CIS Controls och underlag utifrån
Vilka kontroller i CIS Controls som underlag utifrån kan styrka, vilka fynd som talar emot var och en och vad underlaget inte kan visa.
Senast granskad
CIS Controls
v8
6kontroller som kan styrkas utifrån
Allt annat i ramverket kräver underlag inifrån organisationen.
CIS Controls v8 är 18 prioriterade kontroller, uppdelade i skyddsåtgärder (safeguards). En del av skyddsåtgärderna gäller direkt tillgångar som nås från internet: kryptering av data under överföring, säker konfiguration och skydd för e-post och webbläsare.
TrustSek kopplar sina fynd till de skyddsåtgärderna, så att varje fynd pekar på den kontroll det gäller och på resonemanget bakom kopplingen.
Vad underlaget inte täcker
Många skyddsåtgärder handlar om det som händer inne i ert nätverk: förteckningar över tillgångar och programvara, behörighetsstyrning, kontohantering, loggning, säkerhetskopiering och skydd av slutpunkter. Dem kan underlag utifrån inte bedöma. Ett rent resultat här betyder inte att ni har uppnått en implementeringsgrupp.
Kontroller som kan styrkas utifrån (6)
Kontroller som inte finns med här handlar om policyer, människor och interna system, och kräver därför underlag inifrån organisationen. Varje fynd länkar till sin fullständiga förklaring. Fynden står på engelska, så som TrustSek rapporterar dem i dag.
Kopplingen kommer från poängmotorn och byggs ut. På några ställen pekar den ut den mildare varianten av ett fynd men inte den allvarligare, till exempel 50 eller fler subdomäner men inte 100 eller fler.
Skyddsåtgärd 3.10
Kryptera känsliga data under överföring
Kryptering under överföring är uppfylld när HTTPS finns med giltigt certifikat, modern TLS och HSTS.
Fynd som talar emot kontrollen
Skyddsåtgärd 4.5
Inför och hantera en brandvägg på servrar
Exponerade riskabla värdnamn (admin-, dev-, staging- och interna subdomäner) tyder på brister i brandväggen på servrarna.
Fynd som talar emot kontrollen
Skyddsåtgärd 4.6
Hantera organisationens tillgångar och programvara säkert
Säker hantering av tillgångar kräver att administrationsgränssnitt använder HTTPS med omdirigering från HTTP till HTTPS.
Fynd som talar emot kontrollen
Skyddsåtgärd 7.6
Skanna externt exponerade tillgångar automatiskt efter sårbarheter
Extern sårbarhetsskanning lyfter fram de här problemen; att de finns kvar tyder på att skanningen saknas eller att ingen agerar på den.
Fynd som talar emot kontrollen
Skyddsåtgärd 9.5
Inför DMARC
DMARC kräver att SPF och DKIM är i linje med avsändardomänen och en policy som är strängare än `none`.
Fynd som talar emot kontrollen
Skyddsåtgärd 12.6
Använd säkra protokoll för nätverkshantering och kommunikation
Säkra protokoll för administration kräver modern TLS och tvingande omdirigering till HTTPS på administrationsgränssnitt.
Fynd som talar emot kontrollen