I primi 18 controlli di sicurezza critici CIS per la difesa informatica

Con il costo di una data breach che ha raggiunto un massimo storico di $4.35 milioni e con regolamenti in tutto il mondo che impongono sanzioni più severe per i fallimenti nella conformità, le organizzazioni devono assicurarsi di avere tutti i controlli di sicurezza necessari in atto per mantenere i loro dati al sicuro. Implementare i CIS Controls fornisce una solida base per una difesa efficace contro le minacce informatiche

Sviluppati per la prima volta nel 2008, i CIS Controls vengono aggiornati periodicamente in risposta all'evoluzione delle tecnologie e del panorama delle minacce. I controlli si basano sulle informazioni più recenti riguardo agli attacchi comuni e riflettono la conoscenza combinata di esperti forensi commerciali, tester di penetrazione individuali e contributori delle agenzie governative degli Stati Uniti.

Questo articolo dettaglia i 18 controlli nella versione 8 del CIS. Queste linee guida tengono conto dell'aumento del lavoro remoto e dell'incremento conseguente di punti di accesso e della necessità di una sicurezza senza perimetro.

Controllo 01. Inventario e gestione degli Asset aziendali

Il primo passo nello sviluppo e nell'attuazione di una strategia di cybersecurity completa consiste nel comprendere gli asset della tua azienda, chi li controlla e i ruoli che svolgono. Ciò include stabilire e mantenere un elenco accurato, aggiornato e dettagliato di tutta l'hardware connesso alla tua infrastruttura, inclusi gli asset che non sono sotto il tuo controllo, come i telefoni cellulari personali dei dipendenti. I dispositivi portatili degli utenti si collegheranno periodicamente a una rete e poi scompariranno, rendendo l'inventario degli asset disponibili attualmente molto dinamico.

Perché è così critico?Senza queste informazioni, non puoi essere sicuro di aver protetto tutte le possibili superfici di attacco. Mantenere un inventario di tutti gli asset che si connettono alla tua rete e rimuovere i dispositivi non autorizzati può ridurre drasticamente il tuo rischio.

Controllo 02. Inventario e gestione degli Asset Software

Il controllo 2 affronta le minacce provenienti dalla vertiginosa gamma di software che le aziende moderne utilizzano per le operazioni aziendali. Include le seguenti pratiche chiave:

• Identifica e documenta tutti gli asset software e rimuovi quelli che sono obsoleti o vulnerabili.
• Impedisci l'installazione e l'utilizzo di software non autorizzato creando una lista di permessi per il software autorizzato.
• Utilizza strumenti di tracciamento software automatizzati per monitorare e gestire le applicazioni software

Perché è così critico?Il software non aggiornato continua ad essere un vettore primario per gli attacchi ransomware. Un inventario software completo ti aiuta a garantire che tutto il tuo software sia aggiornato e che eventuali vulnerabilità note siano state corrette o mitigate. Questo è particolarmente critico per il software che contiene componenti open-source, poiché le loro vulnerabilità sono di dominio pubblico.

Controllo 03. Data Protection

Nella versione 7 dei CIS Controls, la protezione dei dati era il Controllo 13.

I tuoi dati sono uno degli asset più preziosi della tua azienda. CIS Control 3 delinea un metodo per proteggere i tuoi dati dettagliando processi e controlli tecnici per identificare, classificare, gestire in modo sicuro, conservare ed eliminare i dati. Assicurati di includere disposizioni per:

• Inventario dei dati
• Controlli di accesso ai dati
• Conservazione dei dati
• Smaltimento dei dati
• Crittografia dei dati in tutte le fasi e sui supporti rimovibili
• Data classification
• Mappe del flusso dei dati
• Segmentazione dell'elaborazione e dell'archiviazione dei dati in base alla sensibilità
• Prevenzione della perdita di dati
• Registrazione degli accessi e delle attività relative ai dati sensibili

Perché è così critico?Anche se molte data leak sono il risultato di furti intenzionali, la perdita e il danneggiamento dei dati possono anche verificarsi a causa di errori umani o pratiche di sicurezza scadenti. Le soluzioni che rilevano l'esfiltrazione dei dati possono minimizzare questi rischi e mitigare gli effetti del compromesso dei dati.

Controllo 04. Configurazione Sicura degli Asset Aziendali e del Software

Questa salvaguardia unisce i controlli 5 e 11 della versione 7. Dettaglia le migliori pratiche per stabilire e mantenere configurazioni sicure su asset hardware e software.

Perché è così critico? Anche un solo errore di configurazione può aprire rischi per la sicurezza e interrompere le operazioni aziendali. Utilizzare software automatizzato semplifica il processo di rafforzamento e monitoraggio dei tuoi asset IT; ad esempio, Netwrix Change Tracker fornisce template di costruzione certificati CIS che ti aiutano a stabilire rapidamente configurazioni di base solide e ti avverte di cambiamenti inaspettati in tempo reale così puoi agire prontamente per minimizzare il rischio.

