Сравнение
ISO 27001 vs CIS Controls: СУИБ и технический базовый уровень
ISO/IEC 27001:2022 · CIS Controls v8.1 · данные на 2026-10-27
По параметру «Paul Gillet» · Обновлено 2026-10-17
ISO/IEC 27001 и CIS Critical Security Controls решают разные задачи. ISO 27001 — сертифицируемая система менеджмента: она требует выявлять риски, выбирать меры контроля и доказывать их работу. CIS Controls v8.1 — приоритизированный технический базовый уровень: 18 контролей и 153 защитные меры, сгруппированные в группы внедрения (Implementation Groups), чтобы небольшие организации понимали, с чего начать.
При переходе от ISO 27001 к CIS каждая защитная мера CIS, согласно нашим данным, имеет соответствие в ISO, поскольку Приложение A охватывает те же области на более высоком уровне: инвентаризация активов, доступ, журналирование, управление уязвимостями, вредоносное ПО, резервное копирование. CIS добавляет конкретику, например автоматизированные инструменты обнаружения, журналирование командной строки или поведенческую защиту от вредоносного ПО, поэтому организации, работающие по ISO, должны рассматривать CIS как контрольный список глубины реализации каждого контроля. Большинство соответствий CIS — это редакционные материалы ControlMapping, поскольку собственные опубликованные соответствия CIS охватывают только 49 защитных мер.
При переходе от CIS к ISO 27001 основная новая работа — система менеджмента (область действия, цели, оценка и обработка рисков, Положение о применимости, внутренний аудит, анализ со стороны руководства), а также области, которые CIS не охватывает: физическая безопасность, анализ угроз, управление изменениями и правовые обязательства, например в сфере конфиденциальности.
Кратко
| ISO 27001 | CIS v8.1 | |
|---|---|---|
| Что это такое | Сертифицируемый стандарт системы менеджмента | Приоритизированные технические защитные меры |
| Сертификация | Да | Нет |
| Структура | Разделы 4–10 и 93 меры контроля Приложения A | 18 контролей, 153 защитные меры, 3 группы внедрения |
| Стоимость использования | Стандарт продаётся ISO, плюс аудиты | Бесплатно (CC BY-NC-ND) |
Основные выводы
- Используйте IG1–IG2 CIS в качестве плана технического внедрения в рамках СУИБ по ISO 27001.
- CIS → ISO: закладывайте бюджет на разделы СУИБ и физическую безопасность.
- ISO → CIS: ожидайте немного новых тем, но более глубоких и конкретных технических настроек.
Есть ISO 27001 → нужен CIS v8.1
153 треб. сопоставлено: 153 · · 0 без сопоставления Открыть в представлении разрывов →Из 153 требований CIS Controls v8.1 153 сопоставлены с чем-либо в ISO 27001, 0 связаны лишь косвенно, а для 0 в наших данных нет сопоставления.
Собственная опубликованная кросс-маппинг-таблица CIS охватывает 49 из 153 мер защиты; ControlMapping сопоставила остальные по экспертной оценке с обоснованием для каждой, поэтому перед использованием проверьте эти связи.
Сопоставлено (153)
| CIS v8.1 | Требование | Совпадение | ISO 27001 | Доказательства |
|---|---|---|---|---|
| 1. Inventory and Control of Enterprise Assets · 5 | ||||
| CIS 1.1 | Establish and Maintain Detailed Enterprise Asset Inventory | Соответствия | A.5.9A.5.11A.7.14 | Та же тема: Управление активами |
| CIS 1.2 | Address Unauthorized Assets | Редакционные материалы | A.5.9A.5.11A.7.14 | Та же тема: Управление активами (выбор редакции) |
| CIS 1.3 | Utilize an Active Discovery Tool | Редакционные материалы | A.5.9A.5.11A.7.14 | Та же тема: Управление активами (выбор редакции) |
| CIS 1.4 | Use Dynamic Host Configuration Protocol (DHCP) Logging to Update Enterprise Asset Inventory | Редакционные материалы | A.5.9A.5.11A.7.14 | Та же тема: Управление активами (выбор редакции) |
| CIS 1.5 | Use a Passive Asset Discovery Tool | Редакционные материалы | A.5.9A.5.11A.7.14 | Та же тема: Управление активами (выбор редакции) |
| 2. Inventory and Control of Software Assets · 7 | ||||
| CIS 2.1 | Establish and Maintain a Software Inventory | Соответствия | A.5.9A.5.11A.7.14 | Та же тема: Управление активами |
| CIS 2.2 | Ensure Authorized Software is Currently Supported | Соответствия | A.8.8 | Та же тема: Управление исправлениями |
| CIS 2.3 | Address Unauthorized Software | Редакционные материалы | A.5.9A.5.11A.7.14 | Та же тема: Управление активами (выбор редакции) |
| CIS 2.4 | Utilize Automated Software Inventory Tools | Редакционные материалы | A.5.9A.5.11A.7.14 | Та же тема: Управление активами (выбор редакции) |
| CIS 2.5 | Allowlist Authorized Software | Соответствия | A.8.19A.8.1A.8.7 | Та же тема: Защита конечных точек |
| CIS 2.6 | Allowlist Authorized Libraries | Редакционные материалы | A.8.1A.8.7A.8.19 | Та же тема: Защита конечных точек (выбор редакции) |
| CIS 2.7 | Allowlist Authorized Scripts | Редакционные материалы | A.8.1A.8.7A.8.19 | Та же тема: Защита конечных точек (выбор редакции) |
| 3. Data Protection · 14 | ||||
| CIS 3.1 | Establish and Maintain a Data Management Process | Редакционные материалы | A.5.14A.8.10A.8.11 | Та же тема: Защита данных (выбор редакции) |
| CIS 3.2 | Establish and Maintain a Data Inventory | Соответствия | A.5.12A.5.13 | Та же тема: Классификация данных |
| CIS 3.3 | Configure Data Access Control Lists | Соответствия | A.5.15A.5.16A.5.18+1 | Та же тема: Контроль доступа |
| CIS 3.4 | Enforce Data Retention | Редакционные материалы | A.5.14A.8.10A.8.11 | Та же тема: Защита данных (выбор редакции) |
| CIS 3.5 | Securely Dispose of Data | Редакционные материалы | A.5.14A.8.10A.8.11 | Та же тема: Защита данных (выбор редакции) |
