Araw-araw, ang mga organisasyon sa buong mundo ay nahaharap sa isang di-nakikitang digmaan. Ang cyberattacks ay tumataas, na ang cybercrime ay inaasahang gagastos sa mundo ng $10.5 trilyon taun-taon sa 2025.[1] Noong 2023 lamang, nahaharap ang US sa mahigit 2,200 cyberattacks bawat araw, na naglantad ng 22 bilyong tala.[2] Sa isang nakababahala na kaso, ang pag-atake ng ransomware sa Change Healthcare noong 2024 ay nakagambala sa mga pagbabayad sa pangangalagang pangkalusugan sa buong bansa, na nakakaapekto sa mga ospital, parmasya, at mga provider ng insurance.[3]
Kaya, ano ang magagawa ng mga negosyo upang manatiling nangunguna sa mga cybercriminal? Kailangan nila ng rock-solid na diskarte sa seguridad, at dito makakatulong ang pagsunod sa CIS.
Ano ang Mga Kontrol ng CIS?
Noong 2008, isang matinding paglabag sa data ang yumanig sa industriya ng depensa ng US. Ang pag-atakeng ito ay nagtaas ng pangangailangan para sa isang pinag-isang diskarte sa seguridad, na humahantong sa paglikha ng Critical Security Controls (CSC).[4]
Sa simula ay binuo bilang isang balangkas ng antas ng militar, ang 20 kontrol na ito ay kinuha sa kalaunan ng Center for Internet Security (CIS). Ngayon, ang balangkas ng seguridad ng CIS ay naging isang kinikilalang pandaigdigang pamantayan ng cybersecurity na tumutulong sa mga organisasyon na ipagtanggol laban sa mga modernong banta sa cyber.
Din basahin ang: Pagsunod sa CIS: Ang dapat malaman ng bawat organisasyon
CIS critical security control version 8.1: pinakabagong bersyon ng CIS Controls
Ang pananatiling nangunguna sa mga banta sa cybersecurity ay nangangailangan ng isang balangkas na nagbabago kasama ng mga banta. Nag-aalok ang CIS Controls v8 ng priyoridad na hanay ng mga pinakamahusay na kagawian na idinisenyo upang palakasin ang postura ng seguridad ng iyong organisasyon. Bumubuo sa matatag na pundasyon ng pagsunod sa CIS, ang CIS control version 8.1 ay ang pinakabagong update. Ang CIS controls v8 ay nagpapakilala ng mga kritikal na pagpapahusay, kabilang ang isang bagong function ng seguridad at pinahusay na pagkakahanay sa NIST CSF 2.0.
Ano ang nangungunang 18 CIS Controls?
Ang CIS top 18 Controls ay kumakatawan sa isang komprehensibo at priyoridad na balangkas ng cybersecurity na idinisenyo upang tulungan ang mga organisasyon na ipagtanggol laban sa mga pinakakaraniwang banta sa cyber. Kadalasang tinutukoy bilang listahan ng mga kontrol ng CIS, ang mga pinakamahuhusay na kagawiang ito ay nagsisilbing isang roadmap para sa pagbuo ng isang nababanat na diskarte sa seguridad. Kung wala ang mga ito, mananatiling mahina ang iyong digital na kapaligiran. Isa-isahin natin kung paano nakakatulong ang bawat kontrol sa pagprotekta sa iyong organisasyon mula sa simula.
1. Imbentaryo at Kontrol ng Enterprise Assets
Ang unang hakbang sa pag-secure ng iyong organisasyon ay pagprotekta at pagkontrol sa iyong mga asset. Ang kontrol na ito ay nangangailangan sa iyo na magpanatili ng up-to-date na imbentaryo ng lahat ng hardware asset sa loob ng iyong network. Kabilang dito ang mga server, computer, laptop, mobile device, at anumang iba pang endpoint na konektado sa iyong mga system. Sa pamamagitan ng pagsubaybay sa iyong mga device, tinitiyak mo na ang awtorisado at naaprubahang kagamitan lamang ang binibigyan ng access sa iyong network. Mga hindi awtorisadong device? Hindi man lang sila nagkakaroon ng pagkakataong makapasok. Nakakatulong ito na maiwasan ang mga sitwasyon kung saan sinasamantala ng mga cybercriminal ang hindi sinusubaybayan o nakalimutang mga device bilang mga entry point sa iyong system.
