Serangan ransomware meningkat 95% pada tahun 2023[1], dan pelanggaran data mengekspos lebih dari 26 miliar catatan tahun lalu.[2] Dengan meningkatnya ancaman dari dalam, bisnis menghadapi risiko keamanan siber yang lebih besar dari sebelumnya. Inilah kabar baiknya: Tolok Ukur CIS menawarkan kerangka kerja keamanan yang teruji. Tolok ukur ini membantu organisasi mengamankan sistem TI mereka menggunakan praktik terbaik yang berhasil.[1]
Anda mungkin pernah mendengar tentang patokan CIS level 1 vs level 2, tetapi mana yang harus Anda pilih? Apakah Level 1 sudah cukup? Apakah Anda memerlukan Level 2 untuk perlindungan lengkap?
Mari kita uraikan dalam istilah yang sederhana sehingga Anda dapat membuat keputusan terbaik bagi organisasi Anda.
Apa itu kepatuhan CIS?
The Pusat Keamanan Internet (CIS), sebuah organisasi nirlaba, meningkatkan keamanan siber dengan berbagi praktik terbaik yang diakui secara global seperti CIS Benchmarks untuk melindungi lingkungan TI.
Mereka menyediakan rekomendasi keamanan terperinci untuk:
- Sistem operasi: Windows, Linux, macOS
- Lingkungan awan: AWS, Microsoft Azure, Google Cloud Platform (GCP)
- aplikasi: peramban web, basis data, perangkat lunak perkantoran.
- Perangkat jaringan: Firewall, router, dan switch.
Dikembangkan oleh para ahli keamanan siber global, ini tolok ukur kepatuhan diperbarui secara berkala untuk mengatasi ancaman baru seperti ransomware, kerentanan zero-day, serangan phishing, dan ancaman orang dalam.
Mengapa kepatuhan CIS penting?
- Pengurangan risiko yang terbukti: Studi menunjukkan bahwa penerapan Kontrol CIS dapat mengurangi risiko keamanan siber hingga 85% (studi CIS)[3]Dengan mengikuti pedoman ini, organisasi dapat mencapai postur keamanan yang jauh lebih kuat.
- Kepatuhan terhadap peraturan: Banyak industri harus mematuhi peraturan keamanan yang ketat. Tolok Ukur CIS membantu bisnis menyesuaikan diri dengan kerangka kerja seperti:
- HIPAA (Undang-Undang Portabilitas dan Akuntabilitas Asuransi Kesehatan) – keamanan data perawatan kesehatan.
- PCI DSS (Standar Keamanan Data Industri Kartu Pembayaran) – keamanan pembayaran untuk lembaga keuangan.
- NIST (Institut Nasional Standar dan Teknologi) – keamanan siber pemerintah dan perusahaan.
- ISO 27001 – Standar Internasional untuk Manajemen Keamanan Informasi
- Keamanan yang tidak bergantung pada industri tertentu: Kepatuhan CIS menawarkan kerangka kerja keamanan yang fleksibel. Kerangka kerja ini cocok untuk bisnis kecil dan perusahaan besar. Anda dapat menyesuaikannya dengan berbagai industri dan lingkungan TI.
- Peningkatan ketahanan siber: Tolok Ukur CIS berfokus pada keamanan proaktif. Ini mencakup kontrol akses, penguatan sistem, dan deteksi ancaman. Ini membantu organisasi mencegah serangan siber alih-alih bereaksi terhadapnya.
Tingkat keamanan CIS yang berbeda menangani berbagai tingkat risiko dan kebutuhan kepatuhan. Tingkat 1 menyediakan perlindungan penting dengan gangguan minimal, sementara Tingkat 2 menawarkan kontrol yang lebih ketat untuk industri berisiko tinggi yang menangani data sensitif.
