Die CIS Critical Security Controls sind eine Sammlung von Sicherheitsmaßnahmen, die das Center for Internet Security (CIS) entwickelt hat. Die Top 20 der Critical Security Controls unterstützen Organisationen bei der Verbesserung ihrer Cyber-Sicherheit. Die Critical Security Controls umfassen die Top 20 empfohlenen Schritte zum Schutz vor gängigen Angriffsvektoren, wobei alle gemeinsam zu einem Ziel beitragen. Langfristiges Ziel ist die Sicherheit der Unternehmensnetzwerke und -Systeme, sowie interne Daten vor Diebstahl zu schützen.
Sind die Top 20 Critical Security Controls schon immer gleich?
Nein. Die Critical Security Controls sind immer in Bewegung und durch Aktualisierungen seitens der CSC geprägt. Hierdurch stellt die CSC sicher, dass die Top 20 immer dem Zeitgeist der aktuellen Bedrohungen entspricht. Dieser großen Verantwortung wird die CSC scheinbar gerecht, da ihre Leitfäden Regierungsbehörden, Unternehmen und anderen Organisationen als Referenz dienen.
Wie sieht die aktuelle Critical Security Controls Top 20 aus?
Die CSC umfassen Maßnahmen wie das regelmäßige Aktualisieren von Software und Betriebssystemen, das Implementieren von Sicherheitsrichtlinien und -verfahren, sowie das Überwachen von Netzwerkaktivitäten und das Testen von Sicherheitsmaßnahmen.
Die genaue Top 20 sieht so aus:
- Inventarisierung und Kontrolle von Software, Hardware und Dokumentation
- Sicherung von Betriebssystemen
- Verwendung von Firewalls und Router-Richtlinien
- Einschränkung und Kontrolle von Netzwerkzugriffen
- Verwendung von zentralen Authentifizierungsdiensten
- Regelmäßige Überprüfung von Konten und Berechtigungen
- Verwendung von Verschlüsselung für den Datentransport und für gespeicherte Daten
- Verwendung von Sicherheits-Software
- Verwendung von Echtzeit-Intrusion-Detection-Systemen (IDS)
- Regelmäßige Überprüfung von Sicherheitsmaßnahmen
- Überwachung von Netzwerkverkehr und Sicherheitsereignissen
- Schulung und Sensibilisierung von Mitarbeitern
- Einführung von Sicherheitsrichtlinien und -verfahren
- Einführung von Verfahren zur Verhinderung von Malware-Angriffen
- Verwendung von Firewalls und Routern mit aktuellen Sicherheitsupdates
- Einschränkung und Kontrolle von USB-Geräten und anderen externen Geräten
- Regelmäßige Überprüfung von Sicherheitsmaßnahmen für mobile Geräte
- Verwendung von Sicherheitsmaßnahmen für das Internet der Dinge (IoT)
- Verwendung von Sicherheitsmaßnahmen für Cloud-Dienste
- Einführung von Verfahren zur Bewältigung von Sicherheitsvorfällen
Diese Top 20 entspricht der Version 8 der CIS, wobei diese Stand Dezember 2022 die aktuellste ist.
Welche Ergänzungen sind notwendig?
Inwiefern andere Leitfäden die Top 20 der Critical Security Controls ergänzen müssen, ist ganz spezifisch. Je nachdem, ob ein Unternehmen keine, branchenspezifische oder firmeninterne Vorgaben zu erfüllen hat, benötigt es kleinere Ergänzungen oder komplette Compliance-Gerüste als Ergänzung. Je mehr individuelle Vorgaben ein Unternehmen im Bereich Security erfüllen muss, desto mehr nehmen die Top 20 Critical Security Controls die Rolle der Hilfsmittel ein. Dennoch können vor allem die ersten Critical Security Controls für jedes Security-Regelkonstrukt als Ausgangspunkt dienen.
Die fünf Kategorien der Critical Security Controls
Die Critical Security Controls (CSCs) sind in fünf Kategorien unterteilt:
- Inventar von autorisierten und nicht autorisierten Geräten: Diese Kategorie beschäftigt sich mit der Überwachung und dem Inventar von Geräten, die an das Netzwerk angeschlossen sind, wie PCs, Server, Router, Switches und andere Netzwerkgeräte.
- Inventar von autorisierter und nicht autorisierter Software: Diese Kategorie beschäftigt sich mit der Überwachung und dem Inventar von Software, die auf den Geräten des Unternehmens installiert ist. Ziel ist es, sicherzustellen, dass nur autorisierte Software verwendet wird und dass alle installierten Programme regelmäßig auf Sicherheitsupdates überprüft werden.
- Sichere Konfigurationen für Hardware und Software: Diese Kategorie beschäftigt sich mit der Sicherung von Hardware und Software, indem sie sichere Konfigurationen implementiert, die das Risiko von Sicherheitslücken minimieren. Dazu gehört beispielsweise das Einschalten von Firewalls und das Deaktivieren von unnötigen Diensten und Protokollen.
- Fortlaufende Überwachung von Schwachstellen und deren Beseitigung: Diese Kategorie beschäftigt sich mit der fortlaufenden Überwachung von Sicherheitslücken und Schwachstellen und der Beseitigung dieser Schwachstellen, um das Risiko von Sicherheitsbedrohungen zu minimieren.
- Kontrollierte Verwendung von Administratorrechten: Diese Kategorie beschäftigt sich mit der Kontrolle von Administratorrechten und der Einschränkung von Privilegien auf Benutzer, die sie wirklich benötigen. Dies soll verhindern, dass Benutzer unabsichtlich oder absichtlich Schaden anrichten, indem sie unerlaubt auf systemrelevante Funktionen zugreifen.
Bei Fragen oder Anregungen zum Thema New Work, zur Microsoft Welt oder zu Collaboration Tools stehen wir Ihnen gerne beratend zur Seite. Wir freuen uns auf Ihre Kontaktaufnahme.
Weitere Blogartikel aus Bereichen, die von New Work, über Microsoft 365 bis hin zu Sustainable IT reichen, finden Sie auf unserer Blogseite.
