프레임워크
CIS Controls v8.1
개요
Center for Internet Security가 제시하는 우선순위 기반 체계로, 18개 통제와 153개 세부 보호조치로 이루어지며 세 개의 구현 그룹(IG1~IG3)으로 나뉩니다. IG1은 "필수 사이버 위생" 기준선입니다. 버전 8.1(2024)은 통제를 NIST CSF 2.0의 Govern 기능에 맞춰 정렬했습니다.
필요한 대상
규범적이고 우선순위가 정해진 기술 기준선을 원하는 조직, 특히 IG1부터 시작하는 중소 규모 조직에 적합합니다.
평가 방식
인증은 없습니다. 조직은 CIS가 제공하는 자체 평가 도구를 사용하는 등 자가 평가를 하거나 제3자 평가자를 활용할 수 있습니다.
153
보호조치
153
다른 프레임워크에 매핑됨
76%
다루는 주제 (38/50)
CIS가 직접 공개한 크로스워크는 153개 안전 조치 중 49개를 다룹니다. 나머지는 ControlMapping이 편집 방식으로 매핑했으며 각 항목에 근거를 달았으므로, 의존하기 전에 해당 연결을 확인하십시오.
비교 자료
요구사항
요구사항 ID와 제목은 각 프레임워크가 발표한 그대로 영문으로 표시됩니다.
| ID | 요구사항 | 주제 | 매핑 위치: |
|---|---|---|---|
| 1. Inventory and Control of Enterprise Assets · 5 | |||
| CIS 1.1 | Establish and Maintain Detailed Enterprise Asset Inventory | 자산 관리 | 13 / 13 |
| CIS 1.2 | Address Unauthorized Assets | 자산 관리 | 13 / 13 |
| CIS 1.3 | Utilize an Active Discovery Tool | 자산 관리 | 13 / 13 |
| CIS 1.4 | Use Dynamic Host Configuration Protocol (DHCP) Logging to Update Enterprise Asset Inventory | 자산 관리 | 13 / 13 |
| CIS 1.5 | Use a Passive Asset Discovery Tool | 자산 관리 | 13 / 13 |
| 2. Inventory and Control of Software Assets · 7 | |||
| CIS 2.1 | Establish and Maintain a Software Inventory | 자산 관리 | 13 / 13 |
| CIS 2.2 | Ensure Authorized Software is Currently Supported | 패치 관리 | 10 / 13 |
| CIS 2.3 | Address Unauthorized Software | 자산 관리 | 13 / 13 |
| CIS 2.4 | Utilize Automated Software Inventory Tools | 자산 관리 | 13 / 13 |
| CIS 2.5 | Allowlist Authorized Software | 엔드포인트 보호 | 10 / 13 |
| CIS 2.6 | Allowlist Authorized Libraries | 엔드포인트 보호 | 10 / 13 |
| CIS 2.7 | Allowlist Authorized Scripts | 엔드포인트 보호 | 10 / 13 |
| 3. Data Protection · 14 | |||
| CIS 3.1 | Establish and Maintain a Data Management Process | 데이터 보호 | 11 / 13 |
| CIS 3.2 | Establish and Maintain a Data Inventory | 데이터 분류 | 9 / 13 |
| CIS 3.3 | Configure Data Access Control Lists | 접근 통제 | 11 / 13 |
| CIS 3.4 | Enforce Data Retention | 데이터 보호 | 11 / 13 |
| CIS 3.5 | Securely Dispose of Data | 데이터 보호 | 11 / 13 |
| CIS 3.6 | Encrypt Data on End-User Devices | 암호화 | 10 / 13 |
| CIS 3.7 | Establish and Maintain a Data Classification Scheme | 데이터 분류 | 9 / 13 |
| CIS 3.8 | Document Data Flows | 데이터 분류 | 9 / 13 |
| CIS 3.9 | Encrypt Data on Removable Media | 암호화 | 10 / 13 |
| CIS 3.10 | Encrypt Sensitive Data in Transit | 암호화 | 10 / 13 |
| CIS 3.11 | Encrypt Sensitive Data at Rest | 암호화, 데이터 보호 | 11 / 13 |
| CIS 3.12 | Segment Data Processing and Storage Based on Sensitivity | 데이터 보호 | 11 / 13 |
| CIS 3.13 | Deploy a Data Loss Prevention Solution | DLP | 7 / 13 |
| CIS 3.14 | Log Sensitive Data Access | 로깅 및 감사 | 10 / 13 |
| 4. Secure Configuration of Enterprise Assets and Software · 12 | |||
| CIS 4.1 | Establish and Maintain a Secure Configuration Process | 보안 구성 | 9 / 13 |
| CIS 4.2 | Establish and Maintain a Secure Configuration Process for Network Infrastructure | 보안 구성 | 9 / 13 |
