Vad CIS Controls är
Center for Internet Security publicerar arton kontroller, var och en uppdelad i skyddsåtgärder: konkreta åtgärder som att föra en förteckning över enheter, konfigurera dem säkert, hantera sårbarheter, begränsa administratörsbehörigheter, spara granskningsloggar, skydda e-post och webbläsare, försvara mot skadlig kod, återställa data, utbilda personal, hantera tjänsteleverantörer, testa applikationer, hantera incidenter och genomföra penetrationstester. Version 8.1 från 2024 anpassade skyddsåtgärderna till NIST Cybersecurity Framework 2.0 och lade till styrning som funktion.
Skyddsåtgärderna är indelade i tre Implementation Groups. IG1 är den grundnivå som varje organisation bör uppfylla. IG2 lägger till det som en organisation med känsliga data och egen IT-personal behöver. IG3 är för organisationer som möter målmedvetna angripare.
Vad ett CIS-baserat frågeformulär frågar om
Kunder som använder CIS Controls, ofta inom offentlig sektor, vården och amerikanska företag, ställer frågor som liknar en checklista: för ni en förteckning över alla företagets enheter och all programvara, hur snabbt installeras kritiska patchar, krävs flerfaktorsautentisering för fjärråtkomst och administratörsåtkomst, sparas granskningsloggar och hur länge, är säkerhetskopiorna isolerade och testade, vilken Implementation Group uppfyller ni. Frågorna är konkreta, och det är svaren de förväntar sig också.
Att svara som leverantör
Besvara varje skyddsåtgärd med vad som görs, hur och hur ofta, och var underlaget finns. ”Kritiska patchar inom 14 dagar, spårade i sårbarhetsskannern, undantag godkända av CTO:n” besvarar en fråga om patchning. Om du bedömer dig själv mot kontrollerna, ange vilken Implementation Group du uppfyller och bifoga bedömningen; CIS publicerar ett kostnadsfritt verktyg för det. Där en skyddsåtgärd tillhör din hostingleverantör, som de fysiska servrarna, säg det och hänvisa till dess certifiering.
De tekniska svaren överlappar med nästan alla andra frågeformulär. Samma fakta om patchning, åtkomst, loggning och säkerhetskopior besvarar ISO 27001, SOC 2 och SIG, så håll dem på ett ställe.
I Responsemate
Svaret för varje skyddsåtgärd ligger en gång i kunskapsbasen, med underlaget och dess utgångsdatum bifogade, och varje frågeformulär skrivs som utkast utifrån det med källorna synliga på raden. Kunskap i Responsemate.
Vanliga frågor
Kan vi certifieras mot CIS Controls?
Nej. Det finns ingen CIS-certifiering. Kunder frågar vilken Implementation Group du uppfyller och efter underlag för skyddsåtgärderna, och vissa revisorer bedömer mot kontrollerna som en del av annat arbete.
Vilken Implementation Group bör en liten SaaS-leverantör sikta på?
Minst Implementation Group 1, som Center for Internet Security kallar grundläggande cyberhygien. De flesta kunder som använder CIS Controls förväntar sig att en SaaS-leverantör uppfyller IG1 fullt ut och delar av IG2.