| CIS 3.6 | Encrypt Data on End-User Devices | Редакционные материалы | A.8.24 | Та же тема: Шифрование (выбор редакции) |
| CIS 3.7 | Establish and Maintain a Data Classification Scheme | Соответствия | A.5.12A.5.13 | Та же тема: Классификация данных |
| CIS 3.8 | Document Data Flows | Редакционные материалы | A.5.12A.5.13 | Та же тема: Классификация данных (выбор редакции) |
| CIS 3.9 | Encrypt Data on Removable Media | Редакционные материалы | A.8.24 | Та же тема: Шифрование (выбор редакции) |
| CIS 3.10 | Encrypt Sensitive Data in Transit | Соответствия | A.8.24 | Та же тема: Шифрование |
| CIS 3.11 | Encrypt Sensitive Data at Rest | Соответствия | A.5.14A.8.10A.8.11+1 | Та же тема: Защита данных |
| CIS 3.12 | Segment Data Processing and Storage Based on Sensitivity | Редакционные материалы | A.5.14A.8.10A.8.11 | Та же тема: Защита данных (выбор редакции) |
| CIS 3.13 | Deploy a Data Loss Prevention Solution | Редакционные материалы | A.8.12 | Та же тема: DLP (выбор редакции) |
| CIS 3.14 | Log Sensitive Data Access | Редакционные материалы | A.8.15A.8.17 | Та же тема: Логирование и аудит (выбор редакции) |
| 4. Secure Configuration of Enterprise Assets and Software · 12 | ||||
| CIS 4.1 | Establish and Maintain a Secure Configuration Process | Соответствия | A.8.9 | Та же тема: Безопасная конфигурация |
| CIS 4.2 | Establish and Maintain a Secure Configuration Process for Network Infrastructure | Соответствия | A.8.9 | Та же тема: Безопасная конфигурация |
| CIS 4.3 | Configure Automatic Session Locking on Enterprise Assets | Редакционные материалы | A.8.9 | Та же тема: Безопасная конфигурация (выбор редакции) |
| CIS 4.4 | Implement and Manage a Firewall on Servers | Редакционные материалы | A.8.20A.8.21A.8.22 | Та же тема: Межсетевой экран / сегментация сети (выбор редакции) |
| CIS 4.5 | Implement and Manage a Firewall on End-User Devices | Редакционные материалы | A.8.20A.8.21A.8.22 | Та же тема: Межсетевой экран / сегментация сети (выбор редакции) |
| CIS 4.6 | Securely Manage Enterprise Assets and Software | Редакционные материалы | A.8.9 | Та же тема: Безопасная конфигурация (выбор редакции) |
| CIS 4.7 | Manage Default Accounts on Enterprise Assets and Software | Редакционные материалы | A.8.9 | Та же тема: Безопасная конфигурация (выбор редакции) |
| CIS 4.8 | Uninstall or Disable Unnecessary Services on Enterprise Assets and Software | Редакционные материалы | A.8.9 | Та же тема: Безопасная конфигурация (выбор редакции) |
| CIS 4.9 | Configure Trusted DNS Servers on Enterprise Assets | Редакционные материалы | A.8.20A.8.21 | Та же тема: Безопасность DNS (выбор редакции) |
| CIS 4.10 | Enforce Automatic Device Lockout on Portable End-User Devices | Редакционные материалы | A.6.7A.8.1 | Та же тема: Безопасность мобильных устройств (выбор редакции) |
| CIS 4.11 | Enforce Remote Wipe Capability on Portable End-User Devices | Редакционные материалы | A.6.7A.8.1 | Та же тема: Безопасность мобильных устройств (выбор редакции) |
| CIS 4.12 | Separate Enterprise Workspaces on Mobile End-User Devices | Редакционные материалы | A.6.7A.8.1 | Та же тема: Безопасность мобильных устройств (выбор редакции) |
| 5. Account Management · 6 | ||||
| CIS 5.1 | Establish and Maintain an Inventory of Accounts | Соответствия | A.5.15A.5.16A.5.18+1 | Та же тема: Контроль доступа |
| CIS 5.2 | Use Unique Passwords | Редакционные материалы | A.5.15A.5.16A.5.18+1 | Та же тема: Контроль доступа (выбор редакции) |
| CIS 5.3 | Disable Dormant Accounts | Редакционные материалы | A.5.15A.5.16A.5.18+1 | Та же тема: Контроль доступа (выбор редакции) |
| CIS 5.4 | Restrict Administrator Privileges to Dedicated Administrator Accounts | Редакционные материалы | A.8.2A.8.18 | Та же тема: Привилегированный доступ (выбор редакции) |
| CIS 5.5 | Establish and Maintain an Inventory of Service Accounts | Редакционные материалы | A.5.15A.5.16A.5.18+1 | Та же тема: Контроль доступа (выбор редакции) |
| CIS 5.6 | Centralize Account Management | Соответствия | A.5.15A.5.16A.5.18+1 | Та же тема: Контроль доступа |
| 6. Access Control Management · 8 | ||||
| CIS 6.1 | Establish an Access Granting Process | Редакционные материалы | A.5.15A.5.16A.5.18+1 | Та же тема: Контроль доступа (выбор редакции) |
| CIS 6.2 | Establish an Access Revoking Process | Редакционные материалы | A.5.15A.5.16A.5.18+1 | Та же тема: Контроль доступа (выбор редакции) |
| CIS 6.3 | Require MFA for Externally-Exposed Applications | Редакционные материалы | A.8.5 | Та же тема: Многофакторная аутентификация (выбор редакции) |
| CIS 6.4 | Require MFA for Remote Network Access | Редакционные материалы | A.8.5 | Та же тема: Многофакторная аутентификация (выбор редакции) |
| CIS 6.5 | Require MFA for Administrative Access | Редакционные материалы | A.8.5 | Та же тема: Многофакторная аутентификация (выбор редакции) |
| CIS 6.6 | Establish and Maintain an Inventory of Authentication and Authorization Systems | Редакционные материалы | A.5.15A.5.16A.5.18+1 | Та же тема: Контроль доступа (выбор редакции) |
| CIS 6.7 | Centralize Access Control | Соответствия | A.5.15A.5.16A.5.18+1 | Та же тема: Контроль доступа |
| CIS 6.8 | Define and Maintain Role-Based Access Control | Соответствия | A.5.15A.5.16A.5.18+3 | Та же тема: Контроль доступа, Нулевое доверие |
| 7. Continuous Vulnerability Management · 7 | ||||
| CIS 7.1 | Establish and Maintain a Vulnerability Management Process | Соответствия | A.8.8 | Та же тема: Управление уязвимостями |
