Definition CIS Top 20 Critical Security Controls Was sind CIS Top 20 Critical Security Controls?

Anbieter zum Thema

Mimecast Germany GmbH

TXOne Networks

Fortra International, Ltd.

Die CIS Top 20 Critical Security Controls bestehen aus konkreten Handlungsempfehlungen und Best Practices, mit denen sich die Cybersicherheit von Unternehmen verbessern lässt. Sie sind branchenneutral und universell für verschiedene Unternehmensgrößen einsetzbar. 2021 wurde mit der Version 8 der CIS Controls eine überarbeitete Version vorgestellt, die die Anzahl der Maßnahmenpakete von 20 auf 18 reduziert. Weiterentwickelt und gepflegt werden die CIS Controls vom Center for Internet Security.

Bei den CIS Top 20 Critical Security Controls, in der Kurzform CIS 20 Controls, handelt es sich um eine Sammlung konkreter Handlungsempfehlungen und Maßnahmenpakete zur Abwehr von Cyberangriffen und zur Verbesserung der IT-Sicherheit von Unternehmen. Hervorgegangen sind die CIS Top 20 Critical Security Controls aus den SANS Top 20 Critical Security Controls des SANS Institutes, einer 1989 gegründeten, gewinnorientierten, privaten Gesellschaft für Informationssicherheit, Sicherheitszertifikate und Cybersecurity-Schulungen. Die Entwicklung der Critical Security Controls reicht bis in das Jahr 2008 zurück. Seit 2015 werden die CIS Controls vom Center for Internet Security (CIS) weiterentwickelt und gepflegt.

Die Best Practices und Maßnahmenpakete der CIS 20 Controls sind priorisiert und universell in verschiedenen Branchen einsetzbar. Abhängig von den für die Cybersicherheit einsetzbaren Ressourcen und der Größe sowie dem vorhandenen Sicherheits-Know-how eines Unternehmens unterteilt die CIS die Controls in drei Implementierungsgruppen. Im Mai 2021 veröffentlichte die CIS mit den CIS Controls V8 eine überarbeitete und an moderne IT-Infrastrukturkonzepte wie Cloud-Computing angepasste Version der CIS Top 20 Critical Security Controls. Sie reduziert die Anzahl der CIS Controls von 20 auf 18. Die CIS Controls orientieren sich an verschiedenen Compliance- und Sicherheitsstandards wie dem NIST Cybersicherheits-Framework, PCI DSS (Payment Card Industry Data Security Standard), HIPAA (Health Insurance Portability and Accountability Act) oder FISMA (Federal Information Security Management Act) und sind in Teilen mit diesen kompatibel.

Aufbau und Inhalt der CIS Top 20 Critical Security Controls

Die CIS Controls definieren drei aufeinander aufbauende Implementation Groups (IG), die die Sicherheitsmaßnahmen priorisieren und verschiedene Sicherheitsbedürfnisse erfüllen. In der Implementation Group 1 sind die Maßnahmen für ein grundlegendes Sicherheitsniveau enthalten, die sich auch von kleinen und mittleren Unternehmen mit eingeschränkten Ressourcen und geringer Expertise umsetzen lassen. Die Implementierungsgruppen 2 und 3 umfassen Maßnahmen für größere Unternehmen mit mehr Expertise und Security-Fachpersonal, für komplexere, sensiblere Umgebungen und ein höheres Sicherheitsbedürfnis. Ihre Umsetzung erfordert mehr Ressourcen.

Die 20 CIS Controls sind:

• 1. Inventarisierung autorisierter und nicht autorisierter Geräte

• 2. Inventarisierung autorisierter und nicht autorisierter Software

• 3. Sichere Konfiguration der Hard- und Software

• 4. Kontinuierliche Einschätzung und Behebung von Schwachstellen

• 5. Kontrollierte Nutzung administrativer Rechte

• 6. Verwaltung, Überwachung und Analyse der Audit-Protokolle

• 7. Schutz der E-Mail-Systeme und Webbrowser

• 8. Schutz vor Schadsoftware

• 9. Beschränkung und Kontrolle von Netzwerkports, -protokollen und -diensten

• 10. Datenwiederherstellungsfähigkeiten

• 11. Sichere Konfigurationen von Netzwerkgeräten

• 12. Schutzmaßnahmen an den Netzwerkgrenzen

• 13. Datensicherheit

• 14. Zugriffskontrolle auf Basis tatsächlich benötigter Daten und Systeme

• 15. Kontrolle des drahtlosen Zugriffs

• 16. Überwachung und Kontrolle der Benutzerkonten

• 17. Einschätzung der Sicherheitskenntnisse und Schließen von Lücken durch Schulungen

• 18. Sicherheit der Anwendungssoftware

• 19. Reaktion auf Sicherheitsvorfälle und Management von Vorfällen

• 20. Penetrationstests und Red-Team-Übungen

(ID:49530897)