Penjelasan tentang Benchmark CIS Level 1
CIS Level 1 menargetkan langkah-langkah keamanan dasar untuk membangun pertahanan yang kuat terhadap ancaman siber seperti ransomware, kerentanan zero-day, serangan phishing, dan ancaman internal. Kontrol ini melindungi sistem TI. CIS Level 1 memastikan bahwa operasi bisnis berfungsi tanpa gangguan. CIS Level XNUMX bertujuan untuk menawarkan penguatan keamanan dasar. Setiap organisasi dapat menerapkan langkah-langkah ini tanpa kesulitan. CIS Level XNUMX tidak akan mengganggu kegunaan atau memerlukan pengaturan yang rumit.
Fitur utama CIS Level 1
- Terapkan kata sandi yang rumit untuk mencegah kredensial yang lemah.
- Memerlukan perubahan kata sandi secara berkala untuk meminimalkan risiko akses tidak sah.
- Mencegah kerentanan kata sandi umum, seperti serangan kamus.
- Menonaktifkan akun tamu & akun yang tidak digunakan
- Mencegah pengguna yang tidak berwenang mengakses sistem perusahaan.
- Mengurangi vektor serangan dengan menghilangkan titik masuk yang tidak diperlukan.
- Firewall & perlindungan jaringan
- Mengaktifkan firewall secara default untuk memblokir lalu lintas masuk dan keluar yang berbahaya.
- Membatasi koneksi internet yang tidak diperlukan untuk meminimalkan paparan terhadap ancaman siber.
- Meminimalkan celah serangan
- Menonaktifkan layanan, port, dan protokol yang tidak diperlukan untuk membatasi kerentanan.
- Mencegah penyerang mengeksploitasi perangkat lunak atau konfigurasi yang tidak digunakan.
Dampak pada kegunaan dan kinerja sistem
Pengaturan keamanan CIS Level 1 menyeimbangkan perlindungan dan kegunaan. Sebagian besar pengguna tidak akan mengalami pelambatan atau gangguan apa pun. Langkah-langkah ini tidak terlalu ketat. Performanya tetap tidak berubah. Ini adalah pilihan cerdas bagi bisnis yang membutuhkan keamanan siber tanpa kerepotan tambahan.
Paling cocok untuk:
- Organisasi dengan kebutuhan dasar untuk keamanan & kepatuhan.
- Usaha kecil dan menengah, perusahaan rintisan, dan perusahaan berisiko rendah
Penjelasan tentang Benchmark CIS Level 2
CIS Level 2 diperuntukkan bagi organisasi yang membutuhkan keamanan yang lebih kuat. Kebutuhan ini sering kali berasal dari aturan, pengelolaan data sensitif, atau menghadapi risiko siber. CIS Level 1 dibangun berdasarkan CIS Level XNUMX dengan menambahkan kontrol keamanan yang lebih ketat yang membantu melindungi dari ancaman tingkat lanjut. CIS Level XNUMX memastikan kepatuhan terhadap peraturan keamanan yang ketat dan melindungi dari ancaman siber yang canggih.
Namun, hal itu mungkin memengaruhi kegunaan dan kinerja.
Fitur utama CIS Level 2
- Autentikasi Multi-Faktor (MFA)
- Pengguna harus mengonfirmasi identitas mereka melalui beberapa faktor autentikasi. Misalnya, ini bisa berupa kata sandi ditambah kode keamanan atau OTP.
- Melindungi dari serangan phishing dan pencurian kredensial.
- Membatasi akses administratif
- Batasan siapa saja yang dapat melakukan perubahan sistem kritis.
- Menerapkan kontrol akses berbasis peran (RBAC), memastikan bahwa pengguna memiliki hak akses minimum yang dibutuhkan.
- Mengurangi ancaman orang dalam dengan membatasi hak istimewa admin hanya untuk personel penting.
- Pencatatan dan pemantauan tingkat lanjut
- Memungkinkan pencatatan kejadian terperinci untuk melacak aktivitas sistem dan mendeteksi perilaku mencurigakan.
- Membantu investigasi forensik dengan mencatat kejadian keamanan. Ini termasuk upaya login yang tidak sah dan pelanggaran kebijakan.
- Terintegrasi dengan sistem SIEM (Manajemen Informasi dan Peristiwa Keamanan) untuk deteksi ancaman waktu nyata.
