Gruppo di Implementazione CIS 1 (IG1): Igiene Informatica Essenziale

Il cybercrimine è diventato più diffuso dall'inizio della pandemia di COVID-19. Infatti, l'81% delle organizzazioni in tutto il mondo ha riscontrato un aumento delle minacce informatiche e il 79% ha subito tempi di inattività a causa di attacchi informatici durante il periodo di punta, secondo un 2021 report by McAfee Enterprise and FireEye. Gli attacchi sono diventati anche più complessi. IBM and the Ponemon Institute riportano che il tempo medio per individuare e contenere una data breach nel 2021 è stato di 287 giorni, una settimana in più rispetto al 2020.

Fortunatamente, il Center for Internet Security (CIS) offre i Critical Security Controls (CSC) che aiutano le organizzazioni a migliorare la cybersecurity. Queste linee guida di migliori pratiche consistono in 18 controlli raccomandati che forniscono modi concreti per ridurre il rischio.

Gruppi di implementazione CSC

In precedenza, i CSC erano suddivisi nelle tre categorie di base, fondamentali e organizzative. Tuttavia, la versione attuale del CSC, versione 8, divide i controlli in tre gruppi di implementazione (IG), che tengono conto di come fattori come la dimensione dell'organizzazione, il tipo, il profilo di rischio e le risorse possano influenzare il processo di implementazione dei controlli.

• Gruppo di Implementazione 1 (IG1)definisce lo standard minimo di igiene informatica; ogni azienda dovrebbe implementare le sue 56 misure di sicurezza. Nella maggior parte dei casi, un'azienda IG1 è di piccole o medie dimensioni; dispone di un budget limitato per la cybersecurity e risorse IT; e conserva informazioni a bassa sensibilità.
• Implementation Group 2 (IG2) è destinato alle aziende con maggiori risorse e dati moderatamente sensibili. Le sue 74 misure di sicurezza si basano sulle 56 misure dell’IG1 per aiutare i team di sicurezza a gestire una complessità operativa crescente. Alcune misure richiedono competenze specializzate e tecnologie di livello enterprise per essere installate e configurate. Le aziende IG2 dispongono delle risorse necessarie per impiegare personale dedicato al monitoraggio, alla gestione e alla protezione dei sistemi IT e dei dati. In genere, archiviano ed elaborano informazioni sensibili aziendali e dei clienti, quindi rischiano di perdere la fiducia del pubblico in caso di violazione dei dati.
• Il Gruppo di Implementazione 3 (IG3) è destinato a organizzazioni mature con dati aziendali e dei clienti altamente sensibili. Include 23 misure di sicurezza aggiuntive. Le aziende IG3 sono molto più grandi rispetto alle loro controparti IG2. Di conseguenza, tendono ad impiegare esperti IT che si specializzano in diversi aspetti della cybersecurity, come il penetration testing, la gestione del rischio e l'applicazione. Poiché i loro asset IT contengono dati sensibili e svolgono funzioni delicate soggette a conformità e supervisione normativa, queste imprese devono essere in grado di prevenire e mitigare attacchi sofisticati, così come ridurre l'impatto degli attacchi zero-day.

CIS IG1: Quali misure di salvaguardia sono essenziali per la sicurezza?

Ogni controllo IG1 è essenziale tranne per il 13 (Network Monitoring and Defense), il 16 (Application Software Security) e il 18 (Penetration Testing), poiché i loro requisiti dipendono dal livello di maturità, dalle dimensioni e dalle risorse della tua azienda. Tutti gli altri controlli CIS di base hanno misure di salvaguardia essenziali, che comprendono IG1. Ora esaminiamo queste misure di salvaguardia essenziali.

CIS Control 1. Inventario e controllo degli Asset aziendali

In CIS Control 1, 2 su 5 misure di salvaguardia sono incluse in IG1:

1.1 Stabilire e mantenere un inventario completo delle risorse aziendali. Per ridurre la superficie di attacco della vostra organizzazione, è necessario avere una visione completa di tutte le risorse presenti nella vostra rete.