| CIS 7.2 | Establish and Maintain a Remediation Process | Соответствия | A.8.8 | Та же тема: Управление уязвимостями |
| CIS 7.3 | Perform Automated Operating System Patch Management | Редакционные материалы | A.8.8 | Та же тема: Управление исправлениями (выбор редакции) |
| CIS 7.4 | Perform Automated Application Patch Management | Редакционные материалы | A.8.8 | Та же тема: Управление исправлениями (выбор редакции) |
| CIS 7.5 | Perform Automated Vulnerability Scans of Internal Enterprise Assets | Редакционные материалы | A.8.8 | Та же тема: Управление уязвимостями (выбор редакции) |
| CIS 7.6 | Perform Automated Vulnerability Scans of Externally-Exposed Enterprise Assets | Редакционные материалы | A.8.8 | Та же тема: Управление уязвимостями (выбор редакции) |
| CIS 7.7 | Remediate Detected Vulnerabilities | Редакционные материалы | A.8.8 | Та же тема: Управление уязвимостями (выбор редакции) |
| 8. Audit Log Management · 12 | ||||
| CIS 8.1 | Establish and Maintain an Audit Log Management Process | Редакционные материалы | A.8.15A.8.17 | Та же тема: Логирование и аудит (выбор редакции) |
| CIS 8.2 | Collect Audit Logs | Соответствия | A.8.15A.8.17 | Та же тема: Логирование и аудит |
| CIS 8.3 | Ensure Adequate Audit Log Storage | Редакционные материалы | A.8.15A.8.17 | Та же тема: Логирование и аудит (выбор редакции) |
| CIS 8.4 | Standardize Time Synchronization | Редакционные материалы | A.8.15A.8.17 | Та же тема: Логирование и аудит (выбор редакции) |
| CIS 8.5 | Collect Detailed Audit Logs | Редакционные материалы | A.8.15A.8.17 | Та же тема: Логирование и аудит (выбор редакции) |
| CIS 8.6 | Collect DNS Query Audit Logs | Редакционные материалы | A.8.20A.8.21 | Та же тема: Безопасность DNS (выбор редакции) |
| CIS 8.7 | Collect URL Request Audit Logs | Редакционные материалы | A.8.15A.8.17 | Та же тема: Логирование и аудит (выбор редакции) |
| CIS 8.8 | Collect Command-Line Audit Logs | Редакционные материалы | A.8.15A.8.17 | Та же тема: Логирование и аудит (выбор редакции) |
| CIS 8.9 | Centralize Audit Logs | Редакционные материалы | A.5.25A.8.16 | Та же тема: SIEM / SOC (выбор редакции) |
| CIS 8.10 | Retain Audit Logs | Редакционные материалы | A.8.15A.8.17 | Та же тема: Логирование и аудит (выбор редакции) |
| CIS 8.11 | Conduct Audit Log Reviews | Соответствия | A.8.16 | Та же тема: Обнаружение аномалий |
| CIS 8.12 | Collect Service Provider Logs | Редакционные материалы | A.8.15A.8.17 | Та же тема: Логирование и аудит (выбор редакции) |
| 9. Email and Web Browser Protections · 7 | ||||
| CIS 9.1 | Ensure Use of Only Fully Supported Browsers and Email Clients | Редакционные материалы | A.5.14 | Та же тема: Безопасность электронной почты (выбор редакции) |
| CIS 9.2 | Use DNS Filtering Services | Редакционные материалы | A.8.20A.8.21 | Та же тема: Безопасность DNS (выбор редакции) |
| CIS 9.3 | Maintain and Enforce Network-Based URL Filters | Редакционные материалы | A.8.26 | Та же тема: Безопасность веб-приложений (выбор редакции) |
| CIS 9.4 | Restrict Unnecessary or Unauthorized Browser and Email Client Extensions | Редакционные материалы | A.5.14 | Та же тема: Безопасность электронной почты (выбор редакции) |
| CIS 9.5 | Implement DMARC | Редакционные материалы | A.5.14 | Та же тема: Безопасность электронной почты (выбор редакции) |
| CIS 9.6 | Block Unnecessary File Types | Редакционные материалы | A.5.14 | Та же тема: Безопасность электронной почты (выбор редакции) |
| CIS 9.7 | Deploy and Maintain Email Server Anti-Malware Protections | Редакционные материалы | A.5.14 | Та же тема: Безопасность электронной почты (выбор редакции) |
| 10. Malware Defenses · 7 | ||||
| CIS 10.1 | Deploy and Maintain Anti-Malware Software | Соответствия | A.8.19A.8.1A.8.7 | Та же тема: Защита конечных точек |
| CIS 10.2 | Configure Automatic Anti-Malware Signature Updates | Редакционные материалы | A.8.1A.8.7A.8.19 | Та же тема: Защита конечных точек (выбор редакции) |
| CIS 10.3 | Disable Autorun and Autoplay for Removable Media | Редакционные материалы | A.8.1A.8.7A.8.19 | Та же тема: Защита конечных точек (выбор редакции) |
| CIS 10.4 | Configure Automatic Anti-Malware Scanning of Removable Media | Редакционные материалы | A.8.1A.8.7A.8.19 | Та же тема: Защита конечных точек (выбор редакции) |
| CIS 10.5 | Enable Anti-Exploitation Features | Редакционные материалы | A.8.1A.8.7A.8.19 | Та же тема: Защита конечных точек (выбор редакции) |
| CIS 10.6 | Centrally Manage Anti-Malware Software | Редакционные материалы | A.8.1A.8.7A.8.19 | Та же тема: Защита конечных точек (выбор редакции) |
| CIS 10.7 | Use Behavior-Based Anti-Malware Software | Редакционные материалы | A.8.1A.8.7A.8.19 | Та же тема: Защита конечных точек (выбор редакции) |
| 11. Data Recovery · 5 | ||||
| CIS 11.1 | Establish and Maintain a Data Recovery Process | Редакционные материалы | A.5.29A.5.30A.8.14 | Та же тема: Планирование восстановления, Аварийное восстановление (выбор редакции) |
| CIS 11.2 | Perform Automated Backups | Соответствия | A.8.13 | Та же тема: Резервное копирование и восстановление |
| CIS 11.3 | Protect Recovery Data | Соответствия | A.8.13 | Та же тема: Резервное копирование и восстановление |
| CIS 11.4 | Establish and Maintain an Isolated Instance of Recovery Data | Редакционные материалы | A.8.13 | Та же тема: Резервное копирование и восстановление (выбор редакции) |
| CIS 11.5 | Test Data Recovery | Соответствия | A.8.13 | Та же тема: Резервное копирование и восстановление |
