CIS Critical Security Controls Version 8 Piergiorgio Venuti

CIS Critical Security Controls Version 8: cosa sono e perché sono importanti per la sicurezza informatica

Estimated reading time: 6 minuti

La sicurezza informatica è diventata sempre più critica per le organizzazioni, poiché le minacce informatiche diventano sempre più sofisticate e frequenti. Una delle migliori pratiche per proteggere le informazioni sensibili è implementare i controlli di sicurezza critici CIS. In questo articolo, esploreremo la versione 8 dei CIS Critical Security Controls e discuteremo il loro impatto sulla sicurezza informatica.

Cos’è CIS Critical Security Controls?

CIS Critical Security Controls è una serie di controlli di sicurezza che forniscono un elenco di attività prioritarie e misure di sicurezza per proteggere le organizzazioni dalle minacce informatiche comuni. Questi controlli sono sviluppati dal Center for Internet Security (CIS) e sono stati progettati per essere implementati in modo sequenziale per migliorare la sicurezza informatica. Il CIS Critical Security Controls è stato sviluppato da un team di esperti di sicurezza informatica che lavorano con organizzazioni governative e private.

Le precedenti versioni dei CIS

CIS Critical Security Controls

Prima di approfondire la versione 8 dei CIS Critical Security Controls, è utile fare un breve riepilogo delle versioni precedenti.

La versione originale dei CIS Critical Security Controls, chiamata “SANS Top 20 Critical Security Controls“, è stata pubblicata nel 2008 dal SANS Institute. Nel 2013, la CIS ha acquisito i diritti sui controlli e ha creato la prima versione dei CIS Critical Security Controls, che comprendeva 20 controlli.

Nel 2015, la CIS ha pubblicato la seconda versione dei controlli, che comprendeva 20 controlli principali e 15 controlli ausiliari. Questa versione ha introdotto controlli specifici per la protezione dei dati sensibili e ha aggiornato i controlli esistenti per riflettere le minacce informatiche più recenti.

La terza versione dei CIS Critical Security Controls è stata pubblicata nel 2017 e ha introdotto importanti modifiche ai controlli. La terza versione ha rimosso i controlli ausiliari e ha focalizzato l’attenzione sui 20 controlli principali, che sono stati riorganizzati per riflettere le fasi del ciclo di vita delle minacce informatiche. La terza versione ha inoltre introdotto un nuovo controllo sulle attività di analisi del comportamento degli utenti.

Nel 2020, la CIS ha pubblicato la quarta versione dei controlli, che ha ulteriormente raffinato i 20 controlli principali e ha aggiunto due nuovi controlli. La quarta versione ha introdotto il controllo 19 sui “controlli di sicurezza dell’infrastruttura fisica” e il controllo 20 sui “controlli di sicurezza della supply chain”.

Certificazione CIS Controls Versione 8

Il CIS fornisce una certificazione ufficiale per dimostrare che un’organizzazione ha implementato con successo i CIS Critical Security Controls. La certificazione può essere utile per dimostrare agli stakeholder interni ed esterni che l’organizzazione ha preso sul serio la sicurezza informatica e ha implementato politiche e procedure coerenti per proteggere le informazioni sensibili.

Inoltre, la certificazione può essere richiesta dai clienti o dai partner commerciali come condizione per fare affari con l’organizzazione. La certificazione può anche aiutare l’organizzazione a soddisfare le esigenze normative, come quelle della GDPR o dell’HIPAA, che richiedono organizzazioni protette da minacce informatiche.

La versione 8 dei CIS Critical Security Controls

La versione 8 dei CIS Critical Security Controls è stata rilasciata nel 2021 e contiene 20 controlli di sicurezza suddivisi in tre categorie principali: fondamentali, organizzative e avanzate. I primi 6 controlli sono considerati fondamentali e dovrebbero essere implementati prima degli altri controlli.

Di seguito sono riportati i 6 controlli fondamentali della versione 8 dei CIS Critical Security Controls:

  1. Identificazione degli asset: identificare tutti gli asset hardware e software dell’organizzazione e valutare i rischi associati.
  2. Gestione delle configurazioni: gestire le configurazioni di sicurezza in modo coerente per ridurre i rischi.
  3. Gestione degli account: limitare l’accesso ai dati sensibili solo agli utenti autorizzati.
  4. Valutazione della vulnerabilità: identificare e mitigare le vulnerabilità dei sistemi.
  5. Controllo dei dati in transito: proteggere i dati durante il trasferimento su reti pubbliche o non sicure.
  6. Controllo dei dati a riposo: proteggere i dati sensibili inattivi.

La categoria organizzativa comprende i controlli 7-16, che sono progettati per aiutare le organizzazioni a sviluppare politiche e procedure di sicurezza informatica. Infine, la categoria avanzata comprende i controlli 17-20, che sono considerati avanzati poiché richiedono una maggiore esperienza in sicurezza informatica per essere implementati.