1.2 Affrontare gli asset non autorizzati. È necessario gestire attivamente tutti i dispositivi hardware sulla rete per garantire che solo i dispositivi autorizzati abbiano accesso. Qualsiasi dispositivo non autorizzato deve essere rapidamente identificato e disconnesso prima che possa causare danni.

CIS Control 2. Inventario e controllo degli asset software

CIS Control 2 presenta 7 misure di sicurezza ma solo le prime 3 sono incluse in IG1:

2.1 Stabilire e mantenere un inventario software aggiornato. È importante tenere traccia di tutto il software sui computer nella rete, inclusi dettagli come: titolo, editore, data di installazione, sistemi supportati, scopo aziendale, URL correlati, metodo di distribuzione, versione, data di dismissione e così via.

2.2 Assicurarsi che il software autorizzato sia attualmente supportato. Mantenere software non supportato, che non riceve patch di sicurezza e aggiornamenti, aumenta i rischi di cybersecurity della tua organizzazione.

2.3 Affrontare il software non autorizzato. Ricordati di gestire attivamente tutto il software sulla rete in modo che il software non autorizzato non possa essere installato o venga prontamente rilevato ed eliminato.

CIS Control 3. Protezione dei dati

CIS Control 3 si basa su CIS Control 1 enfatizzando la necessità di un piano di gestione e protezione dei dati completo. I seguenti 6 dei suoi 14 salvaguardie sono essenziali:

3.1 Stabilire e mantenere un processo di gestione dei dati. Mantenere un processo documentato aggiornato che affronti la sensibilità dei dati, la conservazione, l'archiviazione, il backup e lo smaltimento.

3.2 Stabilire e mantenere un inventario dei dati. È necessario sapere esattamente quali dati si possiedono e dove si trovano per dare la giusta priorità agli sforzi di Data Security e proteggere adeguatamente i dati critici e garantire la conformità normativa.

3.3 Configurare le liste di controllo degli accessi ai dati. Limitare i permessi di accesso degli utenti in base alle loro funzioni lavorative è fondamentale. Rivedere regolarmente i diritti di accesso e implementare processi per evitare la sovra assegnazione.

3.4 Applicare la conservazione dei dati secondo il processo di gestione dei dati. Decidere per quanto tempo diversi tipi di dati devono essere conservati, in base ai requisiti di conformità e ad altre esigenze aziendali, e costruire processi per garantire che i programmi di conservazione siano seguiti.

3.5. Smaltire i dati in modo sicuro e assicurarsi che i metodi e i processi di smaltimento corrispondano alla sensibilità dei dati. Assicurati che i tuoi processi di smaltimento dei dati siano appropriati al tipo di dati gestiti.

3.6 Crittografare i dati sui dispositivi degli utenti finali come laptop e telefoni. La crittografia dei dati li rende illeggibili e quindi inutili agli attori malevoli in caso di smarrimento o furto del dispositivo e può quindi aiutare a evitare sanzioni per mancata conformità.

CIS Control 4. Configurazione Sicura degli Asset Aziendali e del Software

CIS Control 4 delinea le migliori pratiche per aiutarti a mantenere configurazioni adeguate per le risorse hardware e software. Ci sono un totale di 12 salvaguardie in questa sezione. Tuttavia, solo le prime 7 appartengono a IG1:

4.1 Stabilire e mantenere un processo di configurazione sicura. Sviluppare configurazioni standard per le risorse IT basate su linee guida di migliori pratiche e implementare un processo per il loro dispiegamento e manutenzione.

4.2 Stabilire e mantenere un processo di configurazione sicura per l'infrastruttura di rete. Stabilire impostazioni standard per i network device e monitorare continuamente ogni deviazione o cambiamento rispetto a quella base di riferimento in modo da rimediare prontamente a modifiche che indeboliscono la sicurezza della rete.