| 12. Network Infrastructure Management · 8 | ||||
| CIS 12.1 | Ensure Network Infrastructure is Up-to-Date | Редакционные материалы | A.8.8 | Та же тема: Управление исправлениями (выбор редакции) |
| CIS 12.2 | Establish and Maintain a Secure Network Architecture | Соответствия | A.5.15A.8.5A.8.20+2 | Та же тема: Нулевое доверие, Межсетевой экран / сегментация сети |
| CIS 12.3 | Securely Manage Network Infrastructure | Редакционные материалы | A.8.20A.8.21A.8.22 | Та же тема: Межсетевой экран / сегментация сети (выбор редакции) |
| CIS 12.4 | Establish and Maintain Architecture Diagram(s) | Редакционные материалы | A.8.20A.8.21A.8.22 | Та же тема: Межсетевой экран / сегментация сети (выбор редакции) |
| CIS 12.5 | Centralize Network Authentication, Authorization, and Auditing (AAA) | Редакционные материалы | A.5.15A.5.16A.5.18+1 | Та же тема: Контроль доступа (выбор редакции) |
| CIS 12.6 | Use of Secure Network Management and Communication Protocols | Редакционные материалы | A.8.20A.8.21A.8.22 | Та же тема: Межсетевой экран / сегментация сети (выбор редакции) |
| CIS 12.7 | Ensure Remote Devices Utilize a VPN and are Connecting to an Enterprise's AAA Infrastructure | Редакционные материалы | A.5.15A.8.5A.8.22 | Та же тема: Нулевое доверие (выбор редакции) |
| CIS 12.8 | Establish and Maintain Dedicated Computing Resources for All Administrative Work | Редакционные материалы | A.8.2A.8.18 | Та же тема: Привилегированный доступ (выбор редакции) |
| 13. Network Monitoring and Defense · 11 | ||||
| CIS 13.1 | Centralize Security Event Alerting | Соответствия | A.8.16A.5.25 | Та же тема: Непрерывный мониторинг, SIEM / SOC |
| CIS 13.2 | Deploy a Host-Based Intrusion Detection Solution | Редакционные материалы | A.8.16 | Та же тема: Обнаружение вторжений (выбор редакции) |
| CIS 13.3 | Deploy a Network Intrusion Detection Solution | Редакционные материалы | A.8.16 | Та же тема: Обнаружение вторжений (выбор редакции) |
| CIS 13.4 | Perform Traffic Filtering Between Network Segments | Редакционные материалы | A.8.20A.8.21A.8.22 | Та же тема: Межсетевой экран / сегментация сети (выбор редакции) |
| CIS 13.5 | Manage Access Control for Remote Assets | Редакционные материалы | A.5.15A.8.5A.8.22 | Та же тема: Нулевое доверие (выбор редакции) |
| CIS 13.6 | Collect Network Traffic Flow Logs | Редакционные материалы | A.8.16 | Та же тема: Непрерывный мониторинг (выбор редакции) |
| CIS 13.7 | Deploy a Host-Based Intrusion Prevention Solution | Редакционные материалы | A.8.16 | Та же тема: Обнаружение вторжений (выбор редакции) |
| CIS 13.8 | Deploy a Network Intrusion Prevention Solution | Редакционные материалы | A.8.16 | Та же тема: Обнаружение вторжений (выбор редакции) |
| CIS 13.9 | Deploy Port-Level Access Control | Редакционные материалы | A.8.20A.8.21A.8.22 | Та же тема: Межсетевой экран / сегментация сети (выбор редакции) |
| CIS 13.10 | Perform Application Layer Filtering | Редакционные материалы | A.8.20A.8.26 | Та же тема: WAF, Безопасность веб-приложений (выбор редакции) |
| CIS 13.11 | Tune Security Event Alerting Thresholds | Редакционные материалы | A.5.25A.8.16 | Та же тема: SIEM / SOC (выбор редакции) |
| 14. Security Awareness and Skills Training · 9 | ||||
| CIS 14.1 | Establish and Maintain a Security Awareness Program | Соответствия | A.6.3Clause 7.3 | Та же тема: Осведомлённость и обучение |
| CIS 14.2 | Train Workforce Members to Recognize Social Engineering Attacks | Редакционные материалы | A.6.3Clause 7.3 | Та же тема: Осведомлённость и обучение (выбор редакции) |
| CIS 14.3 | Train Workforce Members on Authentication Best Practices | Редакционные материалы | A.6.3Clause 7.3 | Та же тема: Осведомлённость и обучение (выбор редакции) |
| CIS 14.4 | Train Workforce on Data Handling Best Practices | Редакционные материалы | A.6.3Clause 7.3 | Та же тема: Осведомлённость и обучение (выбор редакции) |
| CIS 14.5 | Train Workforce Members on Causes of Unintentional Data Exposure | Редакционные материалы | A.6.3Clause 7.3 | Та же тема: Осведомлённость и обучение (выбор редакции) |
| CIS 14.6 | Train Workforce Members on Recognizing and Reporting Security Incidents | Редакционные материалы | A.6.3Clause 7.3 | Та же тема: Осведомлённость и обучение (выбор редакции) |
| CIS 14.7 | Train Workforce on How to Identify and Report if Their Enterprise Assets are Missing Security Updates | Редакционные материалы | A.6.3Clause 7.3 | Та же тема: Осведомлённость и обучение (выбор редакции) |
| CIS 14.8 | Train Workforce on the Dangers of Connecting to and Transmitting Enterprise Data Over Insecure Networks | Редакционные материалы | A.6.3Clause 7.3 | Та же тема: Осведомлённость и обучение (выбор редакции) |
| CIS 14.9 | Conduct Role-Specific Security Awareness and Skills Training | Соответствия | A.6.3Clause 7.3 | Та же тема: Осведомлённость и обучение |
| 15. Service Provider Management · 7 | ||||
| CIS 15.1 | Establish and Maintain an Inventory of Service Providers | Соответствия | A.5.19A.5.20A.5.22+1 | Та же тема: Управление рисками поставщиков |
| CIS 15.2 | Establish and Maintain a Service Provider Management Policy | Соответствия | A.5.19A.5.21 | Та же тема: Управление рисками цепочки поставок |
| CIS 15.3 | Classify Service Providers | Соответствия | A.5.19A.5.20A.5.22 | Та же тема: Управление рисками поставщиков |
| CIS 15.4 | Ensure Service Provider Contracts Include Security Requirements | Редакционные материалы | A.5.19A.5.20A.5.22 | Та же тема: Управление рисками поставщиков (выбор редакции) |