| CIS 4.3 | Configure Automatic Session Locking on Enterprise Assets | 보안 구성 | 9 / 13 |
| CIS 4.4 | Implement and Manage a Firewall on Servers | 방화벽 / 네트워크 분리 | 9 / 13 |
| CIS 4.5 | Implement and Manage a Firewall on End-User Devices | 방화벽 / 네트워크 분리 | 9 / 13 |
| CIS 4.6 | Securely Manage Enterprise Assets and Software | 보안 구성 | 9 / 13 |
| CIS 4.7 | Manage Default Accounts on Enterprise Assets and Software | 보안 구성 | 9 / 13 |
| CIS 4.8 | Uninstall or Disable Unnecessary Services on Enterprise Assets and Software | 보안 구성 | 9 / 13 |
| CIS 4.9 | Configure Trusted DNS Servers on Enterprise Assets | DNS 보안 | 3 / 13 |
| CIS 4.10 | Enforce Automatic Device Lockout on Portable End-User Devices | 모바일 보안 | 7 / 13 |
| CIS 4.11 | Enforce Remote Wipe Capability on Portable End-User Devices | 모바일 보안 | 7 / 13 |
| CIS 4.12 | Separate Enterprise Workspaces on Mobile End-User Devices | 모바일 보안 | 7 / 13 |
| 5. Account Management · 6 | |||
| CIS 5.1 | Establish and Maintain an Inventory of Accounts | 접근 통제 | 11 / 13 |
| CIS 5.2 | Use Unique Passwords | 접근 통제 | 11 / 13 |
| CIS 5.3 | Disable Dormant Accounts | 접근 통제 | 11 / 13 |
| CIS 5.4 | Restrict Administrator Privileges to Dedicated Administrator Accounts | 특권 접근 | 10 / 13 |
| CIS 5.5 | Establish and Maintain an Inventory of Service Accounts | 접근 통제 | 11 / 13 |
| CIS 5.6 | Centralize Account Management | 접근 통제 | 11 / 13 |
| 6. Access Control Management · 8 | |||
| CIS 6.1 | Establish an Access Granting Process | 접근 통제 | 11 / 13 |
| CIS 6.2 | Establish an Access Revoking Process | 접근 통제 | 11 / 13 |
| CIS 6.3 | Require MFA for Externally-Exposed Applications | 다단계 인증 | 10 / 13 |
| CIS 6.4 | Require MFA for Remote Network Access | 다단계 인증 | 10 / 13 |
| CIS 6.5 | Require MFA for Administrative Access | 다단계 인증 | 10 / 13 |
| CIS 6.6 | Establish and Maintain an Inventory of Authentication and Authorization Systems | 접근 통제 | 11 / 13 |
| CIS 6.7 | Centralize Access Control | 접근 통제 | 11 / 13 |
| CIS 6.8 | Define and Maintain Role-Based Access Control | 접근 통제, 제로 트러스트 | 11 / 13 |
| 7. Continuous Vulnerability Management · 7 | |||
| CIS 7.1 | Establish and Maintain a Vulnerability Management Process | 취약점 관리 | 13 / 13 |
| CIS 7.2 | Establish and Maintain a Remediation Process | 취약점 관리 | 13 / 13 |
| CIS 7.3 | Perform Automated Operating System Patch Management | 패치 관리 | 10 / 13 |
| CIS 7.4 | Perform Automated Application Patch Management | 패치 관리 | 10 / 13 |
| CIS 7.5 | Perform Automated Vulnerability Scans of Internal Enterprise Assets | 취약점 관리 | 13 / 13 |
| CIS 7.6 | Perform Automated Vulnerability Scans of Externally-Exposed Enterprise Assets | 취약점 관리 | 13 / 13 |
| CIS 7.7 | Remediate Detected Vulnerabilities | 취약점 관리 | 13 / 13 |
| 8. Audit Log Management · 12 | |||
| CIS 8.1 | Establish and Maintain an Audit Log Management Process | 로깅 및 감사 | 10 / 13 |
