Gap CIS Controls: solo 49 dei 153 safeguard hanno un crosswalk

I CIS Critical Security Controls sono tra i preferiti dei professionisti perché dicono esattamente cosa fare: inventariare i propri asset con una scoperta automatizzata, creare liste di autorizzazione per il software, raccogliere i log di audit della riga di comando. La versione 8.1 include 18 controlli e 153 safeguard, suddivisi in tre Implementation Group. Mapparli su altri framework dovrebbe essere semplice, e CIS stessa ha pubblicato un crosswalk verso NIST CSF 2.0 nel catalogo OLIR di NIST.

Quel crosswalk copre 49 safeguard. Gli altri 104 non hanno alcun collegamento pubblicato al suo interno.

Cosa coprono i 49

I safeguard presentati da CIS nella sottomissione OLIR sono distribuiti tra i controlli, con un'enfasi su quelli che sostengono più direttamente un outcome del CSF. Molti dei safeguard tecnici specifici (singoli tipi di log, particolari impostazioni anti-malware, scansioni separate di asset interni ed esterni) non vi compaiono, presumibilmente perché CIS ha mappato al livello in cui esisteva un collegamento chiaro uno-a-uno. La mappatura più completa di CIS si trova sul suo sito web, dietro un modulo di download, e la sua licenza (CC BY-NC-ND) limita il modo in cui altri possono riutilizzarla.

Come abbiamo gestito gli altri 104

Invece di lasciare non mappati due terzi di CIS, ControlMapping ha collocato ogni safeguard rimanente nell'argomento a cui ovviamente appartiene (scansioni delle vulnerabilità in gestione delle vulnerabilità, safeguard sui log di audit in logging, formazione del personale in consapevolezza), ciascuno etichettato come redazionale con una motivazione in una riga. Il risultato:

Dei 153 salvaguardie di CIS v8.1, 153 (100%) corrispondono a qualcosa in NIST CSF 2.0, 0 sono solo debolmente correlati e 0 non hanno mappature nei nostri dati. Apri il report sui gap →

Ogni safeguard CIS ora è mappato a un argomento definito dal CSF. Ma la maggior parte di questi collegamenti è frutto del nostro giudizio, non di quello di CIS, e va trattata di conseguenza.

Perché la “mappatura” sembra così facile per CIS

I safeguard CIS sono specifici e tecnici, quindi quasi ogni framework generico tocca ciascuno di essi a livello di argomento. Il controllo sul logging di ISO 27001 si collega a ogni safeguard CIS sul logging; gli outcome sulle vulnerabilità di NIST si collegano a ogni safeguard sulle scansioni. Questo fa sembrare CIS quasi completamente coperto da qualsiasi altro framework, come ha rilevato la nostra analisi dei punti di partenza tra framework. In pratica il safeguard CIS è di solito il requisito più esigente: ISO ti chiede di registrare, CIS ti dice quali log registrare.

L'altra direzione

Dei 106 sottocategorie di NIST CSF 2.0, 59 (56%) corrispondono a qualcosa in CIS v8.1, 9 sono solo debolmente correlati e 38 non hanno mappature nei nostri dati. Apri il report sui gap →

Passando da CIS a CSF 2.0, i gap sono per lo più di governance: CIS v8.1 è una baseline operativa e dice poco sul contesto organizzativo, sulla strategia di rischio o sui programmi di gestione della catena di fornitura, che costituiscono la funzione Governare del CSF.

Punti chiave

• Il crosswalk di CIS aperto al pubblico verso NIST CSF 2.0 copre 49 dei 153 safeguard di CIS Controls v8.1; gli altri sono mappati qui per giudizio, ciascuno con una motivazione.
• Poiché i safeguard CIS sono specifici e tecnici, quasi ogni framework più ampio sembra coprirli. In pratica il safeguard CIS è di solito il requisito più esigente.
• Passando da CIS ad altri framework, il gap principale è la governance: strategia di rischio, supervisione e programmi di gestione della catena di fornitura.
• Usa CIS come dettaglio implementativo sotto ISO 27001 o CSF, e ottieni la mappatura completa di CIS se un audit richiede un collegamento autorevole.

Come usare CIS con un altro framework

1. Usa CIS come dettaglio implementativo sotto un framework più ampio: ISO 27001 o CSF dicono cosa ottenere, CIS IG1 e IG2 dicono come.
2. Tratta i collegamenti redazionali come punti di partenza. Le nostre pagine dei requisiti mostrano quali collegamenti CIS sono supportati dal crosswalk e quali sono nostri; CIS Controls v8.1 elenca tutti i 153 safeguard con entrambi.
3. Ottieni la mappatura completa di CIS se ti serve un collegamento CIS-CSF autorevole per un audit.

Il confronto NIST CSF vs CIS e il confronto ISO 27001 vs CIS coprono entrambe le direzioni.

Domande

CIS pubblica una mappatura completa verso NIST CSF 2.0?

CIS pubblica una mappatura più completa sul proprio sito web, dietro un modulo di download. Il crosswalk aperto al pubblico nel catalogo OLIR di NIST copre 49 dei 153 safeguard di CIS Controls v8.1.

I collegamenti CIS di ControlMapping sono affidabili?

I 49 collegamenti supportati dal crosswalk sono di CIS. Gli altri sono redazionali di ControlMapping, collocati in argomenti con una motivazione dichiarata; verificali con la mappatura completa di CIS prima di farvi affidamento.

Cosa sono gli Implementation Group di CIS?

Tre livelli di safeguard CIS: IG1 è l'igiene informatica essenziale per ogni organizzazione, IG2 aggiunge safeguard per organizzazioni con ambienti più complessi, e IG3 aggiunge quelli per organizzazioni esposte ad attacchi sofisticati.