| CIS 15.5 | Assess Service Providers | Соответствия | A.5.19A.5.20A.5.22 | Та же тема: Управление рисками поставщиков |
| CIS 15.6 | Monitor Service Providers | Соответствия | A.5.19A.5.20A.5.22 | Та же тема: Управление рисками поставщиков |
| CIS 15.7 | Securely Decommission Service Providers | Редакционные материалы | A.5.19A.5.20A.5.22 | Та же тема: Управление рисками поставщиков (выбор редакции) |
| 16. Application Software Security · 14 | ||||
| CIS 16.1 | Establish and Maintain a Secure Application Development Process | Соответствия | A.8.25A.8.26A.8.28+1 | Та же тема: Безопасная разработка |
| CIS 16.2 | Establish and Maintain a Process to Accept and Address Software Vulnerabilities | Редакционные материалы | A.8.25A.8.26A.8.28+1 | Та же тема: Безопасная разработка (выбор редакции) |
| CIS 16.3 | Perform Root Cause Analysis on Security Vulnerabilities | Редакционные материалы | A.8.25A.8.26A.8.28+1 | Та же тема: Безопасная разработка (выбор редакции) |
| CIS 16.4 | Establish and Manage an Inventory of Third-Party Software Components | Редакционные материалы | A.5.9A.5.11A.7.14 | Та же тема: Управление активами (выбор редакции) |
| CIS 16.5 | Use Up-to-Date and Trusted Third-Party Software Components | Редакционные материалы | A.8.25A.8.26A.8.28+1 | Та же тема: Безопасная разработка (выбор редакции) |
| CIS 16.6 | Establish and Maintain a Severity Rating System and Process for Application Vulnerabilities | Редакционные материалы | A.8.8 | Та же тема: Управление уязвимостями (выбор редакции) |
| CIS 16.7 | Use Standard Hardening Configuration Templates for Application Infrastructure | Редакционные материалы | A.8.9 | Та же тема: Безопасная конфигурация (выбор редакции) |
| CIS 16.8 | Separate Production and Non-Production Systems | Редакционные материалы | A.8.25A.8.26A.8.28+1 | Та же тема: Безопасная разработка (выбор редакции) |
| CIS 16.9 | Train Developers in Application Security Concepts and Secure Coding | Редакционные материалы | A.8.25A.8.26A.8.28+1 | Та же тема: Безопасная разработка (выбор редакции) |
| CIS 16.10 | Apply Secure Design Principles in Application Architectures | Редакционные материалы | A.8.5A.8.26 | Та же тема: Безопасность API, Безопасность веб-приложений (выбор редакции) |
| CIS 16.11 | Leverage Vetted Modules or Services for Application Security Components | Редакционные материалы | A.8.25A.8.26A.8.28+1 | Та же тема: Безопасная разработка (выбор редакции) |
| CIS 16.12 | Implement Code-Level Security Checks | Редакционные материалы | A.8.5A.8.25A.8.26+2 | Та же тема: Безопасность API, Безопасная разработка (выбор редакции) |
| CIS 16.13 | Conduct Application Penetration Testing | Редакционные материалы | A.8.25A.8.26A.8.28+1 | Та же тема: Безопасная разработка (выбор редакции) |
| CIS 16.14 | Conduct Threat Modeling | Редакционные материалы | A.8.25A.8.26A.8.28+1 | Та же тема: Безопасная разработка (выбор редакции) |
| 17. Incident Response Management · 9 | ||||
| CIS 17.1 | Designate Personnel to Manage Incident Handling | Редакционные материалы | A.5.24A.5.25A.5.26 | Та же тема: Реагирование на инциденты (выбор редакции) |
| CIS 17.2 | Establish and Maintain Contact Information for Reporting Security Incidents | Соответствия | Clause 7.4A.5.6 | Та же тема: Коммуникация |
| CIS 17.3 | Establish and Maintain an Enterprise Process for Reporting Incidents | Редакционные материалы | A.5.5A.6.8 | Та же тема: Отчётность (выбор редакции) |
| CIS 17.4 | Establish and Maintain an Incident Response Process | Соответствия | A.5.24A.5.25A.5.26 | Та же тема: Реагирование на инциденты |
| CIS 17.5 | Assign Key Roles and Responsibilities | Редакционные материалы | A.5.24A.5.25A.5.26 | Та же тема: Реагирование на инциденты (выбор редакции) |
| CIS 17.6 | Define Mechanisms for Communicating During Incident Response | Соответствия | A.5.26Clause 7.4A.5.6 | Та же тема: Коммуникации и восстановление, Коммуникация |
| CIS 17.7 | Conduct Routine Incident Response Exercises | Редакционные материалы | A.5.24A.5.25A.5.26 | Та же тема: Реагирование на инциденты (выбор редакции) |
| CIS 17.8 | Conduct Post-Incident Reviews | Редакционные материалы | A.5.27Clause 10.1 | Та же тема: Извлечённые уроки (выбор редакции) |
| CIS 17.9 | Establish and Maintain Security Incident Thresholds | Редакционные материалы | A.5.24A.5.25A.5.26 | Та же тема: Реагирование на инциденты (выбор редакции) |
| 18. Penetration Testing · 5 | ||||
| CIS 18.1 | Establish and Maintain a Penetration Testing Program | Редакционные материалы | A.8.8 | Та же тема: Управление уязвимостями (выбор редакции) |
| CIS 18.2 | Perform Periodic External Penetration Tests | Редакционные материалы | A.8.8 | Та же тема: Управление уязвимостями (выбор редакции) |
| CIS 18.3 | Remediate Penetration Test Findings | Редакционные материалы | A.8.8 | Та же тема: Управление уязвимостями (выбор редакции) |
| CIS 18.4 | Validate Security Measures | Редакционные материалы | A.8.8 | Та же тема: Управление уязвимостями (выбор редакции) |
| CIS 18.5 | Perform Periodic Internal Penetration Tests | Редакционные материалы | A.8.8 | Та же тема: Управление уязвимостями (выбор редакции) |
Есть CIS v8.1 → нужен ISO 27001
123 треб. сопоставлено: 53 · · 32 без сопоставления Открыть в представлении разрывов →Из 123 требований ISO/IEC 27001:2022 53 сопоставлены с чем-либо в CIS v8.1, 38 связаны лишь косвенно, а для 32 в наших данных нет сопоставления.
