Wat de CIS Controls zijn
Het Center for Internet Security publiceert achttien Controls, elk onderverdeeld in safeguards: concrete maatregelen zoals een inventaris van apparaten bijhouden, ze veilig configureren, kwetsbaarheden beheren, beheerrechten beperken, auditlogs bewaren, e-mail en browsers beschermen, malware afweren, gegevens herstellen, personeel trainen, dienstverleners beheren, applicaties testen, op incidenten reageren en penetratietests uitvoeren. Versie 8.1, uit 2024, stemde de safeguards af op het NIST Cybersecurity Framework 2.0 en voegde governance toe als functie.
De safeguards zijn ingedeeld in drie Implementation Groups. IG1 is de basis waaraan elke organisatie zou moeten voldoen. IG2 voegt toe wat een organisatie met gevoelige gegevens en eigen IT-personeel nodig heeft. IG3 is bedoeld voor organisaties die met vastberaden aanvallers te maken hebben.
Wat een vragenlijst op basis van CIS vraagt
Klanten die de CIS Controls gebruiken, vaak in de publieke sector, de zorg en bij Amerikaanse bedrijven, stellen vragen die lezen als een checklist: houdt u een inventaris bij van alle apparaten en software van het bedrijf, hoe snel worden kritieke patches geïnstalleerd, is multifactorauthenticatie verplicht voor toegang op afstand en beheertoegang, worden auditlogs bewaard en hoelang, zijn back-ups geïsoleerd en getest, aan welke Implementation Group voldoet u. De vragen zijn concreet, en de antwoorden die ze verwachten ook.
Antwoorden als leverancier
Beantwoord elke safeguard met wat er gebeurt, hoe en hoe vaak, en waar het bewijs staat. “Kritieke patches binnen 14 dagen, gevolgd in de kwetsbaarheidsscanner, uitzonderingen goedgekeurd door de CTO” beantwoordt een vraag over patching. Beoordeelt u uzelf aan de hand van de Controls, zeg dan aan welke Implementation Group u voldoet en voeg de beoordeling bij; het CIS publiceert er een gratis tool voor. Hoort een safeguard bij uw hostingaanbieder, zoals de fysieke servers, zeg dat dan en verwijs naar diens certificering.
De technische antwoorden overlappen met bijna elke andere vragenlijst. Dezelfde feiten over patching, toegang, logging en back-ups beantwoorden ISO 27001, SOC 2 en de SIG, dus bewaar ze op één plek.
In Responsemate
Het antwoord per safeguard staat één keer in de kennisbank, met het bewijs en de vervaldatum erbij, en elke vragenlijst wordt daaruit opgesteld met de bronnen bij de rij. Kennis in Responsemate.
Veelgestelde vragen
Kunnen we ons laten certificeren op basis van de CIS Controls?
Nee. Er bestaat geen CIS-certificering. Klanten vragen aan welke Implementation Group u voldoet en om bewijs van de safeguards, en sommige auditors toetsen aan de Controls als onderdeel van ander werk.
Welke Implementation Group moet een kleine SaaS-leverancier nastreven?
Minstens Implementation Group 1, wat het Center for Internet Security essentiële cyberhygiëne noemt. De meeste klanten die de CIS Controls gebruiken, verwachten dat een SaaS-leverancier volledig aan IG1 voldoet en aan delen van IG2.