Hva CIS Controls er
Center for Internet Security publiserer atten Controls, hver delt inn i safeguards: konkrete tiltak som å holde oversikt over enheter, konfigurere dem sikkert, håndtere sårbarheter, styre administratorrettigheter, føre revisjonslogger, beskytte e-post og nettlesere, verne mot skadevare, gjenopprette data, lære opp ansatte, styre tjenesteleverandører, teste applikasjoner, håndtere hendelser og gjennomføre penetrasjonstester. Versjon 8.1, fra 2024, tilpasset safeguards til NIST Cybersecurity Framework 2.0 og la til styring som en egen funksjon.
Safeguards er sortert i tre Implementation Groups. IG1 er grunnlinjen alle organisasjoner bør oppfylle. IG2 legger til det en organisasjon med sensitive data og egne IT-ansatte trenger. IG3 er for organisasjoner som møter målrettede angripere.
Hva et CIS-basert spørreskjema spør om
Kunder som bruker CIS Controls, ofte i offentlig sektor, helsesektoren og amerikanske selskaper, stiller spørsmål som leses som en sjekkliste: har dere oversikt over alle selskapets enheter og all programvare, hvor raskt installeres kritiske oppdateringer, kreves flerfaktorautentisering for fjern- og administratortilgang, føres revisjonslogger og hvor lenge oppbevares de, er sikkerhetskopiene isolert og testet, hvilken Implementation Group oppfyller dere. Spørsmålene er konkrete, og det samme gjelder svarene de forventer.
Å svare som leverandør
Besvar hver safeguard med hva som gjøres, hvordan og hvor ofte, og hvor dokumentasjonen ligger. «Kritiske oppdateringer innen 14 dager, fulgt opp i sårbarhetsskanneren, unntak godkjent av CTO» besvarer et spørsmål om oppdateringer. Vurderer dere dere selv mot kontrollene, si hvilken Implementation Group dere oppfyller og legg ved vurderingen; CIS publiserer et gratis verktøy for det. Der en safeguard hører til hostingleverandøren, som de fysiske serverne, si det og vis til sertifiseringen deres.
De tekniske svarene overlapper med nesten alle andre spørreskjemaer. De samme faktaene om oppdateringer, tilgang, logging og sikkerhetskopier besvarer ISO 27001, SOC 2 og SIG, så hold dem samlet på ett sted.
I Responsemate
Svaret på hver safeguard ligger én gang i kunnskapsbasen, med dokumentasjonen og utløpsdatoen vedlagt, og hvert spørreskjema får utkast fra det med kildene synlige på raden. Kunnskap i Responsemate.
Vanlige spørsmål
Kan vi bli sertifisert etter CIS Controls?
Nei. Det finnes ingen CIS-sertifisering. Kunder spør hvilken Implementation Group dere oppfyller og ber om dokumentasjon på safeguards, og noen revisorer vurderer mot kontrollene som en del av annet arbeid.
Hvilken Implementation Group bør en liten SaaS-leverandør sikte mot?
Minst Implementation Group 1, som Center for Internet Security kaller grunnleggende cyberhygiene. De fleste kunder som bruker CIS Controls, forventer at en SaaS-leverandør oppfyller IG1 fullt ut og deler av IG2.