Celah CIS Controls: mengapa hanya 49 dari 153 safeguard memiliki crosswalk yang dipublikasikan

CIS Critical Security Controls menjadi favorit para praktisi karena dengan jelas menyebutkan apa yang harus dilakukan: membuat inventaris aset dengan penemuan otomatis, membuat daftar izin perangkat lunak (allowlist), dan mengumpulkan log audit command-line. Versi 8.1 memiliki 18 kontrol dan 153 safeguard, yang diprioritaskan ke dalam tiga Implementation Group. Memetakan kontrol ini ke kerangka kerja lain seharusnya mudah, dan CIS sendiri telah mempublikasikan crosswalk ke NIST CSF 2.0 di katalog OLIR NIST.

Crosswalk tersebut mencakup 49 safeguard. 104 safeguard lainnya tidak memiliki tautan yang dipublikasikan di dalamnya.

Apa yang dicakup oleh 49 safeguard tersebut

Safeguard dalam pengajuan OLIR CIS tersebar di seluruh kontrol, dengan penekanan pada safeguard yang paling langsung mendukung hasil CSF. Banyak safeguard teknis spesifik (jenis log individual, pengaturan anti-malware tertentu, pemindaian terpisah untuk aset internal dan eksternal) tidak termasuk di dalamnya, kemungkinan karena CIS memetakan pada tingkat yang memiliki tautan satu-ke-satu yang jelas. Pemetaan yang lebih lengkap dari CIS tersedia di situs webnya sendiri di balik formulir unduhan, dan lisensinya (CC BY-NC-ND) membatasi cara pihak lain menggunakannya kembali.

Bagaimana kami menangani 104 safeguard lainnya

Alih-alih membiarkan dua pertiga CIS tanpa pemetaan, ControlMapping menempatkan setiap safeguard yang tersisa ke dalam topik yang jelas menjadi bagiannya (pemindaian kerentanan ke manajemen kerentanan, safeguard log audit ke logging, pelatihan tenaga kerja ke kesadaran), masing-masing diberi label editorial dengan alasan satu baris. Hasilnya:

Dari 153 safeguard CIS v8.1, 153 (100%) dipetakan ke sesuatu dalam NIST CSF 2.0, 0 hanya terkait secara longgar, dan 0 tidak memiliki pemetaan dalam data kami. Buka laporan kesenjangan →

Setiap safeguard CIS kini terpetakan ke topik yang didefinisikan CSF. Namun sebagian besar tautan tersebut merupakan penilaian kami, bukan CIS, dan Anda sebaiknya memperlakukannya demikian.

Mengapa "terpetakan" tampak begitu mudah untuk CIS

Safeguard CIS bersifat sempit dan teknis, sehingga hampir setiap kerangka kerja yang lebih luas menyentuh masing-masing safeguard pada tingkat topik. Kontrol logging ISO 27001 berkaitan dengan setiap safeguard logging CIS; hasil kerentanan NIST berkaitan dengan setiap safeguard pemindaian. Hal ini membuat CIS tampak hampir sepenuhnya tercakup oleh kerangka kerja lain, sebagaimana ditemukan dalam analisis titik awal kerangka kerja kami. Dalam praktiknya, safeguard CIS biasanya merupakan persyaratan yang lebih menuntut: ISO meminta Anda membuat log, sedangkan CIS memberi tahu log mana yang harus dibuat.

Arah sebaliknya

Dari 106 subkategori NIST CSF 2.0, 59 (56%) dipetakan ke sesuatu dalam CIS v8.1, 9 hanya terkait secara longgar, dan 38 tidak memiliki pemetaan dalam data kami. Buka laporan kesenjangan →

Dari CIS ke CSF 2.0, celahnya sebagian besar berupa tata kelola: CIS v8.1 adalah baseline operasional dan sedikit membahas konteks organisasi, strategi risiko, atau program rantai pasok, yang membentuk fungsi Mengatur pada CSF.

Poin-poin utama

• Crosswalk CIS yang tersedia secara terbuka ke NIST CSF 2.0 mencakup 49 dari 153 safeguard CIS Controls v8.1; sisanya dipetakan berdasarkan penilaian di sini, masing-masing dengan alasannya.
• Karena safeguard CIS bersifat sempit dan teknis, hampir setiap kerangka kerja yang lebih luas tampak mencakupnya. Dalam praktiknya, safeguard CIS biasanya merupakan persyaratan yang lebih menuntut.
• Dari CIS ke kerangka kerja lain, celah utamanya adalah tata kelola: strategi risiko, pengawasan, dan program rantai pasok.
• Gunakan CIS sebagai detail implementasi di bawah ISO 27001 atau CSF, dan dapatkan pemetaan lengkap CIS jika audit memerlukan tautan yang otoritatif.

Cara menggunakan CIS dengan kerangka kerja lain

1. Gunakan CIS sebagai detail implementasi di bawah kerangka kerja yang lebih luas: ISO 27001 atau CSF menyatakan apa yang harus dicapai, sedangkan CIS IG1 dan IG2 menyatakan caranya.
2. Perlakukan tautan editorial sebagai titik awal. Halaman persyaratan kami menunjukkan tautan CIS mana yang didukung crosswalk dan mana yang merupakan buatan kami; CIS Controls v8.1 mencantumkan seluruh 153 safeguard beserta keduanya.
3. Dapatkan pemetaan lengkap CIS jika Anda memerlukan tautan CIS-ke-CSF yang otoritatif untuk audit.

Perbandingan NIST CSF vs CIS dan perbandingan ISO 27001 vs CIS mencakup kedua arah.

Pertanyaan

Apakah CIS mempublikasikan pemetaan lengkap ke NIST CSF 2.0?

CIS mempublikasikan pemetaan yang lebih lengkap di situs webnya sendiri di balik formulir unduhan. Crosswalk yang tersedia secara terbuka di katalog OLIR NIST mencakup 49 dari 153 safeguard CIS Controls v8.1.

Apakah tautan CIS milik ControlMapping dapat diandalkan?

49 tautan yang didukung crosswalk adalah milik CIS sendiri. Sisanya adalah editorial ControlMapping, ditempatkan ke dalam topik dengan alasan yang dinyatakan; periksa terhadap pemetaan lengkap CIS sebelum mengandalkannya.

Apa itu Implementation Group CIS?

Tiga tingkat safeguard CIS: IG1 adalah kebersihan siber dasar yang wajib bagi setiap organisasi, IG2 menambahkan safeguard untuk organisasi dengan lingkungan yang lebih kompleks, dan IG3 menambahkan safeguard untuk organisasi yang menghadapi serangan canggih.