2. Imbentaryo at Kontrol ng Software Assets
Ngayong alam mo na kung anong mga device ang ginagamit mo, kailangan mong tiyaking ligtas at na-verify na software lang ang tumatakbo sa mga ito. Tinitiyak nito na ang bawat software application na naka-install sa iyong mga system ay nakatatala, sinusubaybayan, at pinananatiling napapanahon. Ang layunin dito ay alisin ang anumang hindi naaprubahan, luma, o mahinang software na maaaring magsilbi bilang isang potensyal na entry point para sa mga cybercriminal. Sa pamamagitan ng pagpapanatili ng isang listahan ng tanging awtorisadong software, binabawasan mo ang panganib ng malware, ransomware, at iba pang malisyosong pag-atake na maaaring mag-target ng mga kahinaan sa software.
3. Proteksyon ng Data
Isipin ang iyong sensitibong data bilang isang treasure chest. Hindi mo iiwan na walang bantay sa pampublikong lugar, di ba? Ang parehong napupunta para sa digital na impormasyon. Tinitiyak ng kontrol na ito na ang sensitibong data ng iyong organisasyon gaya ng mga talaan ng customer, mga detalye sa pananalapi, o pagmamay-ari na impormasyon ay naka-encrypt kapag ito ay naka-imbak at kapag ito ay ipinadala sa buong network. Bukod pa rito, ang pag-access sa data na ito ay mahigpit na kinokontrol upang matiyak na ang mga awtorisadong tauhan lamang ang maaaring tumingin o magmanipula nito. Sa pamamagitan man ng pag-encrypt o malakas na mga patakaran sa pag-access ng data, ang proteksyon ng data ay tungkol sa pag-lock down ng iyong mga pinakamahahalagang asset sa maiwasan ang hindi awtorisadong pag-access at pagnanakaw.
4. Secure na Configuration ng Enterprise Assets and Software
Ang kontrol na ito ay tungkol sa pagtiyak na ang lahat ng device at application ay secure na na-configure. Ang mga default na setting para sa mga device at software ay kadalasang hindi secure, at alam ito ng mga cybercriminal. Sa pamamagitan ng pagpapatupad ng mga secure na configuration, tinitiyak mong lahat ng feature ng seguridad gaya ng mga firewall, proteksyon laban sa malware, at mga kontrol sa pag-access ay naka-on at na-optimize. Nakakatulong ito na mabawasan ang mga kahinaan na maaaring pagsamantalahan ng mga umaatake. Sa pangkalahatan, ito ay tulad ng pag-secure sa bawat sulok ng iyong digital na kapaligiran bago mo ito buksan para sa negosyo.
5. Pamamahala ng Account
Isa sa mga pinakakaraniwang paraan para makakuha ng access ang mga umaatake sa iyong network ay sa pamamagitan ng mga nakompromisong user account. Ang kontrol sa Pamamahala ng Account ay nakatuon sa pagpapanatili ng mahigpit na pangangasiwa sa mga account ng gumagamit, lalo na sa mga may mga pribilehiyong pang-administratibo. Ang mga admin account ay maaaring magbukas ng maraming potensyal na pinsala, kaya napakahalaga na ang pag-access ay ibigay lamang sa mga talagang nangangailangan nito. Ang mga regular na pag-audit ng aktibidad ng account, pagbawi ng mga hindi kinakailangang account, at pagpapatupad ng matibay na mga patakaran sa password ay nasa ilalim ng kontrol na ito. Mahalaga rin na tiyaking maaalis ang mga user sa system kapag umalis sila sa organisasyon upang maiwasan ang anumang matagal na panganib sa pag-access.
6. Pamamahala ng Access Control
Sa pagtaas ng mga paglabag sa data at mga pagtatangka sa pag-hack, hindi na sapat ang pangunahing seguridad ng password. Tinitiyak ng Access Control Management na ang mga tamang tao lang ang may access sa mga tamang mapagkukunan sa tamang oras. Pagpapatupad Multi-Factor Authentication (MFA) nagdaragdag ng karagdagang layer ng proteksyon sa pamamagitan ng pag-aatas sa mga user na patotohanan ang kanilang mga sarili gamit ang higit pa sa isang password, gaya ng sa pamamagitan ng isang beses na code na ipinadala sa kanilang telepono. Role-Based Access Control (RBAC) tinitiyak na maa-access lamang ng mga user ang impormasyon o mga system na kinakailangan para sa kanilang trabaho. Halimbawa, hindi dapat magkaroon ng access ang isang empleyado ng HR sa mga financial system, at hindi dapat makita ng isang IT admin ang data ng customer. Pinaliit nito ang panganib ng mga banta ng tagaloob at pagtagas ng data.
