CIS Controls e Vulnerability Assessment: guida pratica all’adozione delle best practice

Estimated reading time: 6 minuti

Le Critical Security Controls, note anche come CIS Controls, sono una serie di azioni e tecnologie di cybersecurity sviluppate per proteggere le organizzazioni da attacchi informatici comuni ed efficaci. Questo articolo spiega cos’è la CIS, i vantaggi dell’adozione delle CIS Controls e come integrarle nel processo di Vulnerability Assessment per migliorare la postura di sicurezza.

Cos’è la CIS (Center for Internet Security)?

La Center for Internet Security (CIS) è un’organizzazione no-profit che si occupa di migliorare la resilienza cybernetica a livello globale. La CIS gestisce vari programmi tra cui:

• Le CIS Controls o Critical Security Controls.
• L’MS-ISAC (Multi-State Information Sharing & Analysis Center) per condividere intelligence sulle minacce.
• CIS Benchmarks per configurazioni sicure di sistemi informatici.

La CIS è sostenuta da governi, aziende private, istituzioni accademiche e community tecniche per sviluppare best practice per la sicurezza informatica.

CIS Controls (Critical Security Controls)

Le CIS Controls, note inizialmente come SANS Top 20 Critical Security Controls, sono state sviluppate dalla CIS insieme ad esperti di cybersecurity di alto livello.

Si tratta di una serie di azioni, policy e tool di sicurezza prioritizzati e consolidati in una lista di controllo standard. L’obiettivo è guidare le organizzazioni ad implementare le difese più critiche ed efficaci per bloccare gli attacchi informatici known ed emergenti.

I vantaggi dell’adozione delle CIS Controls includono:

• Approccio pragmatico e di alto impatto – si concentra sulle best practice di maggior valore.
• Basato su dati concreti – deriva dall’analisi di milioni di attacchi reali.
• Applicabilità trasversale – efficace per organizzazioni di ogni dimensione e settore.
• Metriche misurabili – punteggio di implementazione per tracciare il miglioramento.
• Aggiornamento costante – revisione continua da parte di esperti per riflettere il threat landscape.

Evoluzione delle CIS Controls

La prima versione delle Critical Security Controls risale al 2008. Nel corso degli anni sono state riviste e aggiornate regolarmente per mantenerle rilevanti contro le minacce emergenti.

L’ultima release è la versione 8 (CIS Controls v8) pubblicata nel 2021, che comprende 20 controlli fondamentali. Ecco alcune delle principali novità:

• Unificazione dei controlli di identità e accesso in un singolo dominio.
• Nuovi controlli specifici per dispositivi mobili e IoT.
• Maggiore focus sugli attacchi alla supply chain e ransomware.
• Integrazione di tecnologie emergenti come microservizi e container.
• Nuove metriche di implementazione per una misurazione più granulare.

I 20 Critical Security Controls CIS v8

Di seguito i 20 domini delle CIS Controls ver. 8 raggruppati nelle rispettive aree di gestione:

Proteggere le informazioni e i sistemi critici

1. Inventario dei dispositivi autorizzati e non autorizzati
2. Inventory del software autorizzato e non autorizzato
3. Proteggere le configurazioni di hardware e software su dispositivi mobili, portatili, workstation e server
4. Valutazione e correzione continua delle vulnerabilità
5. Protezione degli stage di sviluppo e delivery dell’applicazione software

Sviluppare una cultura di sicurezza e consapevolezza

6. Autorizzazione amministrativa
7. Manutenzione, monitoraggio e analisi degli audit log

Potenziare la difesa e semplificare la sicurezza

8. Difesa contro malware
9. Limitazione ed il controllo dei porti di rete, protocolli e servizi
10. Protezione dei dati
11. Protezione della rete
12. Controllo dell’accesso sensibile

Usare le analytics per rispondere agli eventi

13. Protezione dei dati e sistemi di analisi della sicurezza
14. Rilevamento degli eventi e risposta agli incidenti di sicurezza

Ridurre la superficie di attacco e le opportunità per gli attaccanti

15. Implementazione di un architettura di sicurezza Zero Trust
16. Protezione dei dati e controllo degli accessi
17. Implemenazione di sicurezza per dispositivi di rete e mobility
18. Protezione dei dispositivi e del datacenter su on-premises, reti ibride e sistemi cloud

Rispondere in modo adattivo per ripristinare la situazione

19. Piani di incident response e disaster recovery
20. Esercitazioni per valutare e migliorare i piani di incident response e disaster recovery

CIS Controls Self-Assessment Scanner

Per semplificare l’adozione delle CIS Controls, la CIS mette a disposizione uno strumento gratuito di autovalutazione, il CIS Controls Self-Assessment Scanner.

Questo scanner permette di compilare online un questionario sullo stato di implementazione dei vari controlli all’interno della propria organizzazione.

Al termine si ottiene un report che assegna un punteggio complessivo e identifica le aree di miglioramento prioritarie per rafforzare le difese in base alle CIS Controls.

Lo strumento fornisce una panoramica di alto livello ma non testa direttamente la sicurezza o l’efficacia dei controlli. Per questo sono necessarie attività più approfondite come il Vulnerability Assessment.