Controllo 05. Account Management

La gestione degli account era il Controllo 16 nella versione 7 dei CIS Controls.

La gestione sicura degli account utente, amministratore e servizio è fondamentale per prevenire il loro sfruttamento da parte degli aggressori. Il Controllo 5 include sei passaggi per evitare problemi di sicurezza causati da account vulnerabili:

• Crea e mantieni un inventario di tutti gli account.
• Usa password uniche.
• Disabilita gli account che non sono stati utilizzati per 45 giorni.
• Limitare l'uso degli account privilegiati.
• Crea e mantieni un inventario degli account di servizio.
• Centralizza la gestione di tutti gli account.

Perché è così critico?Gli account privilegiati e inutilizzati offrono una via agli attaccanti per prendere di mira la tua rete. Minimizzare e controllare questi account aiuterà a proteggere i tuoi dati e la tua rete da accessi non autorizzati.

Controllo 06. Gestione del Controllo degli Accessi

Questa salvaguardia unisce i controlli 4 e 14 della versione 7 dei CIS Controls.

Il Controllo 6 riguarda il controllo dei privilegi degli utenti. Le sue migliori pratiche includono l'istituzione di un processo di concessione e revoca dell'accesso, l'utilizzo dell'autenticazione multifattore e il mantenimento di un inventario dei sistemi per il controllo degli accessi.

Perché è così critico?Concedere privilegi troppo ampi per il bene della rapidità apre una via di attacco. Limitando i diritti di accesso di ogni utente solo a ciò che è necessario per svolgere il proprio lavoro, limiterai la tua superficie di attacco.

Controllo 07. Gestione continua delle vulnerabilità

Nella versione 7 dei CIS Controls, continuous vulnerability management era coperto dal Controllo 3.

Questo controllo copre l'identificazione, la priorizzazione, la documentazione e la rimediazione di ogni vulnerabilità di sicurezza nella tua rete. Esempi includono servizi aperti e porte di rete, e account e password predefiniti.

Perché è così critico? Le organizzazioni che non identificano proattivamente le vulnerabilità dell'infrastruttura e non adottano misure di rimedio sono probabili che vedano i propri beni compromessi o subiscano interruzioni dell'attività.

Controllo 08. Audit Log Management

Questo argomento è stato trattato nel Controllo 6 nella versione 7 dei CIS Controls.

La gestione dei log di controllo implica controlli relativi alla raccolta, allo stoccaggio, alla conservazione, alla sincronizzazione temporale e alla revisione dei log di controllo.

Perché è così critico?La registrazione e l'analisi della sicurezza aiutano a prevenire che gli aggressori nascondano la loro posizione e le loro attività. Anche se sai quali sistemi sono stati compromessi in un incidente di sicurezza, se non hai log completi, avrai difficoltà a capire cosa ha fatto finora un attaccante e a rispondere in modo efficace. I log saranno inoltre necessari per le indagini successive e per determinare l'origine degli attacchi che sono rimasti non rilevati per lungo tempo.

Controllo 09. Protezioni per Email e Browser Web

Questa salvaguardia era il Controllo 7 nella versione 7 dei CIS Controls.

Le email e i browser web sono vettori comuni di attacco. I principali controlli tecnici per la sicurezza dei server di posta elettronica e dei browser web includono il blocco di URL e tipi di file maligni. Per una protezione più completa contro tali attacchi, è necessario fornire anche una formazione su larga scala all'interno dell'organizzazione sulle migliori pratiche di sicurezza.

Perché è così critico? Utilizzando tecniche come lo spoofing e l'ingegneria sociale, gli aggressori possono ingannare gli utenti inducendoli a compiere azioni che possono diffondere malware o fornire accesso a dati confidenziali.

Controllo 10. Difese contro i malware

Questo argomento è stato trattato nel Controllo 8 nella versione 7 dei CIS Controls.

Le organizzazioni che utilizzano ransomware e altri malware sono diventate tanto professionali quanto le imprese tradizionali. Questo controllo descrive le misure di sicurezza per prevenire o controllare l'installazione, l'esecuzione e la diffusione di software malevolo. Gestire centralmente sia gli strumenti anti-malware basati sul comportamento che quelli basati su firme con aggiornamenti automatici offre la protezione più robusta contro i malware.

Perché è così critico? I malware possono presentarsi sotto forma di cavalli di Troia, virus e worm che rubano, criptano o distruggono i tuoi dati. Il ransomware è un grande business, con un costo globale previsto di $265 billion by 2031. Seguire le pratiche descritte nel Controllo 9 aiuterà a proteggere la tua organizzazione da un'infezione da malware costosa e dannosa.