7. Patuloy na Pamamahala ng Kahinaan
Ang mga kahinaan sa iyong mga system ay maaaring mag-iwan sa iyo na malantad sa mga cybercriminal. Tinitiyak ng kontrol na ito na ang iyong organisasyon ay regular na nag-a-update ng mga system at nag-i-scan para sa anumang mga kahinaan sa seguridad. Sa pamamagitan ng aktibong pagtukoy ng mga kahinaan, maaari mong ayusin ang mga ito bago sila pagsasamantalahan ng mga umaatake. Maaaring kabilang dito ang paggamit ng mga automated na tool sa pag-scan ng kahinaan at paglalapat ng mga patch upang ayusin ang mga bahid ng software. Ang regular na pagsubaybay ay susi sa pagpapanatili ng isang secure na sistema at pagbabawas ng panganib ng isang paglabag.
8. Pamamahala ng Log ng Audit
Kasama sa Pamamahala ng Audit Log ang pagpapanatili ng mga detalyadong log ng lahat ng aktibidad ng system, kabilang ang mga aksyon ng user at mga kaganapan sa system. Nakakatulong ang mga log na ito na makita ang kahina-hinalang gawi, gaya ng hindi awtorisadong pag-access o hindi pangkaraniwang mga pattern ng aktibidad. Sa pamamagitan ng regular na pagsusuri sa mga log ng pag-audit, maaari mong makita ang mga potensyal na banta nang maaga at kumilos bago ang isang maliit na isyu ay maging ganap na pag-atake.
9. Mga Proteksyon sa Email at Web Browser
Ang mga pag-atake sa phishing at mga nakakahamak na website ay ilan sa mga pinakakaraniwang paraan upang makakuha ng access ang mga cybercriminal sa iyong mga system. Nakatuon ang kontrol na ito sa pag-deploy seguridad ng email mga solusyon upang harangan ang mga email sa phishing na nagtatangkang linlangin ang mga user na magbunyag ng mga password o mag-download ng malware. Kasama rin dito ang pag-set up ng mga proteksyon sa web browser upang pigilan ang mga user na ma-access ang mga mapanganib na site. Sa pamamagitan ng pagprotekta sa iyong mga empleyado mula sa mga karaniwang vector ng pag-atake na ito, makabuluhang binabawasan mo ang mga pagkakataon ng isang matagumpay na cyberattack.
10. Mga Depensa sa Malware
malware Ang pagtatanggol ay tungkol sa pagpapanatiling malinis ng iyong mga system mula sa malisyosong software tulad ng mga virus, ransomware, at spyware. Ang pag-install at regular na pag-update ng antivirus software ay nakakatulong na matukoy at maalis ang mga banta na ito. Kasama rin sa kontrol na ito ang paggamit ng mga sistema ng pagtukoy na nakabatay sa gawi na maaaring makakita ng malware kahit na hindi pa ito nakikilala ng tradisyonal na software na nakabatay sa lagda. Sa patuloy na pagbuo ng mga cybercriminal ng mga bagong uri ng malware, ang pagkakaroon ng napapanahon na mga depensa ay mahalaga para sa pagprotekta sa iyong mga system.
11. Kakayahang Pagbawi ng Data
Ang pagkawala ng data ay maaaring maging sakuna para sa anumang negosyo. Tinitiyak ng kontrol na ito na regular na bina-back up ng iyong organisasyon ang mga kritikal na data upang mabilis na mabawi mula sa mga cyberattack, gaya ng ransomware. Nakakatulong ang pagkakaroon ng solidong data recovery plan sa lugar bawasan ang downtime sa kaganapan ng isang pag-atake. Ito ay hindi lamang tungkol sa pag-back up ng data, ngunit pati na rin ang pagtiyak na ang mga backup ay ligtas at maaaring maibalik nang mabilis at epektibo. Nakakatulong ito sa iyong organisasyon na manatiling matatag, kahit na sa harap ng isang malaking paglabag.