| CIS 8.2 | Collect Audit Logs | 로깅 및 감사 | 10 / 13 |
| CIS 8.3 | Ensure Adequate Audit Log Storage | 로깅 및 감사 | 10 / 13 |
| CIS 8.4 | Standardize Time Synchronization | 로깅 및 감사 | 10 / 13 |
| CIS 8.5 | Collect Detailed Audit Logs | 로깅 및 감사 | 10 / 13 |
| CIS 8.6 | Collect DNS Query Audit Logs | DNS 보안 | 3 / 13 |
| CIS 8.7 | Collect URL Request Audit Logs | 로깅 및 감사 | 10 / 13 |
| CIS 8.8 | Collect Command-Line Audit Logs | 로깅 및 감사 | 10 / 13 |
| CIS 8.9 | Centralize Audit Logs | SIEM / SOC | 10 / 13 |
| CIS 8.10 | Retain Audit Logs | 로깅 및 감사 | 10 / 13 |
| CIS 8.11 | Conduct Audit Log Reviews | 이상 징후 탐지 | 9 / 13 |
| CIS 8.12 | Collect Service Provider Logs | 로깅 및 감사 | 10 / 13 |
| 9. Email and Web Browser Protections · 7 | |||
| CIS 9.1 | Ensure Use of Only Fully Supported Browsers and Email Clients | 이메일 보안 | 8 / 13 |
| CIS 9.2 | Use DNS Filtering Services | DNS 보안 | 3 / 13 |
| CIS 9.3 | Maintain and Enforce Network-Based URL Filters | 웹 보안 | 6 / 13 |
| CIS 9.4 | Restrict Unnecessary or Unauthorized Browser and Email Client Extensions | 이메일 보안 | 8 / 13 |
| CIS 9.5 | Implement DMARC | 이메일 보안 | 8 / 13 |
| CIS 9.6 | Block Unnecessary File Types | 이메일 보안 | 8 / 13 |
| CIS 9.7 | Deploy and Maintain Email Server Anti-Malware Protections | 이메일 보안 | 8 / 13 |
| 10. Malware Defenses · 7 | |||
| CIS 10.1 | Deploy and Maintain Anti-Malware Software | 엔드포인트 보호 | 10 / 13 |
| CIS 10.2 | Configure Automatic Anti-Malware Signature Updates | 엔드포인트 보호 | 10 / 13 |
| CIS 10.3 | Disable Autorun and Autoplay for Removable Media | 엔드포인트 보호 | 10 / 13 |
| CIS 10.4 | Configure Automatic Anti-Malware Scanning of Removable Media | 엔드포인트 보호 | 10 / 13 |
| CIS 10.5 | Enable Anti-Exploitation Features | 엔드포인트 보호 | 10 / 13 |
| CIS 10.6 | Centrally Manage Anti-Malware Software | 엔드포인트 보호 | 10 / 13 |
| CIS 10.7 | Use Behavior-Based Anti-Malware Software | 엔드포인트 보호 | 10 / 13 |
| 11. Data Recovery · 5 | |||
| CIS 11.1 | Establish and Maintain a Data Recovery Process | 복구 계획 수립, 재해 복구 | 10 / 13 |
| CIS 11.2 | Perform Automated Backups | 백업 및 복구 | 11 / 13 |
| CIS 11.3 | Protect Recovery Data | 백업 및 복구 | 11 / 13 |
| CIS 11.4 | Establish and Maintain an Isolated Instance of Recovery Data | 백업 및 복구 | 11 / 13 |
| CIS 11.5 | Test Data Recovery | 백업 및 복구 | 11 / 13 |
| 12. Network Infrastructure Management · 8 | |||
| CIS 12.1 | Ensure Network Infrastructure is Up-to-Date | 패치 관리 | 10 / 13 |
| CIS 12.2 | Establish and Maintain a Secure Network Architecture | 방화벽 / 네트워크 분리, 제로 트러스트 | 9 / 13 |
| CIS 12.3 | Securely Manage Network Infrastructure | 방화벽 / 네트워크 분리 | 9 / 13 |
| CIS 12.4 | Establish and Maintain Architecture Diagram(s) | 방화벽 / 네트워크 분리 | 9 / 13 |
| CIS 12.5 | Centralize Network Authentication, Authorization, and Auditing (AAA) | 접근 통제 | 11 / 13 |
| CIS 12.6 | Use of Secure Network Management and Communication Protocols | 방화벽 / 네트워크 분리 | 9 / 13 |
