CIS Controls: die kurze Liste, in der richtigen Reihenfolge
Wir bewerten Sie anhand der CIS Critical Security Controls, wählen die passende Implementation Group und helfen Ihnen, die priorisierten Safeguards umzusetzen.
Überblick
Was die CIS Controls sind
Die CIS Critical Security Controls sind ein priorisierter Satz von Schutzmaßnahmen, gepflegt vom Center for Internet Security. Die aktuelle Version umfasst 18 Controls, von der Inventarisierung der Assets und dem Schutz von Daten bis zur Reaktion auf Vorfälle und zu Penetrationstests, jeweils in konkrete Safeguards aufgeteilt.
Die Safeguards sind in drei Implementation Groups eingeteilt. IG1 ist die grundlegende Cyberhygiene, der Boden, auf dem jede Organisation stehen sollte. IG2 und IG3 ergänzen Safeguards für komplexere Umgebungen, sensiblere Daten oder fähigere Angreifer. Jede Gruppe schließt die vorherige ein, Sie steigen also auf, statt zu wählen.
Eine Zertifizierung nach den CIS Controls gibt es nicht. Das Rahmenwerk ist zum Anwenden, Messen und Verbessern gedacht. Black Fox misst, wo Sie stehen, und hilft bei der Arbeit, an Dokumenten ebenso wie an der technischen Konfiguration.
Für wen es gedacht ist
Kleine und mittlere Organisationen, die einen konkreten, priorisierten Einstieg suchen, IT-Teams, die eine Liste mit Aufgaben einem Managementsystem vorziehen, und Organisationen, die bereits einem Rahmenwerk wie ISO/IEC 27001 folgen und darunter eine technische Basis wollen.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Implementation Group
Wir helfen Ihnen zu entscheiden, welche Implementation Group zu Ihrer Größe, Ihren Daten und Ihrer Exposition passt, damit Sie die richtigen Safeguards anpeilen.
Bewertung der Safeguards
Jeder Safeguard im Umfang gegen Nachweise geprüft: umgesetzt, teilweise umgesetzt oder fehlend.
Inventar von Assets und Software
Die ersten Controls verlangen, dass Sie wissen, was Sie betreiben. Wir helfen beim Aufbau von Inventaren, die aktuell bleiben.
Technische Umsetzung
Praktische Härtung von Endgeräten, Servern, Netzwerkgeräten und Konten, unter anderem mit Konfigurationsvorgaben wie den CIS Benchmarks.
Abbildung auf andere Rahmenwerke
Die CIS Controls lassen sich auf das NIST CSF, ISO/IEC 27001 und weitere abbilden. Wir nutzen das, damit die Arbeit mehrfach zählt.
So läuft der Auftrag ab
Auftakt
Wir vereinbaren Geltungsbereich, Beteiligte und die nötigen Zugänge und unterzeichnen auf Wunsch vorab eine Vertraulichkeitsvereinbarung.
Angebot
Ein Angebot mit Methode, Geltungsbereich und der Vertragsform, die zu Ihnen passt.
Bewertung
Interviews, Prüfung der Konfiguration und Stichproben von Nachweisen gegen die Safeguards Ihrer Implementation Group.
Übergabe der Ergebnisse
Eine bewertete Übersicht aller Safeguards, ein Managementbericht und ein technischer Bericht mit den Schritten zu jeder Lücke.
Begleitung der Umsetzung
Auf Wunsch praktische Arbeit an den Lücken Ihrer Wahl, in der Reihenfolge, die die Controls nahelegen.
Abschluss
Projektabschluss mit Feedback und auf Wunsch eine erneute Bewertung, um den Fortschritt zu messen.
Was Sie erhalten
- Empfehlung zur Implementation Group
- Bewertung Safeguard für Safeguard
- Priorisierter Maßnahmenplan
- Managementbericht für die Leitung
- Technischer Bericht mit Konfigurationshinweisen
- Abbildung auf NIST CSF oder ISO/IEC 27001, wo sinnvoll
Fragen
Kann man sich nach den CIS Controls zertifizieren lassen?
Nein. CIS veröffentlicht die Controls und Werkzeuge zur Messung, ein Zertifizierungsschema für Organisationen gibt es aber nicht. Eine unabhängige Bewertung wie unsere zeigt, wo Sie stehen. Brauchen Sie ein Zertifikat, sehen Sie sich ISO/IEC 27001 an.
Was unterscheidet die CIS Controls von den CIS Benchmarks?
Die Controls beschreiben, was in Ihrem Sicherheitsprogramm zu tun ist. Die Benchmarks sind detaillierte Leitfäden zur sicheren Konfiguration einzelner Produkte, etwa Betriebssysteme und Cloud-Plattformen. Mehrere Safeguards verlangen sichere Konfiguration, und dort kommen die Benchmarks ins Spiel.
Welche Implementation Group sollten wir anstreben?
IG1 sollte jede Organisation abdecken. Ob Sie IG2 oder IG3 brauchen, hängt davon ab, wie sensibel Ihre Daten sind, wie komplex Ihre Umgebung ist und was Kunden und Aufsicht erwarten. Wir helfen Ihnen bei der Bewertung, das zu entscheiden.
Ist das nur Papierarbeit?
Nein. Die meisten Safeguards sind technisch. Wir prüfen Konfigurationen und Nachweise und können die Härtung gemeinsam mit Ihnen umsetzen.
Verwandte Leistungen
- Governance und RisikoNIST Cybersecurity FrameworkNIST CSF 2.0 mit Black Fox Security: aktuelles und Zielprofil über Govern, Identify, Protect, Detect, Respond und Recover sowie ein Plan, um die Lücke zu schließen.
- Managed SecuritySystemhärtungSystemhärtung von Black Fox Security: Endgeräte, Server und Netzwerke, sichere Konfigurationsbaselines, Aufbau von Monitoring und persönliche Sicherheit.
- Managed SecuritySchwachstellenmanagementRegelmäßige Schwachstellenprüfungen von Black Fox Security: Scans, Triage, Priorisierung nach Ausnutzbarkeit und Exposition, Nachverfolgung und Trendberichte.
- Governance und RisikoInformationssicherheits-AuditUnabhängige Audits der Informationssicherheit von Black Fox Security nach ISO/IEC 27001, 27002, DSGVO, PCI DSS, Ihren Richtlinien oder einem Kundenfragebogen.
Beginnen Sie mit IG1
Sagen Sie uns, was Sie betreiben. Wir sagen Ihnen, welche Safeguards zuerst kommen, und helfen bei der Umsetzung.