CIS 18-etterlevelse | CIS Controls v8 IG1, IG2, IG3

Ofte stilte spørsmål om CIS 18

Hva er CIS 18-kontrollene, og hvem er de utformet for?

CIS-kontrollene er et prioritert sett med 18 sikkerhetskontrollfamilier utviklet av Center for Internet Security (CIS). De er utformet for å hjelpe virksomheter av alle størrelser med å forsvare seg mot de vanligste og mest skadelige cyberangrepene. I motsetning til regulatoriske rammeverk er CIS-kontrollene ikke et lovkrav — de er et praktikerdrevet, evidensbasert rammeverk bygget på hva som faktisk fungerer for å stoppe trusler i den virkelige verden. De brukes i stor utstrekning som et grunnlag for cyberhygiene og refereres av tilsynsmyndigheter, cyberforsikringsselskaper og innkjøpsteam i store virksomheter.

Hva er forskjellen på CIS v7 og CIS v8?

CIS v8, utgitt i 2021, er en betydelig omstrukturering av det tidligere v7-rammeverket. Antallet kontroller ble redusert fra 20 til 18, og det totale antallet sikkerhetstiltak ble konsolidert fra 171 til 153. Viktigst av alt introduserte v8 konseptet om implementeringsgrupper (IG1, IG2, IG3) som erstatning for de tidligere Basic-, Foundational- og Organisational-nivåene, noe som gjør det enklere å prioritere implementeringen basert på virksomhetens størrelse og risikoprofil. CIS v8 gjenspeiler også skiftet til sky, mobil og fjernarbeidsmiljøer mer eksplisitt enn v7. Virksomheter som fortsatt arbeider med v7, bør planlegge en migrering til v8, ettersom det bedre gjenspeiler det nåværende trusselbildet.

Hva er de tre implementeringsgruppene (IG1, IG2, IG3), og hvilken gjelder for oss?

Implementeringsgrupper deler de 153 CIS-sikkerhetstiltakene inn i tre nivåer basert på en virksomhets ressurser, risikoeksponering og datans sensitivitet. IG1 dekker 56 sikkerhetstiltak som representerer grunnleggende cyberhygiene — minimumsstandarden enhver virksomhet bør oppfylle for å forsvare seg mot vanlige, ikke-målrettede angrep. IG2 legger til ytterligere sikkerhetstiltak for virksomheter med mer sensitive data eller operasjonell kompleksitet, mens IG3 dekker det fullstendige settet med 153 sikkerhetstiltak for virksomheter som står overfor sofistikerte, målrettede angrep. De fleste mellomstore virksomheter begynner med IG1 og implementerer progressivt IG2 etter hvert som sikkerhetsprogrammet modnes. NorthGRC filtrerer og organiserer sikkerhetstiltak etter implementeringsgruppe, slik at du alltid vet nøyaktig hvilken tier du retter deg mot, og hva som gjenstår.

Hvordan forholder de 18 CIS-kontrollfamiliene seg til hverandre?

De 18 kontrollfamiliene er gruppert i tre brede kategorier som følger en logisk sikkerhetsprogresjon. De første kontrollene (1–6) fokuserer på grunnleggende inventar og konfigurasjon: å vite hvilke eiendeler du har, administrere programvare, beskytte data og kontrollere administrative rettigheter. Kontrollene 7–16 adresserer mer operative sikkerhetskompetanser, inkludert forsvar mot e-post og nettlesere, skadevaredorsvar, nettverksinfrastruktur, administrasjon av revisjonslogger, penetrasjonstesting og sikkerhet for applikasjonsprogramvare. Kontrollene 17–18 dekker håndtering av hendelsesrespons og sikkerhetsbevissthetstrening. Til sammen utgjør de et lagdelt forsvar — du kan ikke effektivt administrere det du ikke først har inventarisert, og det er grunnen til at kontrollene 1 og 2 alltid er startpunktet.

Hvordan forholder CIS 18 seg til ISO 27001 og NIS2?

CIS 18 og ISO 27001 er svært komplementære. ISO 27001 gir ledelsessystemrammeverket og governance-strukturen, mens CIS 18 gir de spesifikke, tekniske sikkerhetstiltakene som gjør ISMS-et operativt. Mange av CIS-sikkerhetstiltakene mapper direkte til ISO 27001 Vedlegg A-kontroller, noe som betyr at virksomheter som implementerer CIS 18, ofte oppdager at en betydelig del av ISO 27001-dokumentasjonen allerede er på plass. Tilsvarende krever NIS2 at virksomheter vedtar passende og proporsjonale sikkerhetstiltak, og CIS-kontrollene, særlig IG2 og IG3, er bredt akseptert som dokumentasjon for å oppfylle denne standarden. NorthGRC's cross-mapping-motor mapper automatisk CIS 18-dokumentasjonen til de tilsvarende ISO 27001- og NIS2-kravene, noe som eliminerer dobbelt dokumentasjonsarbeid.

Hvordan støtter NorthGRC CIS 18-implementering?

NorthGRC strukturerer hele CIS 18-implementeringen i en oppgavedrevet arbeidsbenk. Hvert sikkerhetstiltak er forhåndslastet, kategorisert etter implementeringsgruppe og tildelt den relevante kontrollfamilien. Plattformen gir deg et sanntidsbilde av ditt modenhetsnivå på tvers av alle 18 kontrollfamilier og viser tydelig hvilke sikkerhetstiltak som er implementert, pågående eller utestående. Ekspertvaliderte maler for policyer, prosedyrer og bevisinnsamling er inkludert fra dag én, slik at du kan gå fra et tomt etterlevelsesregister til en veldokumentert implementering uten å starte fra bunnen.

Kan vi starte med IG1 og utvide til IG2 og IG3 over tid i NorthGRC?

Ja — og dette er den anbefalte tilnærmingen. NorthGRC er bygget rundt en progressiv implementeringsmodell. Du begynner med å aktivere IG1 og fokusere på de 56 grunnleggende cyberhygiene-sikkerhetstiltakene, noe som umiddelbart gir deg et strukturert bilde av ditt nåværende grunnlag. Etter hvert som programmet modnes, kan du aktivere IG2- og IG3-oppgaver direkte i plattformen uten å miste tidligere arbeid eller dokumentasjon. Din etterlevelsestatus, ditt risikoregister og dine cross-framework-kartlegginger videreføres automatisk, slik at utvidelse av omfanget er additivt snarere enn forstyrrende.

Mestre CIS kritiske sikkerhetskontroller med taktisk presisjon

Der 153 sikkerhetstiltak stopper opp

En prioritert vei mot modenhet

Strukturert ISMS-drift

Fra enkeltstående erklæringer til løpende compliance

ISO 27001-sertifisert på bare 4 måneder

Forenklet NIS2-compliance uten å miste fokus på kjernevirksomheten

1/1

Den taktiske arbeidsflaten

1. "Mappa én gang, etterlev mange"

2. Administrerte implementeringsgrupper (IG1, IG2, IG3)

3. Trusselbasert risikovurdering for CIS

Nøkkelfunksjoner for CIS 18-compliance

Eiendelsstyring

Styring av etterlevelse

Risikostyring

Planlegging og oppgaver

Leverandørstyring

Hendelseshåndtering

Dashbord

Dokumenterbar sikkerhet. Faglig veiledning.