Wat zijn de CIS Controls?
De CIS Critical Security Controls zijn opgesteld door het Center for Internet Security, een Amerikaanse non-profitorganisatie. Ze bestaan uit 18 maatregelen die samen 153 concrete onderdelen bevatten, de zogenoemde safeguards. De lijst is gebaseerd op aanvallen die in de praktijk voorkomen en is bewust technisch en concreet. De meest recente versie is 8.1.
De 18 maatregelen
De maatregelen volgen grofweg de volgorde waarin u beveiliging opbouwt: eerst weten wat u hebt, dan beschermen, detecteren en herstellen.
- Inventaris van apparaten en van software.
- Gegevensbescherming en veilige configuratie van systemen.
- Accountbeheer en beheer van toegangsrechten.
- Doorlopend kwetsbaarhedenbeheer en beheer van logboeken.
- Bescherming van e-mail en webbrowsers, en bescherming tegen malware.
- Gegevensherstel met back-ups.
- Beheer van de netwerkinfrastructuur, en netwerkmonitoring en verdediging.
- Bewustwording en training van medewerkers.
- Beheer van dienstverleners.
- Veilige applicatiesoftware.
- Beheer van incidentrespons.
- Penetratietesten.
Drie implementatiegroepen
De onderdelen zijn verdeeld over drie implementatiegroepen. Implementatiegroep 1 bevat 56 onderdelen en wordt omschreven als essentiële cyberhygiëne: het minimum dat elke organisatie op orde zou moeten hebben. Implementatiegroep 2 bevat 130 onderdelen en is bedoeld voor organisaties met meer systemen, gevoelige gegevens of een eigen ICT-afdeling. Implementatiegroep 3 omvat alle 153 onderdelen, voor organisaties met een hoog risicoprofiel.
Verhouding tot ISO 27001 en de Cbw
ISO 27001 beschrijft hoe u informatiebeveiliging organiseert en welke onderwerpen u moet afdekken. De CIS Controls zijn concreter over wat u technisch inricht. Ze vullen elkaar goed aan: de risicoanalyse uit ISO 27001 bepaalt de prioriteiten en de CIS Controls helpen bij de technische invulling. Ook voor de zorgplicht uit de Cyberbeveiligingswet is implementatiegroep 1 een bruikbaar vertrekpunt om basishygiëne aantoonbaar te maken.
Zo gebruikt u de lijst
Bepaal welke implementatiegroep bij uw organisatie past en beoordeel per onderdeel of het is ingericht, gedeeltelijk is ingericht of ontbreekt. Begin bij ontbrekende onderdelen uit implementatiegroep 1, zoals een actuele inventaris, MFA, back-ups die offline of onveranderbaar zijn en het tijdig installeren van updates. CIS publiceert de lijst en koppelingen naar andere raamwerken gratis voor eigen gebruik; raadpleeg altijd de actuele versie op de website van CIS.