Perché i CIS Critical Security Controls sono importanti

Implementare i CIS Critical Security Controls è importante per proteggere l’organizzazione dalle minacce informatiche. I controlli sono sviluppati per garantire una migliore sicurezza informatica in modo sequenziale. Ciò significa che l’implementazione dei controlli fondamentali ridurrà significativamente i rischi per la sicurezza informatica dell’organizzazione.

Inoltre, i CIS Critical Security Controls forniscono alle organizzazioni un quadro chiaro per sviluppare politiche e procedure di sicurezza informatica. Ciò aiuta a garantire che l’organizzazione abbia una strategia chiara e coerente per proteggere le informazioni sensibili. Inoltre, l’implementazione dei controlli può aiutare a soddisfare le esigenze normative e dei clienti, che richiedono sempre più organizzazioni protette da minacce informatiche.

Inoltre, la versione 8 dei CIS Critical Security Controls è stata aggiornata per riflettere le nuove minacce informatiche e le best practice di sicurezza informatica. Ciò significa che l’implementazione dei controlli può aiutare le organizzazioni a proteggersi dalle minacce informatiche emergenti.

Come implementare i CIS Critical Security Controls

L’implementazione dei CIS può essere un processo complesso e richiedere la collaborazione di diverse parti dell’organizzazione. Tuttavia, il CIS fornisce una guida dettagliata per l’implementazione dei controlli.

Inoltre, molte organizzazioni scelgono di utilizzare fornitori di servizi di sicurezza informatica per implementare i controlli. Questi fornitori hanno l’esperienza e le competenze necessarie per aiutare le organizzazioni a implementare i controlli in modo efficace e efficiente.

Benefici dell’implementazione dei CIS Critical Security Controls

L’implementazione dei CIS può fornire una serie di benefici all’organizzazione. Ad esempio, l’implementazione dei controlli può aiutare a ridurre il rischio di violazioni dei dati e di altre minacce informatiche, migliorare la continuità del business e aumentare la fiducia dei clienti e dei partner commerciali.

Inoltre, l’implementazione dei controlli può aiutare a migliorare l’efficienza e l’efficacia dei processi di sicurezza informatica dell’organizzazione. Ciò può ridurre il tempo e le risorse necessarie per rispondere alle minacce informatiche e migliorare la capacità dell’organizzazione di identificare e rispondere alle violazioni dei dati in modo tempestivo ed efficace.

Sfide nell’implementazione dei CIS Critical Security Controls

L’implementazione dei controlli può richiedere investimenti significativi in termini di tempo, risorse e denaro.

Inoltre, l’implementazione dei controlli può essere ostacolata da sfide come la mancanza di risorse, la resistenza al cambiamento e la mancanza di comprensione dei rischi informatici da parte degli stakeholder dell’organizzazione.

Per superare queste sfide, le organizzazioni dovrebbero coinvolgere gli stakeholder in modo attivo nel processo di implementazione e fornire formazione e sensibilizzazione sulla sicurezza informatica. Inoltre, le organizzazioni dovrebbero considerare l’utilizzo di fornitori di servizi di sicurezza informatica per aiutare con l’implementazione dei controlli e mitigare la mancanza di risorse interne.

Conclusioni

La sicurezza informatica è diventata sempre più critica per le organizzazioni, poiché le minacce informatiche diventano sempre più sofisticate e frequenti. Implementare i CIS v8 può aiutare le organizzazioni a proteggersi dalle minacce informatiche comuni e emergenti, e sviluppare politiche e procedure di sicurezza informatica coerenti. La versione 8 dei CIS v8 fornisce una guida aggiornata e completa per l’implementazione dei controlli di sicurezza critici. L’implementazione dei controlli può essere un processo complesso, ma molte organizzazioni scelgono di utilizzare fornitori di servizi di sicurezza informatica per aiutare con l’implementazione.

Useful links:

Condividi


RSS

Piu’ articoli…

Categorie …

Tags

RSS CSIRT

RSS darkreading

RSS Full Disclosure

  • Business Logic Flaw and Username Enumeration in spa-cartcmsv1.9.0.6 Giugno 16, 2024
    Posted by Andrey Stoykov on Jun 15# Exploit Title: Business Logic Flaw and Username Enumeration in spa-cartcmsv1.9.0.6 # Date: 6/2024 # Exploit Author: Andrey Stoykov # Version: 1.9.0.6 # Tested on: Ubuntu 22.04 # Blog: https://msecureltd.blogspot.com/2024/04/friday-fun-pentest-series-5-spa.html Description - It was found that the application suffers from business logic flaw - Additionally the application is vulnerable […]
  • APPLE-SA-06-10-2024-1 visionOS 1.2 Giugno 12, 2024
    Posted by Apple Product Security via Fulldisclosure on Jun 11APPLE-SA-06-10-2024-1 visionOS 1.2 visionOS 1.2 addresses the following issues. Information about the security content is also available at https://support.apple.com/HT214108. Apple maintains a Security Releases page at https://support.apple.com/HT201222 which lists recent software updates with security advisories. CoreMedia Available for: Apple Vision Pro Impact: An app may be […]
  • CyberDanube Security Research 20240604-0 | Multiple Vulnerabilities in utnserver Pro/ProMAX/INU-100 Giugno 9, 2024
    Posted by Thomas Weber via Fulldisclosure on Jun 09CyberDanube Security Research 20240604-0 ------------------------------------------------------------------------------- title| Multiple Vulnerabilities product| SEH utnserver Pro/ProMAX / INU-100 vulnerable version| 20.1.22 fixed version| 20.1.28 CVE number| CVE-2024-5420, CVE-2024-5421, CVE-2024-5422 impact| High homepage| https://www.seh-technology.com/...
  • SEC Consult SA-20240606-0 :: Multiple critical vulnerabilities in Kiuwan SAST on-premise (KOP) & cloud/SaaS & Kiuwan Local Analyzer (KLA) Giugno 9, 2024
    Posted by SEC Consult Vulnerability Lab via Fulldisclosure on Jun 09SEC Consult Vulnerability Lab Security Advisory < 20240606-0 > ======================================================================= title: Multiple critical vulnerabilities product: Kiuwan SAST on-premise (KOP) & cloud/SaaS Kiuwan Local Analyzer (KLA) vulnerable version: Kiuwan SAST
  • Blind SQL Injection - fengofficev3.11.1.2 Giugno 9, 2024
    Posted by Andrey Stoykov on Jun 09# Exploit Title: FengOffice - Blind SQL Injection # Date: 06/2024 # Exploit Author: Andrey Stoykov # Version: 3.11.1.2 # Tested on: Ubuntu 22.04 # Blog: https://msecureltd.blogspot.com/2024/05/friday-fun-pentest-series-6.html Steps to Reproduce: 1. Login to application 2. Click on "Workspaces" 3. Copy full URL 4. Paste the HTTP GET request into […]
  • Trojan.Win32.DarkGateLoader (multi variants) / Arbitrary Code Execution Giugno 9, 2024
    Posted by malvuln on Jun 09Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2024 Original source: https://malvuln.com/advisory/afe012ed0d96abfe869b9e26ea375824.txt Contact: malvuln13 () gmail com Media: x.com/malvuln Threat: Trojan.Win32.DarkGateLoader (multi variants) Vulnerability: Arbitrary Code Execution Description: Multiple variants of this malware look for and execute x32-bit "urlmon.dll" PE file in its current directory. Therefore, we can...
  • SQL Injection Vulnerability in Boelter Blue System Management (version 1.3) Giugno 9, 2024
    Posted by InfoSec-DB via Fulldisclosure on Jun 09Exploit Title: SQL Injection Vulnerability in Boelter Blue System Management (version 1.3) Google Dork: inurl:"Powered by Boelter Blue" Date: 2024-06-04 Exploit Author: CBKB (DeadlyData, R4d1x) Vendor Homepage: https://www.boelterblue.com Software Link: https://play.google.com/store/apps/details?id=com.anchor5digital.anchor5adminapp&hl=en_US Version: 1.3 Tested on: Linux Debian 9 (stretch), Apache 2.4.25, MySQL >= 5.0.12 CVE:...
  • CyberDanube Security Research 20240528-0 | Multiple Vulnerabilities in ORing IAP-420 Maggio 30, 2024
    Posted by Thomas Weber via Fulldisclosure on May 29CyberDanube Security Research 20240528-0 ------------------------------------------------------------------------------- title| Multiple Vulnerabilities product| ORing IAP-420 vulnerable version| 2.01e fixed version| - CVE number| CVE-2024-5410, CVE-2024-5411 impact| High homepage| https://oringnet.com/ found| 2024-01-19 by| T. Weber...
  • HNS-2024-06 - HN Security Advisory - Multiple vulnerabilities in Eclipse ThreadX Maggio 30, 2024
    Posted by Marco Ivaldi on May 29Hi, Please find attached a security advisory that describes multiple vulnerabilities we discovered in Eclipse ThreadX (aka Azure RTOS). * Title: Multiple vulnerabilities in Eclipse ThreadX * OS: Eclipse ThreadX < 6.4.0 * Author: Marco Ivaldi * Date: 2024-05-28 * CVE IDs and severity: * CVE-2024-2214 - High - […]
  • SEC Consult SA-20240527-0 :: Multiple vulnerabilities in HAWKI didactic interface Maggio 28, 2024
    Posted by SEC Consult Vulnerability Lab via Fulldisclosure on May 27 SEC Consult Vulnerability Lab Security Advisory < 20240527-0 > ======================================================================= title: Multiple vulnerabilities product: HAWKI (Interaction Design Team at the University of Applied Sciences and Arts in Hildesheim/Germany) vulnerable version: 1.0.0-beta.1, versions before commit 146967f     fixed version: Github commit 146967f...

Customers

Newsletter

{subscription_form_2}