewahren, E-Mail und Browser schützen, Schadsoftware abwehren, Daten wiederherstellen, Personal schulen, Dienstleister steuern, Anwendungen testen, auf Vorfälle reagieren und Penetrationstests durchführen. Version 8.1 von 2024 hat die Schutzmaßnahmen am NIST Cybersecurity Framework 2.0 ausgerichtet und Governance als Funktion ergänzt.
Die Schutzmaßnahmen sind in drei Implementation Groups eingeteilt. IG1 ist die Basis, die jede Organisation erfüllen sollte. IG2 ergänzt, was eine Organisation mit sensiblen Daten und eigenem IT-Personal braucht. IG3 richtet sich an Organisationen, die es mit entschlossenen Angreifern zu tun haben.
Was ein Fragebogen auf Basis der CIS Controls fragt
Kunden, die mit den CIS Controls arbeiten, oft im öffentlichen Sektor, im Gesundheitswesen und in US-Unternehmen, stellen Fragen, die sich wie eine Checkliste lesen: Führen Sie ein Inventar aller Geräte und Software des Unternehmens, wie schnell werden kritische Patches eingespielt, ist Multi-Faktor-Authentifizierung für Fern- und Administratorzugriff Pflicht, werden Audit-Logs aufbewahrt und wie lange, sind Backups isoliert und getestet, welche Implementation Group erfüllen Sie. Die Fragen sind konkret, und die erwarteten Antworten sind es auch.
Antworten als Lieferant
Beantworten Sie jede Schutzmaßnahme damit, was getan wird, wie und wie oft, und wo der Nachweis liegt. „Kritische Patches innerhalb von 14 Tagen, verfolgt im Schwachstellenscanner, Ausnahmen vom CTO freigegeben“ beantwortet eine Frage zum Patching. Wenn Sie sich selbst an den Controls messen, nennen Sie die Implementation Group, die Sie erfüllen, und hängen Sie die Bewertung an; das CIS stellt dafür ein kostenloses Tool bereit. Wo eine Schutzmaßnahme bei Ihrem Hosting-Anbieter liegt, etwa bei den physischen Servern, sagen Sie das und verweisen Sie auf dessen Zertifizierung.
Die technischen Antworten überschneiden sich mit fast jedem anderen Fragebogen. Dieselben Fakten zu Patching, Zugriff, Protokollierung und Backups beantworten ISO 27001, SOC 2 und den SIG, halten Sie sie also an einem Ort.
In Responsemate
Die Antwort zu jeder Schutzmaßnahme liegt einmal in der Wissensdatenbank, mit Nachweis und Ablaufdatum, und jeder Fragebogen wird daraus entworfen, mit den Quellen in der jeweiligen Zeile. Wissen in Responsemate.
Häufige Fragen
Können wir uns nach den CIS Controls zertifizieren lassen?
Nein. Eine CIS-Zertifizierung gibt es nicht. Kunden fragen, welche Implementation Group Sie erfüllen, und verlangen Nachweise für die Schutzmaßnahmen, und manche Prüfer bewerten im Rahmen anderer Prüfungen auch anhand der Controls.
Welche Implementation Group sollte ein kleiner SaaS-Anbieter anstreben?
Mindestens Implementation Group 1, die das Center for Internet Security als grundlegende Cyberhygiene bezeichnet. Die meisten Kunden, die mit den CIS Controls arbeiten, erwarten von einem SaaS-Anbieter, dass er IG1 vollständig und IG2 in Teilen erfüllt.