4.3 Configurare il blocco automatico delle sessioni sui beni aziendali dopo periodi definiti di inattività. Questa misura di sicurezza aiuta a mitigare il rischio che attori malevoli ottengano accesso non autorizzato a workstation, server e dispositivi mobili se l'utente autorizzato si allontana senza proteggerli.

4.4 Implementare e gestire firewall sui server. I firewall aiutano a proteggere i server dall'accesso non autorizzato tramite la rete, bloccano determinati tipi di traffico e consentono l'esecuzione di programmi solo da piattaforme affidabili e altre fonti.

4.5 Implementare e gestire firewall sui dispositivi degli utenti finali. Aggiungere un firewall basato sull'host o uno strumento di filtraggio delle porte su tutti i dispositivi degli utenti finali presenti nell'inventario, con una regola di negazione predefinita che proibisce tutto il traffico eccetto un elenco predeterminato di servizi e porte che dispongono di permessi espliciti.

4.6 Gestire in modo sicuro il software e gli asset aziendali. Questa misura di sicurezza suggerisce di gestire la configurazione attraverso un'infrastruttura codificata controllata da versione. Raccomanda inoltre di accedere alle interfacce amministrative tramite protocolli di rete sicuri come SSH e HTTPS, ed evitare protocolli di gestione insicuri come Telnet e HTTP, che non dispongono di un adeguato supporto alla crittografia e sono quindi vulnerabili ad attacchi di intercettazione e intercettazione.

4.7 Gestire gli account predefiniti su software e risorse aziendali. Gli account predefiniti sono bersagli facili per gli attaccanti, quindi è fondamentale modificare le impostazioni preconfigurate e disabilitare gli account predefiniti dove possibile.

CIS Control 5. Gestione degli account

CIS Control 5 fornisce strategie per garantire che i tuoi account utente, amministratore e di servizio siano gestiti correttamente. In questo controllo, 4 delle 6 misure di salvaguardia sono essenziali:

5.1 Stabilire e mantenere un elenco di account. Rivedere regolarmente e aggiornare l'inventario di tutti gli account per assicurarsi che gli account utilizzati siano autorizzati. Ogni dettaglio, incluso lo scopo dell'account, dovrebbe essere documentato.

5.2 Utilizzare password uniche. La migliore pratica per la sicurezza delle password consiste nel costruire la propria politica delle password e le procedure utilizzando un framework appropriato e rispettato. Un'ottima opzione è la Special Publication 800-63B dell'Istituto Nazionale degli Standard e della Tecnologia (NIST). Le sue linee guida sono utili per qualsiasi azienda che cerca di migliorare la cybersecurity.

5.3 Disabilitare gli account inattivi (account che non sono stati utilizzati per almeno 45 giorni). Eseguire scansioni regolari per individuare gli account inattivi e disattivarli riduce il rischio che gli hacker li compromettano e accedano alla tua rete.

5.4 Limitare i privilegi di amministratore agli account amministrativi dedicati. Gli account privilegiati dovrebbero essere utilizzati solo quando necessario per completare compiti amministrativi.

CIS Control 6. Gestione del Controllo degli Accessi

Il Controllo 6 stabilisce le migliori pratiche per la gestione e la configurazione dell'accesso e dei permessi degli utenti. 5 delle sue 8 misure di salvaguardia sono incluse in IG1:

6.1 Stabilire un processo di concessione dell'accesso. Idealmente, il processo di concessione e modifica dei privilegi dovrebbe essere automatizzato in base a insiemi standard di permessi per ogni ruolo utente.

6.2 Stabilire un processo di revoca dell'accesso. Mantenere permessi inutilizzati o eccessivi aumenta i rischi per la sicurezza, quindi è necessario revocare o aggiornare i diritti di accesso non appena un dipendente lascia l'azienda o cambia ruolo.