Вероятно, новая работа: требования ISO 27001 без сопоставления с CIS v8.1 (32)
| ISO 27001 | Требование | Совпадение | CIS v8.1 | Доказательства |
|---|---|---|---|---|
| A.5 Organizational controls · 6 | ||||
| A.5.7 | Threat intelligence | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| A.5.32 | Intellectual property rights | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| A.5.34 | Privacy and protection of PII | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| A.5.35 | Independent review of information security | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| A.5.36 | Compliance with policies, rules and standards for information security | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| A.5.37 | Documented operating procedures | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| A.7 Physical controls · 8 | ||||
| A.7.1 | Physical security perimeters | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| A.7.2 | Physical entry | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| A.7.3 | Securing offices, rooms and facilities | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| A.7.5 | Protecting against physical and environmental threats | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| A.7.6 | Working in secure areas | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| A.7.8 | Equipment siting and protection | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| A.7.11 | Supporting utilities | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| A.7.12 | Cabling security | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| A.8 Technological controls · 3 | ||||
| A.8.30 | Outsourced development | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| A.8.32 | Change management | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| A.8.34 | Protection of information systems during audit testing | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| ISMS clauses 4–10 · 15 | ||||
| Clause 4.1 | Understanding the organization and its context | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| Clause 4.3 | Determining the scope of the ISMS | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| Clause 4.4 | Information security management system | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| Clause 5.1 | Leadership and commitment | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| Clause 6.2 | Information security objectives and planning to achieve them | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| Clause 6.3 | Planning of changes | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| Clause 7.1 | Resources | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| Clause 7.5.1 | General | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| Clause 7.5.2 | Creating and updating | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| Clause 7.5.3 | Control of documented information | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| Clause 8.2 | Information security risk assessment | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| Clause 8.3 | Information security risk treatment | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| Clause 9.2.1 | General | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| Clause 9.2.2 | Internal audit programme | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
| Clause 10.2 | Nonconformity and corrective action | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с CIS v8.1. |
Проверьте: связаны лишь косвенно (общий результат CSF, а не сопоставление) (38)
| ISO 27001 | Требование | Совпадение | CIS v8.1 | Доказательства |
|---|---|---|---|---|
| A.5 Organizational controls · 10 | ||||
| A.5.1 | Policies for information security | CIS 3.3CIS 3.11CIS 5.1+5 | Совпадает только CSF PR.AA-05, PR.DS-01: связь косвенная, это не сопоставление | |
| A.5.2 | Information security roles and responsibilities | CIS 14.9CIS 15.4CIS 14.2+5 | Совпадает только CSF GV.RR-02, PR.AT-02, GV.SC-02: связь косвенная, это не сопоставление | |
| A.5.3 | Segregation of duties | CIS 3.3CIS 3.10CIS 3.11+5 | Совпадает только CSF PR.AA-05, PR.DS-02, PR.DS-01: связь косвенная, это не сопоставление | |
| A.5.4 | Management responsibilities | CIS 14.1CIS 15.4 | Совпадает только CSF GV.RR-01, GV.SC-02: связь косвенная, это не сопоставление | |
| A.5.8 | Information security in project management | CIS 1.1CIS 3.5CIS 1.2+5 | Совпадает только CSF ID.AM-08: связь косвенная, это не сопоставление | |
| A.5.10 | Acceptable use of information and other associated assets | CIS 3.10CIS 3.11CIS 3.1+5 | Совпадает только CSF PR.DS-02, PR.DS-01, PR.DS-10: связь косвенная, это не сопоставление | |
| A.5.17 | Authentication information | CIS 3.3CIS 5.1CIS 6.8+5 | Совпадает только CSF PR.AA-05: связь косвенная, это не сопоставление | |
| A.5.28 | Collection of evidence | CIS 17.4CIS 17.1CIS 17.5+2 | Совпадает только CSF RS.MA-01, RS.MA-02: связь косвенная, это не сопоставление | |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | CIS 15.4CIS 15.5CIS 15.6+1 | Совпадает только CSF GV.SC-05, GV.SC-06, GV.SC-07: связь косвенная, это не сопоставление | |
| A.5.33 | Protection of records | CIS 3.11CIS 3.1CIS 3.4+5 | Совпадает только CSF PR.DS-01: связь косвенная, это не сопоставление | |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | CIS 3.10CIS 3.11CIS 6.1+5 | Совпадает только CSF PR.DS-02, PR.DS-01, GV.RR-04: связь косвенная, это не сопоставление | |
| A.6.2 | Terms and conditions of employment | CIS 3.10CIS 3.11CIS 6.1+5 | Совпадает только CSF PR.DS-02, PR.DS-01, GV.RR-04: связь косвенная, это не сопоставление | |
| A.6.4 | Disciplinary process | CIS 6.1CIS 6.2 | Совпадает только CSF GV.RR-04: связь косвенная, это не сопоставление | |
| A.6.5 | Responsibilities after termination or change of employment | CIS 3.10CIS 3.11CIS 6.1+5 | Совпадает только CSF PR.DS-02, PR.DS-01, GV.RR-04: связь косвенная, это не сопоставление | |
| A.6.6 | Confidentiality or non-disclosure agreements | CIS 6.1CIS 6.2 | Совпадает только CSF GV.RR-04: связь косвенная, это не сопоставление | |
