کنترل های امنیتی 20 گانه (CIS) از دیدگاه SANS

کنترل های امنیتی و حیاتی CIS از دیدگاه SANS

حملات امنیت سایبری به سرعت در حال افزایش و تحول هستند بطوریکه امروزه پیشگیری و دفاع در برابر آنها دشوارتر از همیشه شده است. بنابراین ممکن است این سوال برای شما پیش آید که آیا سازمان شما از روش مؤثری برای شناسای، خنثی کردن و نظارت بر تهدیدات خارجی و داخلی برای جلوگیری از نقض امنیت استفاده کرده است یا خیر؟ از آنجایی که همزمان با رشد و گسترش روز افزون زیرساخت های فناوری اطلاعات، موضوع تأمین امنیت به یکی از اساسی ترین و مهم ترین دغدغه های موجود در این حوزه بدل شده است، از این رو سازمان های کوچک و بزرگ با خرید تجهیزات و تدوین فعالیت ها و برنامه های گوناگون بیش از همیشه مسئله امنیت را مد نظر قرار داده و سعی در تأمین بی کم و کاست آن دارند.

CIS CSC 20 چیست؟

کنترل های امنیتی حیاتی 20 گانه موسوم به CIS CSC 20 که توسط موسسه CIS یا Center for Internet Security‌ منتشر شده اند، به عنوان بهترین دستورالعمل های اجرایی در تأمین امنیت سایبری شناخته می شوند. لازم به ذکر است، این پروژه در سال 2008 به دنبال بروز آسیب های شدید امنیتی در سازمان های دفاعی امریکا کلید خورد و در ابتدا موسسه SANS اقدام به تهیه این دستورالعمل ها کرد. کنترل های یک چارچوب امنیتی مؤثر هستند، زیرا مبتنی بر حملات واقعی بوده که بطور منظم علیه شبکه ها اجرا می شوند.

اولویت با کنترل هایی است که حملات شناخته شده را کاهش می دهند، حملات گسترده ای را در بر می گیرد و مهاجمین را در اوایل چرخه خطر یا Compromise Cycle (یا همان Cyber Kill Chain) شناسایی و متوقف می کنند.

ادامه:

مرکز حفاظت از زیرساخت های ملی دولت انگلیس، Controls را “خط مقدم اقدامات و اطلاعات کنترل اولویت با امنیت بالا توصیف می کند که می تواند در یک سازمان به منظور بهبود دفاع سایبری خود اعمال شود.” (در مقاله ای جداگانه به موضوع Cyber Kill Chain و فازهای مختلف آن خواهم پرداخت). آموزش های جامع و عمیق SANS به شما می آموزد که چگونه بر تکنیک ها و ابزارهای خاص مورد نیاز برای اجرای و ممیزی کنترل های بحرانی تسلط پیدا کنید. بنابراین SANS در دوره SEC 566 کمک خواهد کرد که متخصصان امنیت نه تنها درک کنند که چگونه می توانند یک تهدید را متوقف کنند، بلکه یاد خواهند گرفت چرا این تهدید وجود دارد و چگونه می توان اطمینان حاصل کرد که اقدامات امنیتی مستقر امروزه علیه نسل بعدی تهدیدات مؤثر هستند.

دوره SANS SEC 566 به متخصصان امنیتی را نشان می دهد که چگونه می توانند کنترل ها CIS20 را در یک شبکه موجود از طریق اتوماسیون مقرون به صرفه انجام دهند و برای Auditorها، CIOها و Risk Officerها، بهترین روش برای درک چگونگی سنجش عملکرد کنترل ها به طور دقیق است.

دسته بندی کنترل های 20 گانه:

کنترل های 20 گانه حیاتی یا CIS20 در آخرین نسخه ارائه شده توسط موسسه CIS در ورژن 7.1 آن به طور کلی به سه زیر دسته بندی می شوند:

1. کنترل های Basic (پایه ای)
2. کنترل های Foundational (اساسی)
3. کنترل های Organizational (سازمانی)

سخن آخر:

کنترل های CIS20 به شکلی تهیه شده اند که امکان اجرای کلیه فعالیت های مرتبط با تامین امنیت را در لایه های مختلف پیاده سازی، نظارت و اجرا فراهم می کنند. در این کنترل ها به علت تمرکز بر خودکارسازی میزان خطای انسانی به شدت کاهش می یابد. این بیست کنترل جامع نه تنها یک نقشه راه دقیق و برنامه مدون برای تضمین امنیت در سازمان ارائه می دهند بلکه تمامی فعالیت های سازمان را بر اساس بودجه و نیاز مرتبط اولویت بندی کرده و در نهایت امکان مقابله و کنترل کلیه تهدیدات شناخته شده را فراهم می آورند. به پشتیبانی CIS20 خواسته ی حفظ امنیت در سازمان به سادگی در سطوح مختلف محقق می شود.

منابع:

1. مستند CIS Controls1
2. سایت SANS
3. اسلایدهای دوره SANS SEC 566

لطفا نظرات خود در رابطه با مقاله کنترل های امنیتی 20 گانه (CIS) از دیدگاه SANS را با ما به اشتراک بگذارید.

شاد و سلامت باشید.