6.3 Richiedere l'autenticazione a più fattori (MFA) per gli account esposti esternamente. Con MFA, gli utenti devono fornire due o più fattori di autenticazione, come una combinazione di ID utente/password più un codice di sicurezza inviato alla loro email. È necessario abilitare MFA per gli account utilizzati da clienti o partner.

6.4 Richiedere MFA per l'accesso remoto alla rete. Ogni volta che un utente tenta di connettersi da remoto, l'accesso deve essere verificato con MFA.

6.5 Richiedere MFA per l'accesso amministrativo. Gli account amministrativi richiedono sicurezza aggiuntiva, quindi è importante abilitare MFA per essi.

CIS Control 7. Gestione continua delle vulnerabilità

CIS Control 7 si concentra sull'identificazione, la priorizzazione, la documentazione e la correzione delle vulnerabilità in un ambiente IT. La gestione continua delle vulnerabilità è raccomandata perché gli attacchi stanno aumentando in sofisticatezza e frequenza, e c'è più dati sensibili che mai prima d'ora.

4 dei 7 dispositivi di protezione sono inclusi nel Gruppo di Implementazione 1:

7.1 Stabilire e mantenere un processo di gestione delle vulnerabilità. Le aziende devono decidere come identificare, valutare, rimediare e riportare le possibili vulnerabilità di sicurezza.

7.2 Stabilire e mantenere un processo di rimedio. Le aziende devono decidere come risponderanno a una vulnerabilità identificata.

7.3 Eseguire la gestione automatizzata delle patch del sistema operativo. È importante aggiornare tutti i sistemi operativi in modo tempestivo.

7.4 Eseguire la gestione automatizzata delle patch delle applicazioni. Mantenere aggiornate le patch delle applicazioni è importante quanto aggiornare i sistemi operativi.

CIS Control 8. Gestione dei log di controllo

CIS Control 8 fornisce linee guida per la raccolta, l'allerta, la revisione e la conservazione dei log di audit degli eventi che possono aiutarti a rilevare, comprendere e riprendersi dagli attacchi.

Ecco le salvaguardie essenziali di questo controllo:

8.1 Stabilire e mantenere un processo di gestione dei registri di controllo. Un'azienda deve decidere chi sarà incaricato della raccolta, revisione e conservazione dei registri di controllo per le risorse aziendali, oltre a quando e come avverrà il processo. Questo processo dovrebbe essere rivisto e aggiornato annualmente, così come ogni volta che cambiamenti significativi potrebbero influenzare questa misura di sicurezza.

8.2 Raccogliere i log di audit. L'audit dei log dovrebbe essere abilitato su tutti gli asset aziendali, come sistemi, dispositivi e applicazioni.

8.3 Assicurarsi una capacità di archiviazione adeguata per i log di audit. Decidere dove e per quanto tempo conservare i dati dei log di audit in base ai requisiti di conformità applicabili e ad altre esigenze aziendali, e assicurarsi di allocare abbastanza spazio di archiviazione per garantire che nessun dato richiesto venga sovrascritto o altrimenti perso.

CIS Control 9. Protezioni per Email e Browser Web

CIS Control 9 presenta 7 misure di sicurezza per browser web ed email, 2 delle quali sono essenziali:

9.1 Assicurati che vengano utilizzati solo client di posta elettronica e browser completamente supportati. I client di posta elettronica e i browser devono essere aggiornati e avere configurazioni sicure.

9.2 Utilizzare i servizi di filtraggio del Domain Name System (DNS). Questi servizi dovrebbero essere utilizzati su tutti gli asset aziendali per bloccare l'accesso ai domini notoriamente dannosi, il che può contribuire a rafforzare la vostra postura di sicurezza.

CIS Control 10. Difese contro i malware

CIS Control 10 delinea i metodi per prevenire e controllare l'installazione e la diffusione di codice maligno, applicazioni e script sugli asset aziendali. 3 delle sue 7 misure di salvaguardia sono essenziali:

10.1. Distribuire e mantenere il software anti-malware. Attivare le difese contro i malware in tutti i punti di ingresso agli asset IT.

