A lacuna dos CIS Controls: por que apenas 49 de 153 salvaguardas têm correspondência publicada

Os CIS Critical Security Controls são um favorito dos profissionais porque dizem exatamente o que fazer: inventariar seus ativos com descoberta automatizada, criar listas de permissões de software e coletar logs de auditoria de linha de comando. A versão 8.1 tem 18 controles e 153 salvaguardas, priorizadas em três Grupos de Implementação. Mapeá-los para outros frameworks deveria ser fácil, e a CIS publicou uma correspondência para o NIST CSF 2.0 no catálogo OLIR do NIST.

Essa correspondência abrange 49 salvaguardas. As outras 104 não têm vínculo publicado nela.

O que as 49 abrangem

As salvaguardas enviadas pela CIS ao OLIR estão distribuídas pelos controles, com ênfase nas que mais diretamente apoiam um resultado do CSF. Muitas das salvaguardas técnicas específicas (tipos individuais de log, configurações particulares de antimalware, varreduras separadas de ativos internos e externos) não estão incluídas, presumivelmente porque a CIS mapeou no nível em que existia um vínculo claro de um para um. O mapeamento mais completo da CIS está em seu próprio site, atrás de um formulário de download, e sua licença (CC BY-NC-ND) limita como terceiros podem reutilizá-lo.

Como tratamos as outras 104

Em vez de deixar dois terços da CIS sem mapeamento, a ControlMapping alocou cada salvaguarda restante no tópico ao qual ela obviamente pertence (varreduras de vulnerabilidade em gestão de vulnerabilidades, salvaguardas de logs de auditoria em registro de logs, treinamento da força de trabalho em conscientização), cada uma rotulada como editorial, com um motivo de uma linha. O resultado:

Dos 153 salvaguardas de CIS v8.1, 153 (100%) mapeiam para algo em NIST CSF 2.0, 0 são apenas vagamente relacionados e 0 não têm mapeamento em nossos dados. Abrir o relatório de lacunas →

Cada salvaguarda da CIS agora está vinculada a um tópico definido pelo CSF. Mas a maioria desses vínculos reflete nosso julgamento, não o da CIS, e você deve tratá-los assim.

Por que o "mapeamento" parece tão fácil para a CIS

As salvaguardas da CIS são estreitas e técnicas, então quase qualquer framework amplo toca cada uma delas no nível de tópico. O controle de logging da ISO 27001 se relaciona com todas as salvaguardas de logging da CIS; os resultados de vulnerabilidade do NIST se relacionam com todas as salvaguardas de varredura. Isso faz a CIS parecer quase totalmente coberta por qualquer outro framework, como constatou nossa análise de ponto de partida entre frameworks. Na prática, a salvaguarda da CIS costuma ser o requisito mais exigente: a ISO pede que você registre logs, a CIS diz quais logs.

O sentido inverso

Dos 106 subcategorias de NIST CSF 2.0, 59 (56%) mapeiam para algo em CIS v8.1, 9 são apenas vagamente relacionados e 38 não têm mapeamento em nossos dados. Abrir o relatório de lacunas →

Ao ir da CIS para o CSF 2.0, as lacunas são sobretudo de governança: a CIS v8.1 é uma referência operacional e diz pouco sobre contexto organizacional, estratégia de risco ou programas de cadeia de suprimentos, que compõem a função Govern do CSF.

Principais conclusões

• A correspondência de acesso público da CIS para o NIST CSF 2.0 abrange 49 das 153 salvaguardas do CIS Controls v8.1; as demais são mapeadas aqui por julgamento, cada uma com um motivo.
• Como as salvaguardas da CIS são estreitas e técnicas, quase qualquer framework mais amplo parece cobri-las. Na prática, a salvaguarda da CIS costuma ser o requisito mais exigente.
• Ao ir da CIS para outros frameworks, a principal lacuna é a governança: estratégia de risco, supervisão e programas de cadeia de suprimentos.
• Use a CIS como o detalhe de implementação sob a ISO 27001 ou o CSF, e obtenha o mapeamento completo da CIS se uma auditoria exigir um vínculo autoritativo.

Como usar a CIS com outro framework

1. Use a CIS como o detalhe de implementação de um framework mais amplo: a ISO 27001 ou o CSF dizem o que alcançar, a CIS IG1 e IG2 dizem como.
2. Trate os vínculos editoriais como pontos de partida. Nossas páginas de requisitos mostram quais vínculos CIS são respaldados por correspondência e quais são nossos; CIS Controls v8.1 lista as 153 salvaguardas com ambos.
3. Obtenha o mapeamento completo da CIS se você precisar de um vínculo CIS-para-CSF autoritativo para uma auditoria.

A comparação NIST CSF vs CIS e a comparação ISO 27001 vs CIS cobrem os dois sentidos.

Perguntas

A CIS publica um mapeamento completo para o NIST CSF 2.0?

A CIS publica um mapeamento mais completo em seu próprio site, atrás de um formulário de download. A correspondência de acesso público no catálogo OLIR do NIST abrange 49 das 153 salvaguardas do CIS Controls v8.1.

Os vínculos CIS da ControlMapping são confiáveis?

As 49 vinculações respaldadas por correspondência são da própria CIS. As demais são editoriais da ControlMapping, alocadas em tópicos com um motivo declarado; confira-as com o mapeamento completo da CIS antes de se apoiar nelas.

O que são os Grupos de Implementação da CIS?

Três níveis de salvaguardas da CIS: o IG1 é a higiene cibernética essencial para toda organização, o IG2 acrescenta salvaguardas para organizações com ambientes mais complexos, e o IG3 acrescenta as destinadas a organizações sujeitas a ataques sofisticados.