CIS v7 Automatisering
Sådan sikrer du en robust CIS implementering
De færreste virksomheder har ressourcer og erfaring nok til at implementere cyber-sikkerhed og opnå et målbart, robust og kommunikerbart resultat. Vi ser ofte løsninger som er ad-hoc (billige og tilfældigt valgte) eller "løsninger" baseret på scripting, GPO og lignende. Implementeringen af CIS kontrollerne er afhængig af den rigtige kombination af medarbejdere, kompetencer, processer, kontroller OG værktøjer til automatisering i et kontinuerligt tiltag med en flerårig horisont drevet af og forankret i ledelsen. Hvis du gerne vil have hjælp til at kommunikere cybersikkerhed til og med ledelsen, så klik på linket herunder og se artiklen på vores forside. Herunder kan du gå på opdagelse i en liste med eksempler på leverandører, som robust understøtter specifikke CIS kontroller.
Nyttige links
CIS v7.1
CIS v8
Andre CIS links
Kobling af CIS kontrollerne til andre rammeværk
- CIS kontroller kan ses som en pragmatisk og målbar udmøntning af tiltag i mange andre rammeværk uden at kontrollerne nødvendigvis er 1:1 og vel vidende at CIS kontrollerne er rettet mod cybersikkerhed og ikke dækker alle kontroller, der relaterer til Informationssikkerhed (som fx ISO 27001). Der er fx et sammenfald mellem CIS v7.1 og ISO27001 Annex A på 66 ud af 114 kontroller.
- Når du skal forklare ledelsen hvad resultatet af en cyberanalyse betyder for virksomhedens cyberrisko, så er koblingen til NIST CSF områderne: Forbered ("Prepare"), Beskyt ("Protect"), Opdag ("Detect"), Håndter ("Respond") og Genopret ("Recover") ofte både nyttig og illustrativ.
- Til højre ser du en liste med CIS koblinger til andre rammeværk som du frit kan hente. Listen er ikke udtømmende og der kommer ofte beskrivelser af nye koblinger.
Koblinger og målinger
- Audit Scripts (v7.1 / v8)
- NIST CSF (v7.1 / v8)
- ISO 27001 (v7.1 / v8)
- ISO27002:2022 (v8)
- GDPR
- PCI DSS (v7.1 / v8)
- HIPAA
- Azure Security Benchmark
- NIST SP 800-171r2
- NIST SP 800-53r5
- CMMC (v7.1 / v8)
- CSA Cloud Controls Matrix
- Cyber Essentials v2.2
Automatisering af CIS kontrollerne
Herunder ser du en liste med software og hardware løsninger, som du kan bruge til at gøre implementeringen af de enkelte CIS kontroller robust.
Se vores video om launch af CIS V7.1
CIS Kontroller version 7.1
ME* - ManageEngine. IG* - Implementeringsgruppe
Inventarstyring af autoriserede og uautoriserede noder
[IG1:2 IG2:4 IG3:1]
Inventarstyring af autoriseret og uautoriseret software
[IG1:3 IG2:4 IG3:3]
Kontinuerlig sårbarhedsvurdering og rettelse
[IG1:2 IG2:5 IG3:0]
Kontrolleret brug af administrative rettigheder
[IG1:2 IG2:7 IG3:0]
Sikre konfigurationer af hardware og software
[IG1:4 IG2:1 IG3:0]
Vedligehold, overvågning og analyse af audit logs
[IG1:1 IG2:6 IG3:1]
E-mail og browser beskyttelse (og sikker opsætning)
[IG1:2 IG2:7 IG3:1]
Anti-malware funktionalitet (overvågning og analyse)
[IG1:3 IG2:5 IG3:0]
Begrænsning og kontrol af/med netværksporte
[IG1:1 IG2:3 IG3:1]
Mulighed for gendannelse af data (backup / restore)
[IG1:5 IG2:0 IG3:0]
Sikre konfigurationer for netværksdevices
[IG1:1 IG2:6 IG3:0]
Perimeterbeskyttelse ("Firewall" i hele netværket)
[IG1:2 IG2:6 IG3:4]
Databeskyttelse (Sikring af sensitive data)
[IG1:3 IG2:2 IG3:4]
Sikker brug og opsætning af Wireless adgang (WiFi)
[IG1:1 IG2:6 IG3:3]
Software/Hardware
Overvågning og kontrol med konti ("UEBA og opsætning")
[IG1:3 IG2:9 IG3:1]
Awareness træning/phishing (og måling af cyberrisiko reduktion)
[IG1:6 IG2:3 IG3:0]
Software/Services
Proofpoint PSAT (PDF)
AwareGO
Sophos Awareness Training
Inspired eLearning
Sikker udvikling og implementing af applikationer
[IG1:0 IG2:11 IG3:0]
Software/Services
Tenable.IO (Application test)
ImproSec Secure Development
sSDLC
SafeCode (Link/PDF)
Incident Response (hændelseshåndtering)
[IG1:4 IG2:4 IG3:0]
Software/Services
Penetration Testing (red team / blue team / purple team)
[IG1:0 IG2:6 IG3:2]
Software/Services
Cymulate
SentinelOne Vigilance
Sophos SOC
Dediko liste med danske SOC/IR