| A.7 Physical controls · 5 | ||||
| A.7.4 | Physical security monitoring | CIS 10.7CIS 13.6 | Совпадает только CSF DE.CM-03: связь косвенная, это не сопоставление | |
| A.7.7 | Clear desk and clear screen | CIS 3.11CIS 3.1CIS 3.4+5 | Совпадает только CSF PR.DS-01: связь косвенная, это не сопоставление | |
| A.7.9 | Security of assets off-premises | CIS 3.11CIS 3.1CIS 3.4+5 | Совпадает только CSF PR.DS-01: связь косвенная, это не сопоставление | |
| A.7.10 | Storage media | CIS 3.5CIS 1.1CIS 3.11+5 | Совпадает только CSF ID.AM-08, PR.DS-01: связь косвенная, это не сопоставление | |
| A.7.13 | Equipment maintenance | CIS 1.1CIS 3.5CIS 1.2+5 | Совпадает только CSF ID.AM-08: связь косвенная, это не сопоставление | |
| A.8 Technological controls · 6 | ||||
| A.8.4 | Access to source code | CIS 3.3CIS 3.10CIS 3.11+5 | Совпадает только CSF PR.AA-05, PR.DS-02, PR.DS-01: связь косвенная, это не сопоставление | |
| A.8.6 | Capacity management | CIS 10.1CIS 2.6CIS 2.7+5 | Совпадает только CSF DE.CM-09: связь косвенная, это не сопоставление | |
| A.8.23 | Web filtering | CIS 3.12CIS 12.2CIS 4.4+5 | Совпадает только CSF PR.IR-01: связь косвенная, это не сопоставление | |
| A.8.27 | Secure system architecture and engineering principles | CIS 11.1 | Совпадает только CSF PR.IR-03: связь косвенная, это не сопоставление | |
| A.8.31 | Separation of development, test and production environments | CIS 16.1CIS 9.3CIS 13.10+5 | Совпадает только CSF PR.PS-06: связь косвенная, это не сопоставление | |
| A.8.33 | Test information | CIS 3.11CIS 3.1CIS 3.4+5 | Совпадает только CSF PR.DS-01: связь косвенная, это не сопоставление | |
| ISMS clauses 4–10 · 12 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | CIS 15.4CIS 3.10CIS 3.11+5 | Совпадает только CSF GV.SC-05, GV.SC-06, PR.DS-02, PR.DS-01: связь косвенная, это не сопоставление | |
| Clause 5.2 | Policy | CIS 3.10CIS 3.11CIS 3.1+5 | Совпадает только CSF PR.DS-02, PR.DS-01, PR.DS-10: связь косвенная, это не сопоставление | |
| Clause 5.3 | Organizational roles, responsibilities and authorities | CIS 15.4 | Совпадает только CSF GV.SC-02: связь косвенная, это не сопоставление | |
| Clause 6.1.1 | General | CIS 15.7CIS 15.6CIS 15.1+3 | Совпадает только CSF GV.SC-04, GV.SC-07, GV.SC-10, GV.SC-09: связь косвенная, это не сопоставление | |
| Clause 6.1.2 | Information security risk assessment | CIS 15.7CIS 15.6CIS 7.2+5 | Совпадает только CSF GV.SC-04, GV.SC-07, GV.SC-10, GV.SC-09…: связь косвенная, это не сопоставление | |
| Clause 6.1.3 | Information security risk treatment | CIS 15.7CIS 15.1CIS 15.3+2 | Совпадает только CSF GV.SC-04, GV.SC-07, GV.SC-10: связь косвенная, это не сопоставление | |
| Clause 7.2 | Competence | CIS 14.1CIS 14.9 | Совпадает только CSF GV.RR-01, GV.RR-02: связь косвенная, это не сопоставление | |
| Clause 8.1 | Operational planning and control | CIS 15.2 | Совпадает только CSF GV.SC-01: связь косвенная, это не сопоставление | |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | CIS 10.7CIS 13.6 | Совпадает только CSF DE.CM-03: связь косвенная, это не сопоставление | |
| Clause 9.3.1 | General | CIS 4.1CIS 4.2CIS 4.3+5 | Совпадает только CSF PR.PS-01: связь косвенная, это не сопоставление | |
| Clause 9.3.2 | Management review inputs | CIS 4.1CIS 4.2CIS 4.3+5 | Совпадает только CSF PR.PS-01: связь косвенная, это не сопоставление | |
| Clause 9.3.3 | Management review results | CIS 4.1CIS 4.2CIS 4.3+5 | Совпадает только CSF PR.PS-01: связь косвенная, это не сопоставление | |
Сопоставлено (53)
| ISO 27001 | Требование | Совпадение | CIS v8.1 | Доказательства |
|---|---|---|---|---|
| A.5 Organizational controls · 21 | ||||
| A.5.5 | Contact with authorities | Редакционные материалы | CIS 17.3 | Та же тема: Отчётность (выбор редакции) |
| A.5.6 | Contact with special interest groups | Редакционные материалы | CIS 17.2CIS 17.6 | Та же тема: Коммуникация (выбор редакции) |
| A.5.9 | Inventory of information and other associated assets | Соответствия | CIS 1.1CIS 2.1CIS 1.2+6 | Та же тема: Управление активами |
| A.5.11 | Return of assets | Соответствия | CIS 1.1CIS 2.1CIS 1.2+6 | Та же тема: Управление активами |
| A.5.12 | Classification of information | Соответствия | CIS 3.2CIS 3.7CIS 3.8 | Та же тема: Классификация данных |
| A.5.13 | Labelling of information | Соответствия | CIS 3.2CIS 3.7CIS 3.8 | Та же тема: Классификация данных |
| A.5.14 | Information transfer | Соответствия | CIS 3.11CIS 3.1CIS 3.4+7 | Та же тема: Защита данных |
| A.5.15 | Access control | Соответствия | CIS 3.3CIS 5.1CIS 5.6+12 | Та же тема: Контроль доступа |
| A.5.16 | Identity management | Соответствия | CIS 3.3CIS 5.1CIS 5.6+9 | Та же тема: Контроль доступа |
| A.5.18 | Access rights | Соответствия | CIS 3.3CIS 5.1CIS 5.6+9 | Та же тема: Контроль доступа |
| A.5.19 | Information security in supplier relationships | Соответствия | CIS 15.1CIS 15.2CIS 15.3+4 | Та же тема: Управление рисками поставщиков, Управление рисками цепочки поставок |
| A.5.20 | Addressing information security within supplier agreements | Соответствия | CIS 15.1CIS 15.3CIS 15.5+3 | Та же тема: Управление рисками поставщиков |
| A.5.21 | Managing information security in the ICT supply chain | Соответствия | CIS 15.2 | Та же тема: Управление рисками цепочки поставок |
| A.5.22 | Monitoring, review and change management of supplier services | Соответствия | CIS 15.1CIS 15.3CIS 15.5+3 | Та же тема: Управление рисками поставщиков |
| A.5.23 | Information security for use of cloud services | Соответствия | CIS 15.1 | Та же тема: Безопасность облачных сред |
| A.5.24 | Information security incident management planning and preparation | Соответствия | CIS 17.4CIS 17.1CIS 17.5+2 | Та же тема: Реагирование на инциденты |
| A.5.25 | Assessment and decision on information security events | Соответствия | CIS 17.4CIS 8.9CIS 13.1+5 | Та же тема: Реагирование на инциденты, SIEM / SOC |
| A.5.26 | Response to information security incidents | Соответствия | CIS 17.4CIS 17.6CIS 17.1+3 | Та же тема: Реагирование на инциденты, Коммуникации и восстановление |
