CIS Controls: Warum nur 49 von 153 Safeguards im Crosswalk stehen

Die CIS Critical Security Controls sind bei Praktikern beliebt, weil sie genau sagen, was zu tun ist: Inventarisieren Sie Ihre Assets mit automatisierter Erkennung, setzen Sie Allowlisting für Software ein, sammeln Sie Befehlszeilen-Audit-Logs. Version 8.1 umfasst 18 Controls und 153 Safeguards, die in drei Implementierungsgruppen priorisiert sind. Die Zuordnung zu anderen Frameworks sollte einfach sein, und CIS selbst hat im OLIR-Katalog von NIST einen Crosswalk zu NIST CSF 2.0 veröffentlicht.

Dieser Crosswalk umfasst 49 Safeguards. Für die übrigen 104 enthält er keine veröffentlichte Verknüpfung.

Was die 49 abdecken

Die Safeguards in der OLIR-Einreichung von CIS verteilen sich über die Controls, mit einem Schwerpunkt auf jenen, die ein CSF-Ergebnis am unmittelbarsten unterstützen. Viele der spezifischen technischen Safeguards (einzelne Log-Typen, bestimmte Anti-Malware-Einstellungen, getrennte Scans interner und externer Assets) fehlen darin, vermutlich weil CIS auf der Ebene zugeordnet hat, auf der eine eindeutige Eins-zu-eins-Verknüpfung bestand. Die umfassendere Zuordnung von CIS liegt auf der eigenen Website hinter einem Download-Formular, und ihre Lizenz (CC BY-NC-ND) begrenzt, wie andere sie weiterverwenden dürfen.

Wie wir die übrigen 104 behandelt haben

Statt zwei Drittel der CIS Controls unzugeordnet zu lassen, hat ControlMapping jeden verbleibenden Safeguard dem Thema zugeordnet, zu dem er offensichtlich gehört (Schwachstellenscans zu Schwachstellenmanagement, Audit-Log-Safeguards zu Protokollierung, Schulung der Belegschaft zu Sensibilisierung), jeweils als redaktionell gekennzeichnet mit einer einzeiligen Begründung. Das Ergebnis:

Von den 153 CIS v8.1-Schutzmaßnahmen sind 153 (100%) auf etwas in NIST CSF 2.0 zugeordnet, 0 sind nur lose verwandt und 0 haben keine Zuordnung in unseren Daten. Lückenbericht öffnen →

Jeder CIS-Safeguard ist nun einem CSF-definierten Thema zugeordnet. Die meisten dieser Verknüpfungen beruhen jedoch auf unserer Einschätzung, nicht auf der von CIS, und Sie sollten sie entsprechend behandeln.

Warum „zugeordnet“ bei CIS so einfach aussieht

CIS-Safeguards sind eng gefasst und technisch, daher berührt fast jedes breite Framework jeden von ihnen auf Themenebene. Die Logging-Anforderung von ISO 27001 bezieht sich auf jeden CIS-Logging-Safeguard; die Schwachstellen-Ergebnisse von NIST beziehen sich auf jeden Scan-Safeguard. Dadurch wirken die CIS Controls durch jedes andere Framework nahezu vollständig abgedeckt, wie unsere Analyse zum Einstieg in Frameworks zeigte. In der Praxis ist der CIS-Safeguard meist die anspruchsvollere Anforderung: ISO verlangt, dass Sie protokollieren, CIS sagt Ihnen, welche Protokolle.

Die andere Richtung

Von den 106 NIST CSF 2.0-Unterkategorien sind 59 (56%) auf etwas in CIS v8.1 zugeordnet, 9 sind nur lose verwandt und 38 haben keine Zuordnung in unseren Daten. Lückenbericht öffnen →

Beim Übergang von CIS zu CSF 2.0 bestehen die Lücken vor allem in der Governance: CIS v8.1 ist eine operative Basislinie und sagt wenig über den Organisationskontext, die Risikostrategie oder Lieferkettenprogramme aus, die die Funktion Govern des CSF ausmachen.

Die wichtigsten Erkenntnisse

• Der öffentlich verfügbare Crosswalk von CIS zu NIST CSF 2.0 deckt 49 der 153 Safeguards der CIS Controls v8.1 ab; die übrigen sind hier nach Einschätzung zugeordnet, jeweils mit einer Begründung.
• Da CIS-Safeguards eng gefasst und technisch sind, scheinen fast alle breiteren Frameworks sie abzudecken. In der Praxis ist der CIS-Safeguard meist die anspruchsvollere Anforderung.
• Beim Übergang von CIS zu anderen Frameworks liegt die Hauptlücke in der Governance: Risikostrategie, Aufsicht und Lieferkettenprogramme.
• Nutzen Sie CIS als Umsetzungsdetail unter ISO 27001 oder CSF und holen Sie sich die vollständige CIS-Zuordnung, wenn ein Audit eine maßgebliche Verknüpfung benötigt.

CIS zusammen mit einem anderen Framework nutzen

1. Nutzen Sie CIS als Umsetzungsdetail unter einem breiteren Framework: ISO 27001 oder CSF sagt, was erreicht werden soll, CIS IG1 und IG2 sagen, wie.
2. Behandeln Sie redaktionelle Verknüpfungen als Ausgangspunkte. Unsere Anforderungsseiten zeigen, welche CIS-Verknüpfungen durch Crosswalk belegt sind und welche von uns stammen; CIS Controls v8.1 listet alle 153 Safeguards mit beiden auf.
3. Holen Sie sich die vollständige CIS-Zuordnung, wenn Sie für ein Audit eine maßgebliche CIS-zu-CSF-Verknüpfung brauchen.

Der Vergleich NIST CSF vs. CIS und der Vergleich ISO 27001 vs. CIS decken beide Richtungen ab.

Fragen

Veröffentlicht CIS eine vollständige Zuordnung zu NIST CSF 2.0?

CIS veröffentlicht eine umfassendere Zuordnung auf der eigenen Website hinter einem Download-Formular. Der offen zugängliche Crosswalk im OLIR-Katalog von NIST deckt 49 der 153 CIS-Controls-v8.1-Safeguards ab.

Sind die CIS-Verknüpfungen von ControlMapping verlässlich?

Die 49 durch Crosswalk belegten Verknüpfungen stammen von CIS selbst. Die übrigen sind redaktionelle Zuordnungen von ControlMapping, eingeordnet in Themen mit einer angegebenen Begründung; prüfen Sie sie anhand der vollständigen CIS-Zuordnung, bevor Sie sich darauf verlassen.

Was sind CIS-Implementierungsgruppen?

Drei Stufen von CIS-Safeguards: IG1 ist grundlegende Cyberhygiene für jede Organisation, IG2 ergänzt Safeguards für Organisationen mit komplexeren Umgebungen, und IG3 ergänzt jene für Organisationen, die sich gegen ausgefeilte Angriffe behaupten müssen.