10.2. Configurare gli aggiornamenti automatici delle firme anti-malware. Gli aggiornamenti automatici sono più affidabili dei processi manuali. Gli aggiornamenti possono essere rilasciati ogni ora o ogni giorno, e qualsiasi ritardo nell'installazione può lasciare il tuo sistema vulnerabile a soggetti malevoli.

10.3. Disabilitare l'autorun e l'auto-play per i supporti rimovibili. I supporti rimovibili sono altamente suscettibili a malware. Disabilitando la funzionalità di auto-esecuzione, è possibile prevenire malware che potrebbero causare costose violazioni dei dati o tempi di inattività del sistema.

CIS Control 11. Data Recovery

CIS Control 11 evidenzia la necessità di recupero dati e backup. Questo controllo ha 5 salvaguardie; le prime 4 sono essenziali:

11.1. Stabilire e mantenere un processo di recupero dati.Stabilire e mantenere un solido processo di recupero dati che possa essere seguito in tutta l'organizzazione. Dovrebbe definire l'ambito del recupero dati e stabilire le priorità determinando quali dati sono più importanti.

11.2. Implementare un processo di backup automatizzato. L'automazione garantisce che i dati di sistema vengano salvati secondo una pianificazione senza intervento umano.

11.3. Proteggere i dati di ripristino. Anche i backup necessitano di un'adeguata sicurezza. Questo può includere la crittografia o la segmentazione in base alla tua data protection policy.

11.4. Stabilire e mantenere copie isolate dei dati di backup. Per proteggere i backup da minacce come il ransomware, considerare la possibilità di conservarli offline o in sistemi o servizi cloud o esterni.

CIS Control 12. Gestione dell'infrastruttura di rete

Il Controllo 12 stabilisce linee guida per la gestione dei dispositivi di rete al fine di prevenire che gli aggressori sfruttino punti di accesso vulnerabili e servizi di rete. L'unico presidio in IG1 richiede di stabilire e mantenere un'architettura di rete sicura e aggiornare costantemente l'infrastruttura di rete.

CIS Control 14. Formazione sulla consapevolezza e le competenze di sicurezza

CIS Control 14 si concentra sul migliorare la consapevolezza e le competenze dei dipendenti in materia di cybersecurity. La frequenza e i tipi di formazione variano; spesso le organizzazioni richiedono ai dipendenti di aggiornare la loro conoscenza delle regole di sicurezza superando brevi test ogni 3-6 mesi.

8 dei 9 presidi sono considerati essenziali:

14.1 Stabilire e mantenere un programma di consapevolezza sulla sicurezza. Stabilire un programma di consapevolezza sulla sicurezza che formi i membri del personale su pratiche di sicurezza fondamentali.

14.2 Formare i membri del personale a riconoscere gli attacchi di social engineering. Esempi includono tailgating, phishing e truffe telefoniche.

14.3 Formare i membri del personale sulle migliori pratiche di autenticazione. È importante spiegare perché si dovrebbe utilizzare un'autenticazione sicura, inclusi i rischi e le conseguenze del mancato rispetto delle migliori pratiche.

14.4 Formare il personale sulle migliori pratiche di gestione dei dati. Questa salvaguardia è particolarmente importante per i dati sensibili e regolamentati.

14.5 Formare i membri del personale sulle cause dell'esposizione involontaria dei dati. Esempi includono la perdita di un dispositivo portatile, l'invio di dati sensibili ai destinatari sbagliati e la pubblicazione di dati in luoghi dove possono essere visualizzati da pubblico non intenzionato.

14.6 Formare i membri del personale a riconoscere e segnalare potenziali incidenti di sicurezza. Sviluppare una guida dettagliata che risponda a domande come: Quali potrebbero essere i segni di una truffa? Cosa dovrebbe fare un dipendente in caso di incidente di sicurezza? Chi dovrebbe essere informato riguardo a un incidente?