Integrare le CIS Controls nel Vulnerability Assessment

Svolgere un Vulnerability Assessment periodico consente di identificare puntualmente tutte le vulnerabilità e falle di sicurezza all’interno dell’infrastruttura IT.

Per coprire in modo completo i vettori di attacco, l’assessment dovrebbe verificare sia configurazioni errate che possono violare le CIS Controls sia vulnerabilità tecniche nei sistemi.

Ad esempio, la scansione può:

• Rilevare errori di configurazione che espongono porte di rete sensibili.
• Identificare servizi non necessari attivi su server e workstation.
• Trovare applicazioni software non aggiornate e soggette ad exploit.
• Scoprire account con password deboli o credenziali predefinite.
• Individuare sistemi operativi o database obsoleti e non più supportati.
• Analizzare in dettaglio policy e impostazioni di sicurezza.

Quindi, il report finale del Vulnerability Assessment può includere specifiche indicazioni di remediation per risolvere questi problemi, allineandosi alle CIS Controls violate.

In questo modo l’organizzazione è in grado di:

• Misurare il livello effettivo di conformità alle best practice CIS.
• Prioritizzare le azioni correttive in base al rischio.
• Monitorare i progressi nell’implementazione delle difese fondamentali.
• Dimostrare l’impegno a seguire gli standard convalidati dalla community IT.
• Il Vulnerability Assessment diventa uno strumento ancora più prezioso integrando le verifiche con le CIS Controls come framework di riferimento.
• Hardening dei sistemi tramite CIS Controls
• Le CIS Controls forniscono indicazioni operative per proteggere i sistemi informatici attraverso best practice di “hardening”, ovvero il rinforzo della sicurezza.
• Ecco alcuni esempi di attività di hardening guidate dalle CIS Controls:
• Rimozione software non necessario – disinstallare componenti, feature e servizi non essenziali in base al Controllo 2.
• Chiusura porte e servizi – bloccare porte di rete, disabilitare servizi obsoleti e non utilizzati applicando i Controlli 9 e 11.
• Aggiornamenti periodici – mantenere sistemi operativi, software e firmware pienamente patchati come indicato nel Controllo 4.
• Minimizzazione utenti e privilegi – assegnare i minimi privilegi amministrativi richiesti dal ruolo dell’utente come da Controllo 6.
• Protezione dati – crittografare i dati sensibili sia in transito che at rest implementando il Controllo 10.
• Autenticazione a più fattori – richiedere più credenziali per l’accesso agli asset critici come impone il Controllo 12.
• Segmentazione rete – separare logicamente ambienti e flussi di dati sensibili come consigliato dal Controllo 11.
• Log collection e retention – raccogliere, centralizzare e mantenere log di sistema, applicazioni ed eventi di sicurezza per il Controllo 7.
• Verificando regolarmente la conformità a queste best practice durante il Vulnerability Assessment, le organizzazioni possono mantenere uno stato solido di sicurezza dei loro asset critici.
• Vulnerability Assessment continuativo
• Per mantenere costantemente aggiornata la conformità alle CIS Controls e la comprensione dei rischi di sicurezza, è essenziale eseguire il Vulnerability Assessment in modo frequente e continuativo.
• I vantaggi di un programma continuativo di VA includono:
• Visibilità in tempo reale – monitoraggio proattivo dell’esposizione a nuove minacce man mano che sistemi e applicazioni cambiano.
• Rapidità di intervento – identificazione immediata di nuovi gap da risolvere secondo le CIS Controls.
• Miglioramento progressivo – tracciamento dei progressi nel tempo verso una copertura completa dei controlli critici.
• Gestione dinamica del rischio – valutazione dell’impatto di cambiamenti interni ed esterni sull’esposizione agli attacchi.
• Prova di Diligenza – dimostrazione dell’impegno concreto a seguire framework riconosciuti di best practice.
• Esternalizzando il Vulnerability Assessment continuativo a fornitori qualificati di servizi gestiti, aziende e organizzazioni possono trarre vantaggio da competenze specializzate e tecnologie avanzate per integrare in modo efficace le CIS Controls nel proprio programma di sicurezza.
• Conclusione
• Le CIS Critical Security Controls costituiscono una solida base di best practice cybersecurity sviluppata da esperti di alto profilo.
• Integrandole nel processo di Vulnerability Assessment, le organizzazioni possono valutare in modo concreto la propria conformità a questi standard convalidati e identificare le aree di miglioramento prioritarie.
• Un programma continuativo di verifiche consente di monitorare nel tempo lo stato di sicurezza e guidare attività di hardening e mitigazione del rischio in linea con le raccomandazioni delle CIS Controls.
• Adottando un approccio proattivo, è possibile rispondere più rapidamente alle minacce in continua evoluzione, riducendo la superficie di attacco e rafforzando la postura complessiva di cybersecurity.

Useful links:

• CIS Critical Security Controls Version 8: cosa sono e perché sono importanti per la sicurezza informatica
• Vulnerability Assessment e Penetration test