Definition CIS Controls V8 Was sind CIS Controls V8?

Anbieter zum Thema

Moxa Europe GmbH

TXOne Networks

Die CIS Controls V8 sind eine im Jahr 2021 veröffentlichte, aktualisierte Version der CIS Top 20 Critical Security Controls. Die Version 8 enthält konkrete Handlungsempfehlungen und Best Practices zur Verbesserung der Cybersicherheit von Unternehmen. Im Vergleich zu den CIS Top 20 Controls wurden die Maßnahmenpakete auf 18 konsolidiert. Unter anderem wurden Anpassungen für das Cloud-Computing vorgenommen.

Bei den CIS Controls V8 handelt es sich um die achte Version der CIS Critical Security Controls. Sie sind der Nachfolger der CIS Top 20 Critical Security Controls und wurden im Mai 2021 veröffentlicht. Die CIS Security Controls sind aus den SANS Top 20 Critical Security Controls des SANS Institutes entstanden. Ihre Entwicklung reicht bis in das Jahr 2008 zurück. Das SANS Institut ist eine 1989 gegründete, gewinnorientierte, private Gesellschaft und beschäftigt sich mit Informationssicherheit, Sicherheitszertifikate und Cybersecurity-Schulungen. Seit dem Jahr 2015 ist das Center for Internet Security (CIS), eine Non-Profit NGO (Nichtregierungsorganisation - Non-Governmental Organization), für die Weiterentwicklung und Pflege der Security Controls verantwortlich.

Die CIS Controls V8 enthalten konkrete Handlungsempfehlungen zur Abwehr von Cyberangriffen und zur Verbesserung der Cybersicherheit von Unternehmen. Die genannten Schutzmaßnahmen sind priorisiert. Sie sind universell für verschiedene Unternehmensgrößen und in unterschiedlichen Branchen einsetzbar. Im Vergleich zur Vorgängerversion, den CIS Top 20 Controls, wurden die Controls auf 18 reduziert. Unter anderem wurden Anpassungen für das Cloud-Computing, die zunehmende Mobilität, die Telearbeit und das Homeoffice vorgenommen. Im Zuge der Aktualisierung erfolgte mit "CIS Controls" eine Vereinfachung der Bezeichnung. Die CIS Controls V8 sind abwärtskompatibel mit den Vorgängerversionen und liefern für Anwender der Vorgängerversionen Migrationspfade. Inhalte der CIS Controls V8 orientieren sich an verschiedenen anderen Compliance- und Sicherheitsstandards wie dem NIST Cybersicherheits-Framework, PCI DSS (Payment Card Industry Data Security Standard), HIPAA (Health Insurance Portability and Accountability Act) oder FISMA (Federal Information Security Management Act) und sind in Teilen mit diesen kompatibel.

Aufbau und Inhalt der CIS Controls V8

Die CIS Controls V8 enthalten 18 Maßnahmenpakete mit insgesamt 153 einzelnen Maßnahmen. Abhängig von der Unternehmensgröße, den zur Verfügung stehenden Ressourcen und dem Know-how sowie dem Schutzbedürfnis sind die Maßnahmen in drei aufeinander aufbauende Prioritätsgruppen beziehungsweise Implementierungsgruppen (Implementation Groups - IG) eingeteilt. IG1 enthält 56 Einzelmaßnahmen und ist eine Art Cyber-Hygiene-Mindeststandard. Die zusammen mit IG1 130 Einzelmaßnahmen der IG2 sind für Unternehmen vorgesehen, die eigene Sicherheitsteams beschäftigen und eine höhere betriebliche Komplexität haben. Die Umsetzung der Maßnahmen erfordern fortgeschrittene Sicherheitstechnologien und spezielles Know-how. IG3 hat zusammen mit IG1 und IG2 153 Einzelmaßnahmen. Sie sind für größere Unternehmen vorgesehen, die über eigene IT-Sicherheitsexperten verfügen, sensible Daten verarbeiten, Dienste mit hoher Verfügbarkeit betreiben und zum Beispiel regulatorischen Vorgaben unterworfen sind. Die Maßnahmen bieten auch Schutz gegenüber hoch entwickelten Angriffen.

Die 18 CIS Controls der Version 8 sind:

• 1. Inventarisierung und Management der Hardware

• 2. Inventarisierung und Management der Software

• 3. Datensicherheit und Datenschutz

• 4. Sichere Konfiguration der Unternehmens-IT und der eingesetzten Software

• 5. Verwaltung der Benutzer (Account Management)

• 6. Verwaltung der Zugriffsrechte (Access Control Management)

• 7. Management von Schwachstellen

• 8. Management von Audit-Protokollen

• 9. E-Mail- und Webbrowserschutz

• 10. Schutz vor Schadsoftware

• 11. Datenwiederherstellung

• 12. Management der Netzwerkinfrastruktur

• 13. Überwachung und Schutz des Netzwerks

• 14. Training des Sicherheitsbewusstseins und der Security-Fähigkeiten

• 15. Management der Dienstleister

• 16. Sicherheit der eingesetzten Anwendungssoftware

• 17. Reaktion auf Sicherheitsvorfälle (Incident Response Management)

• 18. Penetrationstests

Abgrenzung zu den CIS Top 20 Critical Security Controls

CIS Top 20 Critical Security Controls ist die Vorgängerversion der CIS Controls V8. Sie umfasst insgesamt 20 Maßnahmenpakete mit 171 Einzelmaßnahmen. Mit der Veröffentlichung der Version 8 wurden die CIS Top 20 Critical Security Controls überarbeitet und konsolidiert und auf 18 Maßnahmenpakete mit insgesamt 153 Einzelmaßnahmen reduziert. Die Anpassung erfolgte, um mit modernen Infrastrukturen, Technologien und Anwendungen Schritt zu halten. Unter anderem wurden das Cloud-Computing, die zunehmende Mobilität, Outsourcing, Arbeitsmodelle wie Homeoffice und Telearbeit und neue, fortgeschrittene Angriffstechniken besser berücksichtigt. Die Maßnahmen passen nun auch zu komplett cloudbasierten und hybriden Umgebungen.

(ID:49530913)