CIS Critical Security Controls v8: Overzicht, updates en wat ze betekenen voor uw bedrijf
De CIS Critical Security Controls (CIS Controls) zijn een reeks richtlijnen voor beste practices, opgesteld door het Center for Internet Security (CIS), bedoeld om organisaties te helpen zich te beschermen tegen cyberdreigingen. CIS Controls bestaan sinds 2008 en zijn met elke nieuwe versie steeds uitgebreider en effectiever geworden. De nieuwste versie van de CIS Controls, Versie 8, werd uitgebracht in 2021 en bevat updates en wijzigingen ten opzichte van de vorige Versie 7.
Belang van CIS Controls
CIS Controls zijn belangrijk voor organisaties van elke omvang en uit iedere sector, omdat ze een eenvoudige maar effectieve manier bieden om diverse cyberbeveiligingsprotocollen te implementeren die de kans op een succesvolle cyberaanval aanzienlijk verkleinen. Dit artikel geeft een overzicht van CIS Controls, bespreekt wat er nieuw is in Versie 8, legt uit hoe u CIS Controls implementeert en hoe Kiteworks organisaties kan helpen om aan de CIS Controls-richtlijnen te voldoen.
Overzicht van CIS Critical Controls
CIS Controls zijn ontworpen om organisaties te helpen zich te beschermen tegen de meest voorkomende en succesvolle cyberaanvallen. Het zijn een reeks beste practices en aanbevelingen, ontwikkeld over vele jaren en gebaseerd op de ervaringen van cyberbeveiligingsexperts wereldwijd. Organisaties moeten ze integreren in hun bredere strategie voor risicobeheer cyberbeveiliging.
CIS Controls bieden organisaties een cyberbeveiligingsraamwerk dat de kans verkleint dat een cyberaanval hun systemen compromitteert. CIS Controls zijn onderverdeeld in drie categorieën: Fundamentele Security Controls, Geavanceerde Security Controls en Organisatorische Security Controls.
Fundamentele Security Controls
Fundamentele Security Controls zijn de belangrijkste controls voor organisaties om te implementeren, omdat ze zijn ontworpen om te beschermen tegen de meest voorkomende en succesvolle cyberaanvallen. De controls richten zich op proactieve en preventieve maatregelen, zoals patchbeheer, toegangscontrole voor gebruikers en veilige configuratie.
Geavanceerde Security Controls
Geavanceerde Security Controls zijn bedoeld om organisaties extra bescherming te bieden en zijn doorgaans complexer om te implementeren. Deze controls richten zich op bescherming tegen meer geavanceerde cyberdreigingen en omvatten onderwerpen als verdediging tegen malware en aanvallen op basis van malware, het implementeren van een enterprise security architectuur en het opzetten van incidentrespons.
Organisatorische Security Controls
Organisatorische Security Controls zijn bedoeld om de effectiviteit van de andere twee categorieën controls te waarborgen en richten zich op de ontwikkeling, implementatie en beoordeling van beveiligingsbeleid, procedures, standaarden en richtlijnen.
Wat zijn de meest recente CIS Controls v8?
CIS Controls zijn georganiseerd in 18 controls die de drie categorieën bestrijken. De controls zijn geprioriteerd op basis van belangrijkheid en effectiviteit, zodat organisaties hun middelen eerst kunnen richten op de belangrijkste controls. Ze zijn opnieuw geordend en heringedeeld ten opzichte van de vorige sub-controls. Ze zijn gegroepeerd op basis van verschillende cyberbeveiligingsactiviteiten en omvatten:
1. Inventarisatie en beheer van hardware-assets
Deze control houdt in dat u een nauwkeurige en actuele inventaris van alle hardware-assets, zowel fysiek als virtueel, op het netwerk bijhoudt. Dit helpt organisaties om de toegangspunten voor kwaadwillenden te begrijpen.
2. Inventarisatie en beheer van software-assets
Deze control houdt in dat u een nauwkeurige en actuele inventaris van alle software-assets, zowel open source als commercieel, op het netwerk bijhoudt. Dit helpt organisaties om bekende kwetsbare softwarecomponenten te identificeren.
3. Continu kwetsbaarhedenbeheer
Deze control omvat het monitoren van systeemconfiguraties en het patchen van kwetsbare software- en firmwarecomponenten.
4. Beheersd gebruik van administratieve privileges
Deze control houdt in dat administratieve toegang tot bevoorrechte accounts wordt beperkt tot alleen diegenen met een legitieme toegangsbehoefte. Concepten zoals zero trust zijn hierbij zeer belangrijk.
5. Veilige configuratie van netwerkapparaten
Deze control houdt in dat netwerkapparaten, waaronder routers, switches en firewalls, worden geconfigureerd volgens industriestandaarden en beste practices.
6. Grensverdediging
Deze control houdt in dat een defense-in-depth strategie wordt opgezet om het netwerk te beschermen door meerdere beschermingslagen te implementeren.
7. Onderhoud, monitoring en analyse van logs
Deze control omvat het vastleggen en analyseren van systeem- en gebruikersactiviteitlogs om kwaadaardige activiteiten en potentiële dreigingen te detecteren.
8. E-mail- en webbrowserbescherming
Deze control omvat het gebruik van anti-malware- en webfilteroplossingen om de organisatie te beschermen tegen kwaadaardige e-mails en websites.
9. Malwareverdediging
Deze control omvat het gebruik van anti-malwareoplossingen om kwaadaardige code op het netwerk te detecteren, voorkomen en verwijderen.
10. Beperking en beheer van netwerkpoorten, -protocollen en -diensten
Deze control houdt in dat netwerkcommunicatie wordt beperkt tot alleen de poorten, protocollen en diensten die noodzakelijk zijn voor het functioneren van de organisatie.
