under de senaste åren har det blivit uppenbart att i informationssäkerhetsvärlden överträffar brottet försvaret. Även om budgetarna ökar och förvaltningen ägnar mer uppmärksamhet åt riskerna för dataförlust och systempenetration, går data fortfarande förlorad och system penetreras fortfarande. Om och om igen frågar folk :” vad kan vi praktiskt taget göra för att skydda vår information?”Svaret har kommit i form av 20 informationssäkringskontroller som kallas CIS-kontrollerna.,
TIS Kritiska säkerhetskontroller – Version 7.,Kontroll
kritiska säkerhetskontroller för effektivt cyberförsvar
följande beskrivningar av de kritiska säkerhetskontrollerna finns på SANS institutets hemsida:
under årens lopp har många säkerhetsstandarder och kravramar utvecklats i försök att ta itu med risker för företagssystem och de kritiska uppgifterna i dem., De flesta av dessa ansträngningar har dock i huvudsak blivit övningar för att rapportera om överensstämmelse och har faktiskt omdirigerat säkerhetsprogramresurser från de ständigt utvecklande attackerna som måste åtgärdas. I 2008 erkändes detta som ett allvarligt problem av US National Security Agency (NSA), och de började en insats som tog ett ”brott måste informera försvaret”-tillvägagångssätt för att prioritera en lista över de kontroller som skulle ha störst inverkan på att förbättra riskställningen mot verkliga hot. Ett konsortium av USA, och internationella byråer växte snabbt och fick sällskap av experter från privat industri och runt om i världen. I slutändan samordnades rekommendationer för vad som blev de kritiska säkerhetskontrollerna (kontrollerna) genom SANS-Institutet. Under 2013 överfördes förvaltningen och upprätthållandet av kontrollerna till rådet om cybersäkerhet (rådet), en oberoende, global ideell enhet som åtagit sig att ett säkert och öppet Internet.,
de kritiska säkerhetskontrollerna fokuserar först på att prioritera säkerhetsfunktioner som är effektiva mot de senaste avancerade riktade hoten, med stor betoning på ”vad som fungerar” – säkerhetskontroller där produkter, processer, arkitekturer och tjänster används som har visat verklig effektivitet i världen. Standardisering och automatisering är en annan högsta prioritet, för att få operativa effektivitetsvinster samtidigt som effektiviteten förbättras., De åtgärder som definierats av Kontrollerna är bevisligen en delmängd av den omfattande katalog som definieras av National Institute of Standards and Technology (NIST) SP 800-53. Kontrollerna försöker inte ersätta NIST: s arbete, inklusive den Cybersäkerhetsram som utvecklats som svar på verkställande Order 13636. Kontrollerna prioriterar istället och fokuserar på ett mindre antal åtgärdsbara kontroller med hög utbetalning, som syftar till en” måste göra först ” filosofi., Eftersom kontrollerna härleddes från de vanligaste attackmönstren och undersöktes över en mycket bred regerings-och industrigemenskap, med mycket stark konsensus om den resulterande uppsättningen kontroller, tjänar de som grund för omedelbara åtgärder med högt värde.
rekommenderade referenser
 |
de kritiska säkerhetskontrollerna (version 7.,1) | |||
 |
AuditScripts Critical Security Control Executive Assessment Tool | |||
|
CIS Critical Security Control v7.,9768b575″>
|
Implementing the 20 Critical Controls with Security Information and Event Management Systems | ||
|
A Small Business No Budget Implementation of the SANS 20 Critical Controls |