12. Pamamahala ng Imprastraktura ng Network
Ang iyong network ang gulugod ng iyong mga digital na operasyon, at napakahalaga ng pagprotekta dito. Ang Pamamahala ng Imprastraktura ng Network ay kinabibilangan ng pag-secure ng mga network device tulad ng mga firewall, router, at switch upang maiwasan ang hindi awtorisadong pag-access. Tinitiyak ng wastong pag-configure at pamamahala ng mga device na ito na ang iyong network ay naka-segment at ang trapiko ay sinasala upang harangan ang malisyosong aktibidad. Bilang bahagi ng egress control, ang ilang organisasyon ay gumagamit ng mga ISP proxy upang ipatupad ang mga patakaran sa pag-browse, mapanatili ang maaasahang koneksyon, at subaybayan ang papalabas na trapiko. Kabilang din dito ang paggamit ng encryption para sa mga sensitibong komunikasyon at pag-set up ng mga intrusion detection system upang subaybayan ang hindi pangkaraniwang pag-uugali ng network.
13. Pagsubaybay at Pagtatanggol sa Network
Ang pagpapanatiling malapit sa iyong aktibidad sa network ay mahalaga sa pagpapanatili ng isang malakas na postura ng seguridad. Kasama sa Network Monitoring and Defense ang paggamit ng kumbinasyon ng mga tool at pamamaraan upang matukoy at tumugon sa mga banta sa loob ng iyong network environment. Kabilang dito ang pagsubaybay sa gawi ng user, pagsusuri sa mga pattern ng trapiko, pag-detect ng mga anomalya, at pag-filter ng hindi gustong pag-access. Ang 11 pananggalang sa ilalim ng kontrol na ito ay gabay kung paano mangalap ng nauugnay na data ng network, bumuo ng mga alerto para sa mga kahina-hinalang kaganapan, at kontrolin ang access upang maiwasan ang mga panghihimasok. Sa pamamagitan ng pagsasama-sama ng matalinong pag-automate sa isang mahusay na pangkat ng seguridad, ang mga organisasyon ay maaaring mabilis na makakita, tumugon sa, at makabawi mula sa mga potensyal na banta sa cyber.
14. Security Awareness at Skills Training
Ang iyong mga empleyado ay kadalasang ang unang linya ng depensa laban sa mga banta sa cyber. Ang Pagsasanay sa Kamalayan at Kasanayan sa Seguridad ay kinabibilangan ng pagtuturo sa mga empleyado tungkol sa mga panganib sa cybersecurity tulad ng phishing, social engineering, at pamamahala ng password. Kapag ang mga empleyado ay may sapat na kaalaman at alam kung paano kilalanin ang kahina-hinalang aktibidad, sila ay nagiging aktibong bahagi ng iyong diskarte sa seguridad. Ang regular na pagsasanay ay nakakatulong na lumikha ng isang kultura ng kamalayan sa seguridad, na ginagawang mas maliit ang posibilidad na ang isang empleyado ay mahulog sa isang scam o hindi sinasadyang mailantad ang organisasyon sa isang paglabag.
15. Pamamahala ng Tagabigay ng Serbisyo
Ang mga third-party na vendor at contractor ay maaari ding magdulot ng panganib sa seguridad kung ang kanilang mga kasanayan ay hindi katumbas ng halaga. Tinitiyak ng kontrol na ito na sinusunod ng iyong mga service provider ang matibay na patakaran sa seguridad at sumusunod sa iyong organisasyon pinakamahusay na kasanayan sa cybersecurity. Kung ito man ay mga serbisyo sa cloud, suporta sa IT, o mga supplier, mahalagang suriin ang postura ng seguridad ng mga third party at ipatupad ang mga hakbang sa seguridad, gaya ng pag-encrypt at proteksyon ng data, sa iyong mga kontrata. Tumutulong ang pamamahala sa panganib ng vendor na mabawasan ang mga kahinaan na nagmumula sa labas ng iyong organisasyon.