- Pengerasan sistem dan enkripsi yang ketat
- Menerapkan enkripsi disk (BitLocker, FileVault) untuk melindungi data yang tersimpan.
- Memerlukan mekanisme boot aman untuk mencegah malware dimuat selama sistem dinyalakan.
- Menghentikan perangkat lunak dan skrip yang tidak sah agar tidak berjalan. Ini membantu mencegah serangan ransomware dan malware.
Dampak pada kegunaan dan kinerja sistem
CIS Level 2 meningkatkan keamanan tetapi juga dapat menimbulkan masalah kegunaan dan kinerja, seperti:
- Kontrol akses yang lebih ketat: Pengguna mungkin menghadapi penundaan atau langkah tambahan untuk mengakses sumber daya. Hal ini dapat terjadi karena autentikasi multifaktor atau hak istimewa yang terbatas.
- Penggunaan sumber daya sistem yang lebih tinggi: Pencatatan dan pemantauan tingkat lanjut menghabiskan lebih banyak ruang penyimpanan. Hal ini dapat sedikit memperlambat kinerja.
- Beban administrasi yang lebih tinggi: Tim TI mengelola pengaturan yang rumit, hak akses, dan log audit. Hal ini memerlukan keahlian yang lebih tinggi.
Paling cocok untuk:
- Organisasi dengan persyaratan keamanan tinggi atau beroperasi dalam industri yang diatur.
- CIS Level 2 cocok untuk bisnis yang menangani keuangan, data pemerintah, perawatan kesehatan, dan infrastruktur.
CIS Level 1 vs Level 2: Apa Bedanya?
| Fitur | CIS Tingkat 1 | CIS Tingkat 2 |
|---|---|---|
| Kekuatan Keamanan | Keamanan dasar, perlindungan penting | Keamanan tingkat lanjut, perlindungan lebih ketat |
| Dampak Sistem | Dampak minimal pada kegunaan dan kinerja | Dapat memengaruhi kegunaan dan kinerja |
| Tujuan | Mencegah ancaman dunia maya sambil tetap mempertahankan fungsionalitas | Memberikan keamanan maksimum, bahkan jika kegunaannya berkurang |
| Kesulitan Implementasi | Mudah diimplementasikan, cocok untuk sebagian besar organisasi | Lebih kompleks, memerlukan profesional IT/keamanan yang terampil |
| contoh | Menerapkan kebijakan kata sandi, menonaktifkan akun tamu, mengaktifkan firewall. | Menerapkan MFA (otentikasi multi-faktor), membatasi akses administratif, mengaktifkan pencatatan dan pemantauan terperinci. |
| Kepatuhan & Penggunaan Regulasi | Membantu kepatuhan peraturan dasar (misalnya, PCI DSS, HIPAA, GDPR) | Diperlukan untuk kepatuhan keamanan tinggi beserta kepatuhan peraturan dasar (misalnya, NIST, FedRAMP, ISO 27001) |
| Toleransi resiko | Cocok untuk lingkungan dengan risiko rendah hingga sedang | Diperlukan untuk lingkungan berisiko tinggi yang menangani data sensitif |
CIS Level 1 vs Level 2: Perbandingan singkat
CIS Level 1 menyediakan langkah-langkah keamanan penting seperti penegakan kebijakan kata sandi, penonaktifan akun yang tidak perlu, dan memastikan perlindungan firewall, semuanya dengan dampak minimal pada kinerja sistem. Sebaliknya, CIS Level 2 mencakup kontrol tingkat lanjut seperti... otentikasi multi-faktor, pencatatan sistem yang detail, dan kebijakan akses administratif yang ketat, yang dapat memperlambat sistem. Level 1 mudah diimplementasikan, tidak memerlukan konfigurasi yang rumit, memungkinkan bisnis untuk mengadopsinya tanpa mengganggu operasional sehari-hari. Namun, Level 2 membutuhkan keahlian teknis yang lebih tinggi, sehingga implementasinya menjadi lebih menantang.