11. Gegevensbescherming
Deze control omvat het implementeren van oplossingen om gevoelige gegevens te beschermen tegen ongeautoriseerde toegang, wijziging of openbaarmaking.
12. Draadloze toegangscontrole
Deze control omvat het implementeren van oplossingen om het draadloze netwerk van de organisatie te beveiligen tegen ongeautoriseerde toegang.
13. Accountmonitoring en -beheer
Deze control omvat het monitoren van gebruikersaccounts op verdachte activiteiten en het implementeren van accountvergrendelingsbeleid.
14. Implementatie van een security awareness- en trainingsprogramma
Deze control omvat het implementeren van een security awareness-programma om gebruikers te informeren over beste practices op het gebied van beveiliging.
15. Beveiliging van applicatiesoftware
Deze control omvat het beveiligen van applicaties tegen bekende en opkomende dreigingen door het toepassen van veilige codeerpraktijken, statische en dynamische code-analysetools en applicatiewhitelisting.
16. Incidentrespons en -beheer
Deze control houdt in dat er een plan is voor het reageren op en beheren van beveiligingsincidenten.
17. Penetratietests en red team-oefeningen
Deze control omvat het periodiek uitvoeren van penetratietests en red team-oefeningen om zwakke plekken in de beveiligingsmaatregelen van de organisatie te identificeren.
18. Mogelijkheid tot gegevensherstel
Deze control omvat het implementeren van oplossingen om ervoor te zorgen dat informatie kan worden hersteld in het geval van een calamiteit.
Waarom waren de updates van de CIS Controls nodig?
De updates en wijzigingen in Versie 8 van de CIS Controls waren nodig om organisaties te helpen bij het aanpakken van de nieuwste cyberdreigingen en technologische ontwikkelingen die door kwaadwillenden worden gebruikt. Door het toenemende gebruik van mobiele apparaten, cloud computing en het Internet of Things (IoT), moeten organisaties ervoor zorgen dat ze het juiste beleid en de juiste controls hebben om hun systemen en gegevens te beschermen.
De nieuwe CIS Controls Versie 8 helpen organisaties om hun systemen en gegevens goed te beschermen. Zo helpt Control 14 organisaties om te bepalen welke informatie gedeeld wordt, terwijl Control 15 hen helpt hun draadloze netwerken te beveiligen en te beschermen. Control 16 helpt organisaties bij het monitoren en beheren van gebruikersaccounts, en Control 17 zorgt ervoor dat ze over het juiste niveau van beveiligingsexpertise en kennis beschikken.
Hoe implementeert u CIS Controls Versie 8
Het implementeren van CIS Controls is een proces dat zorgvuldig gepland en beheerd moet worden. Het proces bestaat uit de volgende stappen:
1. Beoordelen
Begin met het beoordelen van de bestaande beveiligingsstatus en het identificeren van beveiligingsgaten.
2. Prioriteren
Prioriteer de implementatie van CIS Controls op basis van het risicoprofiel van de organisatie.
3. Plannen
Ontwikkel een gedetailleerd implementatieplan voor CIS Controls.
4. Testen
Test de implementatie van CIS Controls in een gecontroleerde omgeving.
5. Monitoren
Monitor regelmatig de effectiviteit van CIS Controls en werk ze bij indien nodig.
Welke tools en middelen zijn nodig om CIS Controls te implementeren?
Er zijn diverse tools en middelen beschikbaar om organisaties te helpen bij de implementatie van CIS Controls. Deze omvatten:
1. CIS Controls Evaluation Tool
De CIS Controls Evaluation Tool helpt organisaties bij het beoordelen van hun bestaande beveiligingsstatus en het identificeren van beveiligingsgaten.
2. CIS Benchmark Security Validation Tool
De CIS Benchmark Security Validation Tool is ontworpen om organisaties te helpen ervoor te zorgen dat hun systemen voldoen aan de CIS Controls.
3. CIS Critical Security Controls Implementation Toolkit
De CIS Critical Security Controls Implementation Toolkit biedt organisaties een stapsgewijze handleiding voor het implementeren van CIS Controls.
4. CIS Controls Database
De CIS Controls Database biedt organisaties gedetailleerde informatie over elk van de controls, inclusief gedetailleerde stappen, beste practices en bronnen.
Kiteworks Private Content Network en CIS Controls
CIS Controls zijn een belangrijke en effectieve set beste practices en richtlijnen voor organisaties die zichzelf willen beschermen tegen cyberdreigingen. De nieuwste versie, Versie 8, bevat updates die organisaties helpen in te spelen op de nieuwste cyberdreigingen en technologieën.
CIS Controls zijn gratis beschikbaar voor elke organisatie die haar eigen cyberbeveiliging wil verbeteren. Het Kiteworks Private Content Network verenigt, volgt, beheert en beveiligt bestand- en e-maildatacommunicatie op één platform, waardoor organisaties kunnen bepalen wie toegang heeft tot gevoelige inhoud, wie deze mag bewerken, naar wie deze kan worden verzonden en waarheen deze kan worden verzonden. Kiteworks weerspiegelt cyberbeveiligingsbest practices en raamwerken zoals CIS Controls, het National Institute of Standards and Technology Cybersecurity Framework (NIST CSF), NIST Privacy Framework, ISO 27001 en SOC 2.
Plan een aangepaste demo van Kiteworks om te zien hoe het aansluit bij wereldwijde cyberbeveiligingsstandaarden zoals CIS Controls en ontdek hoe het organisaties het raamwerk biedt om hun gegevens in rust en onderweg te beschermen.