16. Seguridad ng Application Software
Ang mga application ay pangunahing target para sa mga cyberattack, lalo na kung naglalaman ang mga ito ng mga bahid ng coding. Nakatuon ang kontrol na ito sa pag-secure ng mga application sa pamamagitan ng mga secure na kasanayan sa coding at regular na pagsusuri ng code. Kasama rin dito pamamahala ng patch, pagsubok sa kahinaan, at whitelisting upang matiyak na tanging mga secure na application lamang ang ginagamit. Sa pamamagitan ng pagpapatupad ng patakarang ito, binabawasan mo ang panganib ng pagpapakilala ng mga kahinaan sa iyong mga application na maaaring pagsamantalahan ng mga umaatake. Habang nagiging mas kumplikado ang mga kapaligiran ng application, ang pamamahala ng postura ng seguridad ng application ay maaaring magdagdag ng kapaki-pakinabang na konteksto sa pamamagitan ng pagtulong sa mga team na matukoy kung aling mga panganib sa software ang aktwal na nakalantad at sulit na tugunan muna.
17. Pamamahala sa Pagtugon sa Insidente
Tinitiyak ng Pamamahala sa Pagtugon sa Insidente na ang iyong organisasyon ay handa nang epektibong pangasiwaan ang anumang insidente sa seguridad. Ang kontrol na ito ay nagsasangkot ng pagbuo ng isang malinaw na plano para sa pagtugon sa mga paglabag sa seguridad, kabilang ang pagtukoy sa pinagmulan ng pag-atake, naglalaman ng pinsala, at mga sistema ng pagbawi. Dapat ding kasama sa plano ang mga protocol ng komunikasyon para sa pagpapaalam sa mga stakeholder at mga regulatory body. Tinitiyak ng regular na mga drill sa pagtugon sa insidente na alam ng iyong team kung ano ang gagawin kapag nangyari ang totoong bagay, na pinapaliit ang epekto ng pag-atake.
18. Pagsubok ng Pagtagos
Ang Penetration Test (madalas tinutukoy bilang "pen test") ay parang pagkuha ng mga ethical hacker para pasukin ang iyong mga system. Ang kontrol na ito ay kinabibilangan ng paggaya sa mga cyberattack upang mahanap ang mga kahinaan bago pa man ito gawin ng mga malisyosong hacker. Sa pamamagitan ng pagsubok sa iyong mga depensa sa mga totoong sitwasyon, matutukoy mo ang mga kahinaan sa iyong mga system, network, at application, kabilang ang mga API, na lalong nagiging target na mga attack surface. Pagtukoy sa isang Checklist sa pagsubok ng pagtagos ng API Tinutulungan ang mga koponan na buuin ang kanilang pamamaraan sa pagsubok sa mga interface na ito nang sistematiko. Kapag natuklasan ang mga kahinaang ito, maaari na itong maayos bago pa man ito magamit ng isang tunay na umaatake. Ang regular na pen testing ay makakatulong sa iyong manatiling isang hakbang sa unahan, tinitiyak na ang iyong mga depensa ay mananatiling epektibo laban sa mga umuusbong na banta. Ang pagsasagawa ng isang masusing checklist ng ai pentesting ay makakatulong na matiyak na ang iyong mga autonomous security testing procedure ay isinasama ang lahat ng kinakailangang hakbang sa kaligtasan, na binabawasan ang panganib ng mga hindi inaasahang kahihinatnan.
Paano ipatupad ang mga kontrol ng CIS?
Ang pag-ampon sa balangkas ng mga kontrol ng CIS ay hindi isang lahat-o-wala na gawain. Hindi mo kailangang ipatupad ang lahat ng 20 kontrol nang sabay-sabay, lalo na kung limitado ang mga mapagkukunan ng iyong organisasyon. Sa halip, maaari kang gumawa ng isang hakbang-hakbang na diskarte na naaayon sa iyong badyet, lakas-tao, at agarang mga pangangailangan sa seguridad. Narito kung paano magsimula:
- Suriin ang iyong mga panganib sa cyber: Ang unang hakbang ay tukuyin kung ano ang pinakamahalaga sa iyong organisasyon. Magsimula sa pamamagitan ng pagtukoy sa iyong kritikal na data at mga asset. Kapag alam mo na kung ano ang nangangailangan ng proteksyon, magsagawa ng masusing pagtatasa ng panganib upang maunawaan ang mga potensyal na banta. Ano ang mga kahinaan sa iyong system? Sino ang maaaring mag-target ng iyong data? Ano ang maaaring maging kahihinatnan kung matagumpay ang isang pag-atake? Sa pamamagitan ng pag-unawa sa iyong tanawin ng peligro, makakagawa ka ng mas matalinong mga pagpapasya tungkol sa kung saan maglalaan ng mga mapagkukunan at kung aling mga kontrol ang unang ipapatupad.