Bisnis kecil hingga menengah yang membutuhkan keamanan dan kepatuhan mungkin menganggap CIS Level 1 sudah cukup. CIS Level 2 memberikan perlindungan penting tanpa menyebabkan gangguan kegunaan yang berarti. Bisnis di bidang berisiko tinggi seperti keuangan, perawatan kesehatan, dan pemerintahan membutuhkan keamanan yang kuat. Mereka sering beralih ke CIS Level XNUMX untuk perlindungan.
Kepatuhan CIS dalam tindakan: Kasus penggunaan menurut industri
Berikut ini cara CIS Level 1 dan Level 2 diterapkan di berbagai industri.
A. CIS Level 1: Keamanan dasar untuk operasi bisnis
1. Perawatan kesehatan & ilmu hayati
Di sektor perawatan kesehatan, privasi data pasien dan kepatuhan terhadap peraturan merupakan prioritas utama. CIS Level 1 menyediakan keamanan mendasar yang diperlukan untuk memenuhi kebutuhan ini.
- Memastikan kepatuhan terhadap HIPAA.
- Menerapkan kebijakan kata sandi untuk mencegah akses tidak sah ke catatan medis.
- Memerlukan perlindungan firewall untuk membatasi lalu lintas berbahaya yang menargetkan jaringan rumah sakit.
- Melindungi data pasien
- Menonaktifkan akun tamu untuk mencegah akses tidak sah ke sistem rumah sakit.
- Menerapkan kontrol akses dasar, memastikan bahwa hanya personel yang disetujui yang dapat melihat catatan pasien.
- Mengamankan jaringan rumah sakit & perangkat mediss
- Melindungi perangkat medis yang mendukung IoT dari ancaman cyber.
- Memastikan akses jarak jauh yang aman bagi profesional perawatan kesehatan yang bekerja di luar kantor.
2. Layanan keuangan & perbankan
Lembaga keuangan menangani data keuangan yang sensitif. Itulah sebabnya kepatuhan CIS menjadi kunci. Kepatuhan ini membantu melindungi transaksi dan mencegah penipuan.
- Melindungi transaksi pelanggan
- Memungkinkan pemantauan jaringan perbankan secara real-time untuk aktivitas yang mencurigakan.
- Menerapkan konfigurasi firewall untuk memblokir akses tidak sah ke sistem pemrosesan pembayaran.
- Memastikan kepatuhan terhadap peraturan PCI DSS & SOX
- Menegakkan kebijakan kata sandi yang aman bagi staf dan nasabah perbankan.
- Memastikan enkripsi data keuangan pelanggan yang tersimpan.
- Mencegah serangan phishing & penipuan
- Membatasi lampiran email untuk mencegah penipuan phishing.
- Menerapkan penyaringan URL untuk memblokir situs web perbankan yang curang.
3. Ritel dan E-Commerce
Pengecer memproses banyak transaksi setiap hari. Jadi, mereka harus fokus pada keamanan untuk melindungi data konsumen.
- Mengamankan sistem POS (Point of Sale) dari malware
- Terapkan pengaturan keamanan default pada sistem POS untuk mencegah gangguan yang tidak sah.
- Memastikan pembaruan perangkat lunak rutin untuk memperbaiki kerentanan keamanan.
- Memastikan transaksi online aman & privasi data konsumen
- Menerapkan enkripsi SSL/TLS untuk transmisi data yang aman.
- Mencegah akses tidak sah ke rincian pembayaran pelanggan.
- Mematuhi standar PCI DSS.
- Menerapkan segmentasi jaringan yang aman untuk memisahkan pemrosesan pembayaran dari sistem lain.
- Menggunakan sistem deteksi intrusi (IDS) untuk memeriksa ancaman siber.
B. CIS Level 2: Keamanan tingkat lanjut untuk lingkungan berisiko tinggi
CIS Level 2 menerapkan keamanan yang lebih ketat untuk industri yang menangani data sensitif, termasuk sektor yang diatur dan infrastruktur penting, untuk mempertahankan diri dari ancaman tingkat lanjut
1. Pemerintahan & pertahanan
Badan keamanan nasional dan pemerintah membutuhkan sistem keamanan siber yang kuat. Kerangka kerja ini melindungi data rahasia dan menghentikan perang siber.
