CIS Kontrolleri nedir?
CIS Kontrolleri (CIS Critical Security Controls), Center for Internet Security tarafından yayımlanan, en yaygın siber saldırıları önlemeye odaklanan, önceliklendirilmiş bir güvenlik kontrolleri setidir. Genel ilkeler yerine, somut ve uygulanabilir güvenlik önlemleri sunar. Güvenlik programına nereden başlanacağını gösteren pratik bir yol haritası olarak kullanılır.
Kontroller; varlık envanteri, yazılım envanteri, veri koruma, güvenli yapılandırma, hesap ve erişim yönetimi, günlük yönetimi, olay müdahalesi ve sızma testi gibi başlıkları kapsar.
Nasıl çalışır?
Her kontrol, altında bir dizi alt kontrol (güvenlik önlemi) barındırır. Bu önlemler Uygulama Grupları (Implementation Groups, IG1, IG2 ve IG3) ile sınıflandırılır. IG1 temel siber hijyen için asgari önlemleri, IG2 ve IG3 ise daha büyük, daha karmaşık ve daha yüksek riskli kuruluşlar için ek önlemleri içerir.
Bu yapı, kuruluşun kaynaklarına ve risk düzeyine uygun bir başlangıç noktası seçmesini sağlar. CIS Kontrolleri, NIST CSF ve ISO 27001 gibi çerçevelerle eşleştirme tabloları da sunar.
Sunucu ve hosting ortamında
Sunucu işletmesi için kontroller doğrudan gündelik işlere karşılık gelir: sahip olunan sunucuların ve yazılımların envanterini tutmak, güvenli yapılandırma tabanları uygulamak, yamaları zamanında yüklemek, yönetim hesaplarını sınırlamak, günlükleri toplayıp izlemek ve yedeklerin geri yüklenebilirliğini sınamak. CIS Benchmark belgeleri, işletim sistemi ve yazılımlara özel yapılandırma ayrıntısı sağlayarak bu kontrolleri tamamlar.
Nasıl uygulanır?
- Kuruluşunuza uygun Uygulama Grubunu seçin; çoğu küçük işletme için IG1 mantıklı başlangıçtır.
- Önce envanter kontrollerini oluşturun; bilmediğiniz varlığı koruyamazsınız.