- Ihambing ang iyong kasalukuyang seguridad sa Kinokontrol ng CIS ang mga balangkas: Susunod, tingnang mabuti ang iyong kasalukuyang postura ng seguridad. Ihambing ang iyong mga kasalukuyang hakbang sa mga balangkas ng mga kontrol ng CIS upang matukoy ang anumang mga puwang. Anong mga kontrol ang ipinapatupad mo na? Saan ka nagkukulang? Tinutulungan ka ng paghahambing na ito na maunawaan kung saan nakatayo ang iyong organisasyon at kung ano ang kulang. Nasa lugar ba ang iyong mga pangunahing kontrol tulad ng imbentaryo ng asset at pamamahala ng pag-access? Kailangan mo bang i-upgrade ang iyong mga kasanayan sa pamamahala ng kahinaan? Ang pagtukoy sa mga puwang na ito ay magbibigay sa iyo ng isang malinaw na roadmap kung saan itutuon muna ang iyong mga pagsisikap.
- Unahin ang mga pangunahing kontrol: Sa sandaling mayroon ka nang malinaw na pag-unawa sa iyong mga panganib at gaps, oras na para unahin ang iyong mga aksyon. Magsimula sa mga pangunahing kontrol. Kapag nasa lugar na ang mga iyon, magpatuloy sa mga pangunahing kontrol, na nagbibigay ng mas advanced na mga proteksyon. Kung ang iyong organisasyon ay nangangasiwa ng napakasensitibong data o tumatakbo sa mga regulated na industriya, maaaring kailanganin mo ring ipatupad ang mga kontrol ng organisasyon, na tumutuon sa mga patakaran at pamamahala. Sa pamamagitan ng pagbibigay-priyoridad sa mga kontrol na ito sa mga yugto, maaari mong buuin ang iyong mga depensa sa isang napapamahalaang paraan habang tumutuon muna sa mga pinaka-kritikal na lugar.
- Ligtas na executive buy-in: Walang diskarte sa seguridad ang magtagumpay nang walang suporta mula sa itaas. Ang executive buy-in ay mahalaga para sa paglalaan ng mga mapagkukunan, parehong pinansiyal at tao na kailangan upang mabisang ipatupad ang mga balangkas ng kontrol ng CIS. Makipag-ugnayan sa iyong pangkat ng pamumuno at gawin ang kaso kung bakit ang cybersecurity ay isang pangunahing priyoridad. Ibahagi ang mga panganib, ipaliwanag ang halaga ng mga kontrol, at ipakita kung paano naaayon ang mga balangkas ng kontrol ng CIS sa mas malawak na layunin ng iyong organisasyon. Kapag natanggap mo na ang kanilang suporta, maaari mong i-secure ang badyet at mga tauhan na kailangan para ilunsad ang iyong mga hakbangin sa seguridad.
- Ipatupad at subaybayan ang pag-unlad: Dahil nakalagay ang iyong mga plano at na-secure ang mga kinakailangang mapagkukunan, oras na para ipatupad ang mga kontrol. Magsimula sa maliit, at pagkatapos ay palawakin habang nagiging mas komportable ang iyong organisasyon sa proseso. Ngunit ang pagpapatupad ay hindi titigil doon. Ang patuloy na pagsubaybay ay susi sa pagpapanatili ng isang malakas na postura ng seguridad. Regular na suriin at i-update ang iyong mga patakaran, subaybayan ang iyong pag-unlad, at manatiling flexible upang umangkop sa mga umuusbong na banta. Ang cybersecurity ay isang patuloy na pagsisikap, hindi isang beses na pag-aayos.
Ano ang CIS Implementation Groups?
Ang CIS Implementation Groups (IGs) ay isang praktikal na paraan upang gabayan ang mga organisasyon sa pamamagitan ng 18 CIS Controls batay sa kanilang cybersecurity maturity, resources, at risk exposure. Sa halip na ituring ang bawat kontrol bilang pantay na apurahan, inaayos ng CIS framework ang pinakamahuhusay na kagawian sa seguridad na ito sa tatlong Implementation Groups upang matulungan ang mga organisasyon na bigyang-priyoridad kung ano ang unang ipapatupad.