- Melindungi data rahasia dari ancaman cyber.
- Menerapkan standar enkripsi tingkat lanjut (AES-256) untuk mengamankan berkas pemerintah yang sensitif.
- Menerapkan kontrol akses yang ketat, mencegah personel yang tidak berwenang mengakses informasi rahasia.
- Mematuhi NIST 800-53, FISMA, dan FedRAMP.
- Pastikan log audit untuk melacak akses sistem pemerintah.
- Menerapkan otentikasi multi-faktor (MFA) untuk pegawai pemerintah dan kontraktor.
- Mencegah serangan siber yang disponsori negara
- Menggunakan sistem pencegahan intrusi (IPS) untuk mendeteksi dan memblokir ancaman siber negara-bangsa.
- Menerapkan perlindungan titik akhir untuk mengamankan perangkat yang dikeluarkan pemerintah dari malware dan ransomware.
2. Kesehatan & farmasi
Rumah sakit, perusahaan bioteknologi, dan perusahaan farmasi memerlukan langkah-langkah keamanan yang kuat. Hal ini penting untuk melindungi data penelitian dan catatan kesehatan elektronik (EHR).
- Melindungi Catatan Kesehatan Elektronik (EHR)
- Menerapkan kontrol akses berbasis peran (RBAC). Artinya, hanya dokter dan perawat yang berwenang yang dapat melihat catatan pasien.
- Menggunakan enkripsi disk (BitLocker, FileVault) untuk melindungi informasi medis yang tersimpan.
- Memastikan kepatuhan keamanan siber FDA
- Mengamankan sistem penelitian medis dari ancaman cyber.
- Menerapkan pencatatan sistem terperinci yang disyaratkan oleh badan regulasi.
- Melindungi penelitian biomedis & kekayaan intelektual
- Mencegah pencurian tanpa izin atas penelitian yang sensitif terhadap paten.
- Memastikan manajemen hak istimewa yang ketat, hanya mengizinkan peneliti yang berwenang untuk mengakses basis data lab.
3. Energi & infrastruktur penting
Serangan siber sering kali menargetkan jaringan listrik, instalasi pengolahan air, dan sistem transportasi umum. CIS Level 2 memberikan perlindungan yang kuat terhadap ancaman seperti ransomware dan serangan negara-bangsa.
- Mengamankan jaringan listrik, sistem air, dan jaringan transportasi.
- Menggunakan segmentasi jaringan untuk memisahkan teknologi operasional (OT) dari infrastruktur TI.
- Menerapkan alat pemantauan keamanan untuk mendeteksi anomali dalam sistem kontrol industri (ICS).
- Mencegah ransomware & serangan negara-bangsa
- Menerapkan kebijakan keamanan zero-trust untuk mencegah akses tidak sah.
- Menggunakan daftar putih aplikasi untuk memblokir eksekusi perangkat lunak yang tidak disetujui.
- Mematuhi standar NERC CIP & ISO 27001
- Memerlukan pemantauan sistem berkelanjutan terhadap potensi ancaman cyber.
- Menerapkan rencana respons insiden untuk menangani pelanggaran cyber dalam sistem kritis.
Memilih Tingkat CIS yang tepat untuk organisasi Anda
Memilih tingkat keamanan CIS yang tepat bergantung pada industri, risiko, dan keterampilan TI Anda. CIS Level 1 menawarkan kontrol keamanan utama untuk sebagian besar bisnis. CIS Level 2 berfokus pada organisasi yang menangani data sensitif. CIS Level XNUMX diperuntukkan bagi mereka yang memiliki kebutuhan kepatuhan ketat atau berada di lingkungan berisiko tinggi.
Pertimbangan utama:
- Kebutuhan industri & kepatuhan: Apakah Anda menangani data sensitif? Apakah ada peraturan yang ketat?
- Paparan risiko: Tingkat ancaman siber apa yang dihadapi bisnis Anda?