| CIS 12.7 | Ensure Remote Devices Utilize a VPN and are Connecting to an Enterprise's AAA Infrastructure | 제로 트러스트 | 7 / 13 |
| CIS 12.8 | Establish and Maintain Dedicated Computing Resources for All Administrative Work | 특권 접근 | 10 / 13 |
| 13. Network Monitoring and Defense · 11 | |||
| CIS 13.1 | Centralize Security Event Alerting | 지속적 모니터링, SIEM / SOC | 10 / 13 |
| CIS 13.2 | Deploy a Host-Based Intrusion Detection Solution | 침입 탐지 | 9 / 13 |
| CIS 13.3 | Deploy a Network Intrusion Detection Solution | 침입 탐지 | 9 / 13 |
| CIS 13.4 | Perform Traffic Filtering Between Network Segments | 방화벽 / 네트워크 분리 | 9 / 13 |
| CIS 13.5 | Manage Access Control for Remote Assets | 제로 트러스트 | 7 / 13 |
| CIS 13.6 | Collect Network Traffic Flow Logs | 지속적 모니터링 | 10 / 13 |
| CIS 13.7 | Deploy a Host-Based Intrusion Prevention Solution | 침입 탐지 | 9 / 13 |
| CIS 13.8 | Deploy a Network Intrusion Prevention Solution | 침입 탐지 | 9 / 13 |
| CIS 13.9 | Deploy Port-Level Access Control | 방화벽 / 네트워크 분리 | 9 / 13 |
| CIS 13.10 | Perform Application Layer Filtering | 웹 보안, WAF | 6 / 13 |
| CIS 13.11 | Tune Security Event Alerting Thresholds | SIEM / SOC | 10 / 13 |
| 14. Security Awareness and Skills Training · 9 | |||
| CIS 14.1 | Establish and Maintain a Security Awareness Program | 인식 제고 및 교육 | 10 / 13 |
| CIS 14.2 | Train Workforce Members to Recognize Social Engineering Attacks | 인식 제고 및 교육 | 10 / 13 |
| CIS 14.3 | Train Workforce Members on Authentication Best Practices | 인식 제고 및 교육 | 10 / 13 |
| CIS 14.4 | Train Workforce on Data Handling Best Practices | 인식 제고 및 교육 | 10 / 13 |
| CIS 14.5 | Train Workforce Members on Causes of Unintentional Data Exposure | 인식 제고 및 교육 | 10 / 13 |
| CIS 14.6 | Train Workforce Members on Recognizing and Reporting Security Incidents | 인식 제고 및 교육 | 10 / 13 |
| CIS 14.7 | Train Workforce on How to Identify and Report if Their Enterprise Assets are Missing Security Updates | 인식 제고 및 교육 | 10 / 13 |
| CIS 14.8 | Train Workforce on the Dangers of Connecting to and Transmitting Enterprise Data Over Insecure Networks | 인식 제고 및 교육 | 10 / 13 |
| CIS 14.9 | Conduct Role-Specific Security Awareness and Skills Training | 인식 제고 및 교육 | 10 / 13 |
| 15. Service Provider Management · 7 | |||
| CIS 15.1 | Establish and Maintain an Inventory of Service Providers | 클라우드 보안, 벤더 리스크 관리 | 12 / 13 |
| CIS 15.2 | Establish and Maintain a Service Provider Management Policy | 공급망 위험 | 9 / 13 |
| CIS 15.3 | Classify Service Providers | 벤더 리스크 관리 | 10 / 13 |
| CIS 15.4 | Ensure Service Provider Contracts Include Security Requirements | 벤더 리스크 관리 | 10 / 13 |
| CIS 15.5 | Assess Service Providers | 벤더 리스크 관리 | 10 / 13 |
| CIS 15.6 | Monitor Service Providers | 벤더 리스크 관리 | 10 / 13 |
| CIS 15.7 | Securely Decommission Service Providers | 벤더 리스크 관리 | 10 / 13 |
| 16. Application Software Security · 14 | |||