Habang ang naunang bersyon ng balangkas ay may kasamang 20 kontrol, ang kasalukuyang listahan ng Mga Kontrol ng CIS ay may kasamang 18, na ikinategorya ayon sa pagiging kumplikado at antas ng pagpapatupad:
IG1 – Mga Pangunahing Kontrol
Ito ang mga pangunahing aksyong panseguridad na inirerekomenda para sa lahat ng organisasyon, lalo na sa maliliit hanggang sa katamtamang laki ng mga may limitadong kawani ng cybersecurity. Sinasaklaw nila ang:
- Imbentaryo at Kontrol ng Mga Asset ng Enterprise
- Imbentaryo at Kontrol ng Software Assets
- Protection data
- Secure na Configuration ng Enterprise Assets at Software
- Pamamahala ng Account
- Pamamahala ng Access Control
IG2 – Mga Pangunahing Kontrol
Tamang-tama para sa mga organisasyong may katamtamang pagkakalantad sa panganib at mas kumplikadong mga kapaligiran sa IT, ang mga kontrol na ito ay binuo sa IG1 at kinabibilangan ng:
- Patuloy na Pamamahala ng Kahinaan
- Pamamahala ng Log ng Audit
- Mga Proteksyon sa Email at Web Browser
- Mga Depensa sa Malware
- Data Recovery
- Pamamahala ng Imprastraktura ng Network
- Pagsubaybay at Pagtatanggol sa Network
- Pagsasanay sa Kamalayan sa Seguridad at Kasanayan
- Pamamahala ng Tagabigay ng Serbisyo
- Seguridad ng Application Software
- Pamamahala ng Pagtugon sa Insidente
IG3 – Mga Advanced na Kontrol
Ito ay mga advanced na kasanayan sa seguridad na inirerekomenda para sa malalaking negosyo o organisasyon na nangangasiwa ng napakasensitibong data. Nakakatulong ang mga kontrol na ito na magbantay laban sa mga naka-target na pag-atake at matugunan ang mga kinakailangan sa regulasyon:
- Pagsubok ng Pagtagos
Sa pamamagitan ng pag-align ng CIS Implementation Groups sa 18 kritikal na kontrol, ang mga organisasyon ay maaaring gumawa ng isang phased, strategic na diskarte sa cybersecurity, simula sa mga pangunahing kaalaman at pagbuo patungo sa mga advanced na proteksyon habang lumalaki ang kanilang mga kakayahan.
Magbasa nang higit pa: CIS Level 1 vs. CIS Level 2: Aling benchmark ng seguridad ang akma sa iyong mga pangangailangan?
Mga Benepisyo ng Pagpapatupad ng Mga Kontrol sa Seguridad ng CIS
Ang pagpapatupad ng CIS Security Controls ay isang matalinong paraan upang palakasin ang iyong cybersecurity. Tinutulungan ka ng mga kontrol na ito na maiwasan, matukoy, at tumugon sa mga banta sa cyber. Nag-aalok sila ng malinaw, sunud-sunod na diskarte sa pagbuo ng iyong diskarte sa seguridad. Maaari mong i-customize ang mga kontrol batay sa laki ng iyong organisasyon, ang uri ng data na iyong pinangangasiwaan, at antas ng iyong panganib. Narito kung paano nakikinabang ang iyong negosyo sa mga kontrol sa seguridad ng CIS:
- Pinalakas na pundasyon ng seguridad
Ang mga pangunahing kontrol (IG1) ay tumutulong sa maliliit na negosyo at mga startup na magtatag ng mahahalagang hakbang sa seguridad gaya ng pamamahala ng mga asset, pag-secure ng mga account, at pagprotekta sa mga device na lumilikha ng matatag na pundasyon para sa cyber defense. - Proteksyon na matipid para sa maliliit na koponan
Ang mga organisasyong may limitadong mapagkukunan ay maaaring magsimula sa mga kontrol sa seguridad ng CIS na nag-aalok ng mga pananggalang na may mataas na epekto nang hindi nangangailangan ng malaking badyet o nakalaang pangkat ng seguridad, at maaari pang makinabang mula sa espesyal na suporta na inaalok ng mga tagapagbigay ng serbisyo sa cybersecurity upang maipatupad at mapamahalaan ang mga kontrol na ito nang mahusay. - Pinadali ang pagsunod sa regulasyon