| A.5.27 | Learning from information security incidents | Редакционные материалы | CIS 17.8 | Та же тема: Извлечённые уроки (выбор редакции) |
| A.5.29 | Information security during disruption | Редакционные материалы | CIS 11.1 | Та же тема: Планирование восстановления (выбор редакции) |
| A.5.30 | ICT readiness for business continuity | Редакционные материалы | CIS 11.1 | Та же тема: Планирование восстановления, Аварийное восстановление (выбор редакции) |
| A.6 People controls · 3 | ||||
| A.6.3 | Information security awareness, education and training | Соответствия | CIS 14.1CIS 14.9CIS 14.2+6 | Та же тема: Осведомлённость и обучение |
| A.6.7 | Remote working | Редакционные материалы | CIS 4.10CIS 4.11CIS 4.12 | Та же тема: Безопасность мобильных устройств (выбор редакции) |
| A.6.8 | Information security event reporting | Редакционные материалы | CIS 17.3 | Та же тема: Отчётность (выбор редакции) |
| A.7 Physical controls · 1 | ||||
| A.7.14 | Secure disposal or re-use of equipment | Соответствия | CIS 1.1CIS 2.1CIS 1.2+6 | Та же тема: Управление активами |
| A.8 Technological controls · 25 | ||||
| A.8.1 | User endpoint devices | Редакционные материалы | CIS 2.5CIS 2.6CIS 2.7+10 | Та же тема: Защита конечных точек (выбор редакции) |
| A.8.2 | Privileged access rights | Редакционные материалы | CIS 5.4CIS 12.8 | Та же тема: Привилегированный доступ (выбор редакции) |
| A.8.3 | Information access restriction | Соответствия | CIS 3.3CIS 5.1CIS 5.6+9 | Та же тема: Контроль доступа |
| A.8.5 | Secure authentication | Соответствия | CIS 6.8CIS 12.2CIS 6.3+6 | Та же тема: Нулевое доверие, Многофакторная аутентификация |
| A.8.7 | Protection against malware | Редакционные материалы | CIS 2.5CIS 2.6CIS 2.7+7 | Та же тема: Защита конечных точек (выбор редакции) |
| A.8.8 | Management of technical vulnerabilities | Соответствия | CIS 2.2CIS 7.1CIS 7.2+12 | Та же тема: Управление исправлениями, Управление уязвимостями |
| A.8.9 | Configuration management | Соответствия | CIS 4.1CIS 4.2CIS 4.3+4 | Та же тема: Безопасная конфигурация |
| A.8.10 | Information deletion | Соответствия | CIS 3.11CIS 3.1CIS 3.4+2 | Та же тема: Защита данных |
| A.8.11 | Data masking | Соответствия | CIS 3.11CIS 3.1CIS 3.4+2 | Та же тема: Защита данных |
| A.8.12 | Data leakage prevention | Редакционные материалы | CIS 3.13 | Та же тема: DLP (выбор редакции) |
| A.8.13 | Information backup | Соответствия | CIS 11.2CIS 11.3CIS 11.5+1 | Та же тема: Резервное копирование и восстановление |
| A.8.14 | Redundancy of information processing facilities | Редакционные материалы | CIS 11.1 | Та же тема: Аварийное восстановление (выбор редакции) |
| A.8.15 | Logging | Соответствия | CIS 8.2CIS 3.14CIS 8.1+7 | Та же тема: Логирование и аудит |
| A.8.16 | Monitoring activities | Соответствия | CIS 8.11CIS 13.1CIS 8.9+6 | Та же тема: Обнаружение аномалий, Непрерывный мониторинг, SIEM / SOC |
| A.8.17 | Clock synchronization | Соответствия | CIS 8.2CIS 3.14CIS 8.1+7 | Та же тема: Логирование и аудит |
| A.8.18 | Use of privileged utility programs | Редакционные материалы | CIS 5.4CIS 12.8 | Та же тема: Привилегированный доступ (выбор редакции) |
| A.8.19 | Installation of software on operational systems | Соответствия | CIS 2.5CIS 10.1CIS 2.6+7 | Та же тема: Защита конечных точек |
| A.8.20 | Networks security | Соответствия | CIS 12.2CIS 4.4CIS 4.5+9 | Та же тема: Межсетевой экран / сегментация сети |
| A.8.21 | Security of network services | Соответствия | CIS 12.2CIS 4.4CIS 4.5+8 | Та же тема: Межсетевой экран / сегментация сети |
| A.8.22 | Segregation of networks | Соответствия | CIS 6.8CIS 12.2CIS 4.4+8 | Та же тема: Нулевое доверие, Межсетевой экран / сегментация сети |
| A.8.24 | Use of cryptography | Соответствия | CIS 3.10CIS 3.11CIS 3.6+1 | Та же тема: Шифрование |
| A.8.25 | Secure development life cycle | Соответствия | CIS 16.1CIS 16.2CIS 16.3+7 | Та же тема: Безопасная разработка |
| A.8.26 | Application security requirements | Соответствия | CIS 16.1CIS 9.3CIS 13.10+10 | Та же тема: Безопасная разработка, Безопасность веб-приложений |
| A.8.28 | Secure coding | Соответствия | CIS 16.1CIS 16.2CIS 16.3+7 | Та же тема: Безопасная разработка |
| A.8.29 | Security testing in development and acceptance | Соответствия | CIS 16.1CIS 16.2CIS 16.3+7 | Та же тема: Безопасная разработка |
| ISMS clauses 4–10 · 3 | ||||
| Clause 7.3 | Awareness | Соответствия | CIS 14.1CIS 14.9CIS 14.2+6 | Та же тема: Осведомлённость и обучение |
| Clause 7.4 | Communication | Соответствия | CIS 17.2CIS 17.6 | Та же тема: Коммуникация, Коммуникации и восстановление |
| Clause 10.1 | Continual improvement | Редакционные материалы | CIS 17.8 | Та же тема: Извлечённые уроки (выбор редакции) |
По темам
Охватывают оба (38):
Осведомлённость и обучениеУправление рисками цепочки поставокУправление активамиКлассификация данныхУправление уязвимостямиКонтроль доступаМногофакторная аутентификацияШифрованиеЗащита данныхРезервное копирование и восстановлениеПривилегированный доступМежсетевой экран / сегментация сетиЗащита конечных точекУправление исправлениямиБезопасная конфигурацияБезопасная разработкаБезопасность электронной почтыБезопасность веб-приложенийНулевое довериеБезопасность мобильных устройствБезопасность облачных средБезопасность DNSWAFDLPНепрерывный мониторингЛогирование и аудитОбнаружение вторженийОбнаружение аномалийSIEM / SOCРеагирование на инцидентыКоммуникацияОтчётностьПланирование восстановленияИзвлечённые урокиКоммуникации и восстановлениеАварийное восстановлениеБезопасность APIУправление рисками поставщиков
Только ISO 27001 (12):
Вопросы
Может ли CIS Controls заменить ISO 27001?
Только если никому не нужен сертификат. CIS даёт сильные технические рекомендации, но не предусматривает системы менеджмента и сертификации.
Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.
Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Сопоставлено = собрано вместе в одной теме ControlMapping или связано напрямую. Таблицы соответствия не подтверждают соблюдение требований. Методология · Скачать данные · Сообщить об ошибке.