| CIS 16.1 | Establish and Maintain a Secure Application Development Process | 보안 개발 | 8 / 13 |
| CIS 16.2 | Establish and Maintain a Process to Accept and Address Software Vulnerabilities | 보안 개발 | 8 / 13 |
| CIS 16.3 | Perform Root Cause Analysis on Security Vulnerabilities | 보안 개발 | 8 / 13 |
| CIS 16.4 | Establish and Manage an Inventory of Third-Party Software Components | 자산 관리 | 13 / 13 |
| CIS 16.5 | Use Up-to-Date and Trusted Third-Party Software Components | 보안 개발 | 8 / 13 |
| CIS 16.6 | Establish and Maintain a Severity Rating System and Process for Application Vulnerabilities | 취약점 관리 | 13 / 13 |
| CIS 16.7 | Use Standard Hardening Configuration Templates for Application Infrastructure | 보안 구성 | 9 / 13 |
| CIS 16.8 | Separate Production and Non-Production Systems | 보안 개발 | 8 / 13 |
| CIS 16.9 | Train Developers in Application Security Concepts and Secure Coding | 보안 개발 | 8 / 13 |
| CIS 16.10 | Apply Secure Design Principles in Application Architectures | 웹 보안, API 보안 | 6 / 13 |
| CIS 16.11 | Leverage Vetted Modules or Services for Application Security Components | 보안 개발 | 8 / 13 |
| CIS 16.12 | Implement Code-Level Security Checks | 보안 개발, API 보안 | 8 / 13 |
| CIS 16.13 | Conduct Application Penetration Testing | 보안 개발 | 8 / 13 |
| CIS 16.14 | Conduct Threat Modeling | 보안 개발 | 8 / 13 |
| 17. Incident Response Management · 9 | |||
| CIS 17.1 | Designate Personnel to Manage Incident Handling | 사고 대응 | 12 / 13 |
| CIS 17.2 | Establish and Maintain Contact Information for Reporting Security Incidents | 커뮤니케이션 | 8 / 13 |
| CIS 17.3 | Establish and Maintain an Enterprise Process for Reporting Incidents | 보고 | 12 / 13 |
| CIS 17.4 | Establish and Maintain an Incident Response Process | 사고 대응 | 12 / 13 |
| CIS 17.5 | Assign Key Roles and Responsibilities | 사고 대응 | 12 / 13 |
| CIS 17.6 | Define Mechanisms for Communicating During Incident Response | 커뮤니케이션, 커뮤니케이션 및 복구 | 9 / 13 |
| CIS 17.7 | Conduct Routine Incident Response Exercises | 사고 대응 | 12 / 13 |
| CIS 17.8 | Conduct Post-Incident Reviews | 교훈 도출 | 9 / 13 |
| CIS 17.9 | Establish and Maintain Security Incident Thresholds | 사고 대응 | 12 / 13 |
| 18. Penetration Testing · 5 | |||
| CIS 18.1 | Establish and Maintain a Penetration Testing Program | 취약점 관리 | 13 / 13 |
| CIS 18.2 | Perform Periodic External Penetration Tests | 취약점 관리 | 13 / 13 |
| CIS 18.3 | Remediate Penetration Test Findings | 취약점 관리 | 13 / 13 |
| CIS 18.4 | Validate Security Measures | 취약점 관리 | 13 / 13 |
| CIS 18.5 | Perform Periodic Internal Penetration Tests | 취약점 관리 | 13 / 13 |
주제 커버리지
CIS v8.1 요구사항과 매핑된 주제 (38개):
인식 제고 및 교육공급망 위험자산 관리데이터 분류취약점 관리접근 통제다단계 인증암호화데이터 보호백업 및 복구특권 접근방화벽 / 네트워크 분리엔드포인트 보호패치 관리보안 구성보안 개발이메일 보안웹 보안제로 트러스트모바일 보안클라우드 보안DNS 보안WAFDLP지속적 모니터링로깅 및 감사침입 탐지이상 징후 탐지SIEM / SOC사고 대응커뮤니케이션보고복구 계획 수립교훈 도출커뮤니케이션 및 복구재해 복구API 보안벤더 리스크 관리
보유 데이터에 매핑 없음 CIS v8.1 요구사항 없음 (12):