Главная » Хабрахабр » CIS Controls V7: рекомендации по информационной безопасности

CIS Controls V7: рекомендации по информационной безопасности


 
Центр интернет-безопасности (CIS) является некоммерческой организацией, которая разрабатывает собственные контрольные показатели и рекомендации, которые позволяют организациям совершенствовать свои программы обеспечения безопасности и соответствия требованиям. Эта инициатива направлена ​​на создание базовых уровней конфигурации безопасности систем, которые обычно встречаются во всех организациях.

Центром представлена новая версия руководства по информационной безопасности CIS Controls Version 7, в которое входит 20 рекомендаций по защите ИТ-инфраструктуры.

Ключевые принципы

Развитие рекомендаций основано на 7 ключевых принципах, позволяющих обеспечить надежный результат, использующих лучшие практики мирового ИТ-сообщества и рекомендации методологий PCI, NIST, ISO и HIPAA:

  • анализ текущих атак, развития технологий и требований к ИТ-технологиям;
  • фокусирование на аутентификации, шифровании и создании белых списков приложений;
  • сопоставление с другими методологиями и руководствами;
  • улучшение формулировок и упрощение понятий проверок;
  • установление основы для разработки и применения продуктов обеспечения информационной безопасности;
  • внесение изменение в формат для более гибкого применения (рассчитанного на различные организации);
  • использование отзывов и рекомендаций волонтеров и сторонников.

Описание CIS Controls

Описание критических элементов управления безопасностью включает в себя всесторонние проверки элементов ИТ-инфраструктуры, конфигураций, прав доступа, привилегий, системных журналов, мер и средств реагирования на инциденты и инициирование проверок.

В 7 редакции руководства элементы распределены на три категории, учитывающие современный ландшафт киберугроз.
image

Базовые

В этой категории содержатся рекомендации, необходимые для обеспечения информационной безопасности организации. В эту категорию входят следующие пункты:

  • инвентаризация авторизированных и неавторизованных устройств;
  • инвентаризация авторизированного и неавторизованного программного обеспечения;
  • средства управления уязвимостями;
  • использование административных привилегий;
  • защищенные конфигурации для мобильных устройств, ноутбуков, АРМ и серверов;
  • обслуживание, мониторинг и анализ журналов аудита.

Фундаментальные

В эту категорию входят рекомендации, необходимые для применения лучших практик для обеспечения преимуществ и использования передовых технологий кибер-безопасности. В эту категорию входят следующие пункты:

  • защита электронной почты и веб-браузера;
  • защита от вредоносных программ;
  • ограничение и контроль сетевых портов;
  • возможность восстановления данных;
  • защищенные конфигурации для сетевых устройств;
  • защита периметра;
  • защита данных;
  • контроль доступа;
  • контроль доступа беспроводных сетей;
  • контроль учетных записей.

Организационные

В эту категорию входят рекомендации, ориентированные на организационные процессы и административные меры, связанные с обеспечением информационной безопасности, с целью повышения осведомленности персонала и проведения Red Team/Blue Team операций. В эту категорию входят следующие пункты:

  • контроль уровня осведомленности персонала;
  • контроль прикладного программного обеспечения;
  • реагирование на инциденты;
  • тестирование на проникновение/Red Team.


Эти рекомендации позволяют составить четкие и приоритетные руководства для решения задач по обеспечению информационной безопасности организации и могут быть использованы как основа политик информационной безопасности.


x

Ещё Hi-Tech Интересное!

Как сделать так, чтобы вашу англоязычную статью для Хабра прочитали десятки тысяч человек: 3 простых совета

Все больше пользователей пробуют свои силы в переводе своих русскоязычных статей и написании новых. Англоязычная версия Хабра существует уже какое-то время. Я очень много пишу на английском по работе, и вижу некоторые повторяющиеся ошибки, которые не позволяют таким статьям привлекать ...

[Из песочницы] Моя первая читалка на основе Sharp PC3000

#include <dir.h> #include <bios.h> #include <dos.h> #include <fcntl.h> #include <io.h> #include <stat.h> #include <alloc.h> #include <conio.h> #include <stdio.h> #include <stat.h> #include <stdlib.h> #include <stdarg.h> #include <graphics.h> #include <process.h> unsigned char qui,c,membl[2000],fname[20],memtxt[128],Statusin,me; unsigned int h,pos=0,ads,seg,t,t1,t2,memseg,memoffset,membuff,tx,rx,startbuff,buffoff=0,buffbeg,xcor,ycor,buttons,tb; int *memblock,xpos,ypos; long membu,memtext,lenght; unsigned long ...