Controllo 11. Data Recovery

Il recupero dei dati era il Controllo 10 nella versione 7 dei CIS Controls.

Il Controllo 11 descrive cinque misure di sicurezza per garantire il backup dei tuoi dati. Include i seguenti elementi:

• Processo di recupero dati
• Backup automatizzati
• Protezione dei dati di backup
• Isolamento dei dati di backup
• Test dei protocolli di recupero dati

Perché è così critico? Assicurarsi di avere un backup aggiornato dei propri dati in una posizione protetta e isolata può prevenire la necessità di cedere a costose estorsioni per riaccedere ai propri dati dopo un attacco ransomware. Inoltre, un efficace backup e recupero dei dati è necessario anche per proteggere la propria organizzazione da minacce come la cancellazione accidentale e la corruzione dei file.

Controllo 12. Network Infrastructure Management

La gestione dell'infrastruttura di rete è un nuovo controllo per la versione 8. Richiede di gestire attivamente tutti i tuoi network device per mitigare i rischi di attacchi mirati a servizi di rete compromessi e punti di accesso.

Perché è così critico? La sicurezza della rete è un elemento fondamentale nella difesa contro gli attacchi. Le aziende devono costantemente valutare e aggiornare configurazioni, controllo degli accessi e flussi di traffico per rafforzare la loro infrastruttura di rete. Documentare completamente tutti gli aspetti della vostra infrastruttura di rete e monitorarla per modifiche non autorizzate può allertarvi sui rischi per la sicurezza.

Controllo 13. Network Monitoring and Defense

Il Controllo 13 è anche una nuova aggiunta ai CIS Controls. Si concentra sull'utilizzo di processi e strumenti per monitorare e difendersi dalle minacce alla sicurezza in tutta l'infrastruttura di rete e la base utenti. Gli 11 salvaguardie di questo controllo coprono come raccogliere e analizzare i dati necessari per rilevare intrusioni, filtrare il traffico, gestire il controllo degli accessi, raccogliere i log del flusso di traffico ed emettere allarmi sugli eventi di sicurezza.

Perché è così critico? Combinare tecnologia automatizzata e un team formato per implementare processi per rilevare, analizzare e mitigare le minacce alla rete può aiutare a proteggere dagli attacchi informatici.

Controllo 14. Formazione sulla Consapevolezza e le Competenze di Sicurezza

Questo argomento è stato trattato nel Controllo 17 nella versione 7 dei CIS Controls.

Il controllo 14 riguarda l'implementazione di un programma educativo per migliorare la consapevolezza e le competenze in materia di cybersecurity tra tutti i vostri utenti. Questo programma di formazione dovrebbe:

• Formare le persone a riconoscere gli attacchi di social engineering.
• Coprire le migliori pratiche di autenticazione.
• Coprire le migliori pratiche di gestione dei dati, inclusi i pericoli della trasmissione di dati su reti non sicure.
• Spiega le cause dell'esposizione involontaria dei dati.
• Formate gli utenti a riconoscere e segnalare incidenti di sicurezza e .
• Spiega come identificare e segnalare gli aggiornamenti di sicurezza mancanti.
• Fornire formazione specifica sulle competenze e la consapevolezza della sicurezza in base al ruolo.

Perché è così critico? Molti incidenti di sicurezza dei dati sono causati da errori umani, attacchi di phishing e scarse policy delle password. Formare i propri dipendenti sulla consapevolezza della sicurezza può prevenire violazioni dei dati costose, furto di identità, sanzioni per non conformità e altri danni.

Controllo 15. Gestione dei fornitori di servizi

Il Controllo 15 è l'ultimo nuovo controllo nella versione 8. Si occupa di dati, processi e sistemi gestiti da terze parti. Include linee guida per creare un inventario dei fornitori di servizi, gestire e classificare i fornitori di servizi, includere requisiti di sicurezza nei contratti e valutare, monitorare e licenziare in modo sicuro i fornitori di servizi.

Perché è così critico? Anche quando si esternalizza un servizio, si è in ultima analisi responsabili per la sicurezza dei propri dati e si potrebbe essere ritenuti responsabili per eventuali violazioni. Sebbene l'utilizzo di fornitori di servizi possa semplificare le operazioni aziendali, si possono incontrare complicazioni rapidamente se non si dispone di un processo dettagliato per garantire che i dati gestiti da terze parti siano sicuri.

Controllo 16. Sicurezza del Software Applicativo

Questa salvaguardia era il Controllo 18 nella 7a versione dei CIS Controls.

Gestire il ciclo di vita della sicurezza del proprio software è essenziale per rilevare e correggere le vulnerabilità di sicurezza. È necessario controllare regolarmente di utilizzare solo le versioni più aggiornate di ogni applicazione e che tutte le patch rilevanti siano installate tempestivamente.