14.7 Formate il vostro personale su come identificare e segnalare se agli asset aziendali mancano patch software e aggiornamenti di sicurezza. I vostri dipendenti devono sapere perché gli aggiornamenti sono importanti e perché rifiutare un aggiornamento potrebbe causare un rischio per la sicurezza.

14.8 Formate il vostro personale sui pericoli del collegarsi e trasmettere dati tramite reti insicure. Tutti dovrebbero essere consapevoli dei pericoli del collegarsi a reti insicure. I lavoratori a distanza dovrebbero ricevere una formazione aggiuntiva per garantire che le loro reti domestiche siano configurate in modo sicuro.

CIS Control 15. Gestione dei fornitori di servizi

CIS Control 15 evidenzia l'importanza di valutare e gestire i fornitori di servizi che detengono dati sensibili. Richiede di mantenere un inventario di tutti i fornitori di servizi associati alla propria organizzazione, creare un insieme di standard per classificare i loro requisiti di sicurezza e valutare i requisiti di sicurezza di ciascun fornitore.

Solo la prima delle 8 misure di sicurezza è essenziale. Richiede di stabilire e mantenere un elenco di fornitori di servizi.

CIS Control 17. Gestione della risposta agli incidenti

Infine, CIS Control 17 riguarda lo sviluppo e il mantenimento di una capacità di risposta agli incidenti per rilevare, prepararsi e rispondere rapidamente agli attacchi. Richiede di designare del personale per la gestione degli incidenti e stabilire e mantenere un processo per la segnalazione degli incidenti. Dovreste anche creare e mantenere informazioni di contatto per la segnalazione degli incidenti di sicurezza.

3 dei suoi 9 presidi sono essenziali:

17.1 Designare del personale per gestire la risoluzione degli incidenti. Questa persona deve essere esperta nella gestione degli incidenti e deve essere un contatto primario noto che riceve segnalazioni su potenziali problemi.

17.2 Stabilire e mantenere le informazioni di contatto per la segnalazione degli incidenti di sicurezza. I dipendenti devono sapere esattamente come contattare i giusti dipendenti riguardo possibili incidenti, e il team responsabile della gestione degli incidenti deve avere le informazioni di contatto di coloro che hanno il potere di prendere decisioni significative.

17.3 Stabilire e mantenere un processo aziendale per la segnalazione degli incidenti. Questo processo deve essere documentato e revisionato regolarmente. Il processo dovrebbe spiegare come gli incidenti dovrebbero essere segnalati, inclusi i tempi di segnalazione, i meccanismi per la segnalazione e le informazioni da segnalare (come il tipo di incidente, l'orario, il livello di minaccia, il sistema o il software interessato, i log di controllo, ecc.).

Prossimi passi

Il Gruppo di Implementazione dei Controlli Critici CIS 1 fornisce indicazioni di base per una solida postura di cybersecurity. Le misure di salvaguardia dell'IG1 sono attività essenziali di igiene informatica, plasmate dagli anni di esperienza collettiva di una comunità dedicata al miglioramento della sicurezza attraverso lo scambio di concetti, risorse, lezioni apprese e azione coordinata.

Pronto a implementare le misure di sicurezza IG1? Netwrix products possono aiutare. Offrono un approccio olistico alle sfide della cybersecurity proteggendo la tua organizzazione su tutte le principali superfici di attacco: dati, identità e infrastruttura.

Scopri di più sulle nostre soluzioni principali:

• Governance dell'accesso ai dati — Riprendi il controllo sull'accesso ai dati sensibili.
• Sicurezza di Active Directory — Proteggi il tuo AD, sia on premises che nel cloud, da un capo all'altro.
• Protezione da ransomware — Mitigare il rischio di infezioni da ransomware e intercettare gli attacchi in corso.
• Privileged Access Management — Riduci il rischio derivante dalle attività privilegiate.
• Governance dell'informazione — Rendi i tuoi dati organizzati, rintracciabili e più sicuri.