- Sumber daya keamanan TI: Bisakah tim Anda menangani kompleksitas Level 2?
Panduan keputusan:
- Jika Anda memerlukan keamanan dasar dengan gangguan minimal, pilih CIS Level 1.
- Jika Anda beroperasi dalam industri berisiko tinggi, pilih CIS Level 2.
- Jika Anda memulai dengan Level 1, Anda dapat meningkatkan ke Level 2 seiring berjalannya waktu.
Pesan terakhir
Memilih antara CIS Level 1 dan Level 2 bergantung pada risiko dan kebutuhan kepatuhan industri Anda.
- Pilih CIS Level 1 jika Anda memerlukan keamanan dasar dengan dampak minimal pada kegunaan. CIS Level XNUMX sangat ideal untuk bisnis kecil, lembaga keuangan, dan pengecer.
- Pilih CIS Level 2 untuk keamanan yang kuat, kepatuhan yang ketat, dan pertahanan ancaman tingkat lanjut. Ini penting untuk sektor pemerintahan, perawatan kesehatan, dan infrastruktur penting.
Memilih antara CIS Level 1 dan Level 2 adalah hal yang penting. Langkah-langkah keamanan yang efektif dapat melindungi organisasi Anda dari pelanggaran data dan masalah kepatuhan. Langkah-langkah tersebut juga membantu bertahan dari ancaman dunia maya. Veltar menyederhanakan kepatuhan CIS dengan mengotomatiskan penegakan kebijakan, memantau status kepatuhan, dan membantu organisasi tetap siap diaudit di seluruh titik akhir mereka.
Jadi, level mana yang sesuai dengan kebutuhan bisnis Anda? Apakah Anda siap untuk meningkatkan postur keamanan Anda?
Referensi:
1. CLM
2. Keamanan CIS
3. Berita dunia maya
Pertanyaan Umum Demo Slot
1. Apa perbedaan utama antara CIS Level 1 dan Level 2?
CIS Level 1 terdiri dari kontrol keamanan dasar yang mudah diterapkan dan memastikan fondasi keamanan yang baik tanpa mengganggu operasi sistem. Di sisi lain, CIS Level 2 mencakup langkah-langkah keamanan yang lebih canggih yang dirancang untuk lingkungan berisiko tinggi, yang sering kali memerlukan konfigurasi tambahan dan kebijakan yang lebih ketat.
2. Bisnis mana yang sebaiknya memilih CIS Level 1 daripada CIS Level 2?
Bisnis yang membutuhkan keamanan penting tanpa gangguan operasional yang signifikan sebaiknya memilih CIS Level 1. CIS Level XNUMX sangat ideal untuk perusahaan atau organisasi skala kecil hingga menengah yang mencari keseimbangan antara keamanan dan kegunaan.
3. Mengapa suatu organisasi menerapkan kontrol keamanan CIS Level 2?
Perusahaan yang menangani data sensitif, seperti lembaga keuangan, penyedia layanan kesehatan, dan lembaga pemerintah, harus mempertimbangkan CIS Level 2. Kontrol ini memberikan tingkat keamanan dan kepatuhan yang lebih tinggi, mengurangi risiko ancaman dunia maya tetapi membutuhkan lebih banyak sumber daya untuk pemeliharaannya.
4. Dapatkah bisnis menggunakan kontrol CIS Level 1 dan 2?
Ya, banyak organisasi memulai dengan CIS Level 1 untuk membangun fondasi keamanan yang kuat dan secara bertahap menerapkan kontrol CIS Level 2 untuk perlindungan tambahan, terutama di area berisiko tinggi pada infrastruktur TI mereka.
5. Bagaimana penerapan CIS Level 1 vs 2 berdampak pada kinerja sistem?
CIS Level 1 memiliki dampak minimal pada kinerja sistem karena berfokus pada praktik keamanan yang penting. Namun, CIS Level 2 dapat menimbulkan pembatasan yang dapat memengaruhi kegunaan dan memerlukan daya pemrosesan tambahan, sehingga sangat penting untuk mengevaluasi kebutuhan bisnis sebelum implementasi penuh.