Sinusuportahan ng mga foundational control (IG2) ang mga negosyong nangangasiwa ng sensitibong data tulad ng pangangalaga sa kalusugan, pampinansyal, o personal na impormasyon sa pamamagitan ng pag-aayon sa mga pamantayan sa pagsunod gaya ng HIPAA, PCI-DSS, at GDPR. - Pinahusay na pamamahala sa peligro
Sa pamamagitan ng pagtukoy sa mga kahinaan at pagpapatupad ng mga secure na configuration, binabawasan ng mga kontrol sa seguridad ng CIS ang panganib ng mga paglabag at pagkawala ng data sa iyong digital na imprastraktura. - Ang madiskarteng pamamahala sa cybersecurity
Ang mga kontrol ng organisasyon (IG3) ay tumutulong sa mga malalaki o mataas na panganib na organisasyon na isama ang seguridad sa diskarte sa negosyo, mga patakaran, at mga operasyon. Ito ay perpekto para sa mga entidad ng pamahalaan, depensa, at kritikal na imprastraktura. - Nasusukat na balangkas para sa paglago
Habang lumalaki ang iyong negosyo, kinokontrol ng CIS security ang sukat sa iyo. Mula sa mga pangunahing proteksyon hanggang sa mga advanced na diskarte maaari mong tiyakin ang pare-parehong seguridad sa bawat yugto ng iyong paglalakbay. - Pinahusay na tiwala at reputasyon
Ang pagsunod sa isang kinikilalang balangkas ng cybersecurity tulad ng mga kontrol sa seguridad ng CIS ay nagpoprotekta sa iyong data at nagpapalakas din ng kumpiyansa ng stakeholder at bumubuo ng kredibilidad sa mga kliyente at kasosyo.
Secure ngayon, umunlad bukas
Ang mga banta sa cyber ay hindi napupunta kahit saan. Dapat gamitin ng mga organisasyon ang mga kritikal na kontrol sa seguridad ng CIS upang manatiling nangunguna sa mga cybercriminal. Nagbibigay ang mga kontrol na ito ng malinaw na roadmap para sa pag-secure ng mga system, pagprotekta sa data, at pagtiyak ng pagsunod.
Sa pagtatapos ng araw, ang cybersecurity ay hindi lamang tungkol sa pagsunod, ito ay tungkol sa kaligtasan. Handa na ba ang iyong negosyo na ipagtanggol ang sarili?
Irehistro ang iyong interes ngayon at tingnan kung paano makakatulong sa iyo ang Scalefusion Veltar na mapahusay ang seguridad at pagsunod sa CIS.
Sanggunian:
1. Magazine sa Cybercrime
2. Bantayan ang Guard
3. Baguhin ang Pangangalaga sa Kalusugan
4. Wikipedia
Mga Madalas Itanong
1. Sino ang lumikha ng mga kontrol ng CIS?
Ang mga kontrol ng CIS ay nilikha ng Center for Internet Security (CIS). Binuo ang mga ito gamit ang input mula sa mga eksperto sa cybersecurity sa buong gobyerno, negosyo, at akademya.
2. Bakit dapat ipatupad ng isang organisasyon ang Mga Kontrol ng CIS?
Ang mga kontrol sa seguridad ng CIS ay tumutulong sa mga organisasyon na bawasan ang panganib sa cyber, protektahan ang sensitibong data, at matugunan ang mga pamantayan sa pagsunod. Nag-aalok sila ng malinaw, nasusukat na balangkas para sa pagbuo ng isang malakas na diskarte sa cybersecurity.
3. Ano ang layunin ng mga kontrol ng CIS?
Ang layunin ng mga kontrol ng CIS ay magbigay ng priyoridad na hanay ng mga pinakamahusay na kagawian upang maprotektahan ang mga IT system at data mula sa mga banta sa cyber. Tinutulungan nila ang mga organisasyon na palakasin ang seguridad gamit ang mga praktikal na hakbang.
4. Ano ang pinakabagong bersyon ng mga kontrol ng CIS?
Ang pinakabagong bersyon ng CIS Controls ay v8.1. Kabilang dito ang 18 na-update na mga kontrol na mas mahusay na sumusuporta sa modernong IT at cloud environment.