Perché è così critico? Gli aggressori spesso sfruttano le vulnerabilità nelle applicazioni web e in altri software. Metodi di sfruttamento come buffer overflow, attacchi di iniezione SQL, scripting tra siti e dirottamento di clic su codice possono consentire loro di compromettere i tuoi dati senza dover eludere i controlli di sicurezza della rete e i sensori.

Controllo 17. Gestione delle risposte agli incidenti

La gestione delle risposte agli incidenti era il Controllo 19 nella 7a versione dei CIS Controls.

Una corretta risposta agli incidenti può fare la differenza tra un fastidio e una catastrofe. Include la pianificazione, la definizione dei ruoli, la formazione, il controllo della gestione e altre misure necessarie per scoprire gli attacchi e contenere i danni in modo più efficace.

Perché è così critico? Purtroppo, nella maggior parte dei casi, la possibilità di un attacco informatico riuscito non è “se” ma “quando”. Senza un piano di risposta agli incidenti, potresti non scoprire un attacco fino a quando non arreca gravi danni. Con un solido piano di risposta agli incidenti, potresti essere in grado di eliminare la presenza dell'attaccante e ripristinare l'integrità della rete e dei sistemi con pochi tempi di inattività.

Controllo 18. Penetration Testing

Questo argomento è stato trattato dal Controllo 20 nella settima versione dei CIS Controls.

Questo controllo richiede di valutare la forza delle proprie difese effettuando regolari test di penetrazione esterni e interni. L'implementazione di questo controllo vi permetterà di identificare vulnerabilità nella vostra tecnologia, processi e personale che gli attaccanti potrebbero sfruttare per infiltrarsi nella vostra rete e causare danni.

Perché è così critico?Gli aggressori sono ansiosi di sfruttare le lacune nei vostri processi, come i ritardi nell'installazione delle patch. In un ambiente complesso dove la tecnologia è in continua evoluzione, è particolarmente vitale testare periodicamente le proprie difese per identificare le lacune e risolverle prima che un attaccante ne approfitti.

Implementazione dei controlli: Un approccio pragmatico

Ottenere valore dai CIS Critical Security Controls non significa necessariamente implementare tutti i 18 controlli simultaneamente. Poche organizzazioni hanno il budget, le risorse umane e il tempo necessari per implementare contemporaneamente l'intero gruppo di controlli.

I seguenti passaggi forniscono una guida pratica per iniziare:

1. Scopri i tuoi asset informativi e stima il loro valore. Esegui una risk assessment e considera gli attacchi potenziali contro i tuoi sistemi e dati, inclusi i punti di ingresso iniziali, la diffusione e i danni. Sviluppa un programma di gestione del rischio per guidare l'implementazione dei controlli.
2. Confronta i tuoi attuali controlli di sicurezza con i CIS Controls. Prendi nota di ogni area in cui non esistono capacità di sicurezza o è necessario un lavoro aggiuntivo.
3. Sviluppare un piano per adottare i nuovi controlli di sicurezza più preziosi e migliorare l'efficacia operativa dei controlli esistenti.
4. Ottenere l'approvazione della direzione per il piano e formare impegni da parte delle linee di business per il supporto finanziario e del personale necessario.
5. Implementate i controlli. Tenete d'occhio le tendenze che potrebbero introdurre nuovi rischi per la vostra organizzazione. Misurate i progressi nella riduzione del rischio e comunicate i vostri risultati.

Vuoi saperne di più sui 18 Critical Security Controls? Visita il sito ufficiale del CIS Center for Internet Security: https://www.cisecurity.org/controls/

FAQ

Cosa sono i CIS Controls?

I controlli CIS sono linee guida che forniscono alle organizzazioni un elenco di compiti ad alta priorità ed efficaci per difendersi dagli attacchi informatici più comuni e devastanti. Forniscono un punto di partenza per qualsiasi organizzazione che voglia migliorare la propria sicurezza informatica.

Quanti CIS Controls ci sono?

Nell'ultima versione (versione 8), ci sono 18 CIS Controls.

Chi ha creato i CIS Controls?

I controlli CIS sono stati creati da un gruppo di volontari internazionali, inclusi professionisti della cybersecurity e responsabili delle politiche sia di agenzie governative che del settore privato.

Perché un'organizzazione dovrebbe implementare i CIS Controls?

Uno dei maggiori vantaggi dei CIS Controls è la priorità intrinseca nei 18 passaggi d'azione. La cybersecurity è un campo vasto che può essere schiacciante per le organizzazioni che iniziano a stabilire una strategia. I CIS Controls elencano le azioni più preziose che puoi intraprendere per proteggere i tuoi sistemi e dati.