CIS Controls v8 Compliance-Leitfaden
Die CIS Critical Security Controls bieten 18 priorisierte Schutzmassnahmen, um Organisationen vor Cyberbedrohungen zu schuetzen. Ob Sie IG1-Grundlagen oder IG3-erweiterten Schutz implementieren, wir helfen Ihnen, wirksame Cybersicherheitsabwehr mit klaren Massnahmen und Nachweisen aufzubauen.
Was sind CIS Controls?
Die CIS Critical Security Controls (CIS Controls) sind ein priorisierter Satz von Massnahmen, entwickelt vom Center for Internet Security, um Organisationen vor bekannten Cyberangriffsvektoren zu schuetzen. Version 8 umfasst 18 Controls mit 153 Schutzmassnahmen, organisiert in drei Implementation Groups.
Warum das wichtig ist: CIS Controls basieren auf realen Angriffsmustern und Verteidigungsstrategien. Sie sind herstellerunabhaengig, umsetzbar und von Cyberversicherern und Auditoren weithin als Nachweis sicherheitsbezogener Sorgfalt anerkannt.
Priorisiert
Fokus auf Verteidigungen mit hoechster Wirkung zuerst
Umsetzbar
Spezifische technische Schutzmassnahmen zur Implementierung
Wer sollte CIS Controls implementieren?
Kleine und mittlere Unternehmen
Organisationen, die grundlegende Cyberhygiene mit IG1 anstreben
Grossunternehmen
Unternehmen mit IT-Abteilungen, die IG2 oder IG3 implementieren
Kritische Infrastruktur
Organisationen, die wesentliche Dienste und Systeme schuetzen
Regulierte Branchen
Finanzdienstleistungen, Gesundheitswesen mit Compliance-Anforderungen
Managed Service Provider
MSPs, die CIS Controls fuer Kunden implementieren
Regierungsbehoerden
Oeffentliche Einrichtungen, die sensible Daten sichern
Wie VerifyWise die CIS Controls-Compliance unterstuetzt
Konkrete Funktionen, die die Implementierung aller Schutzmassnahmen adressieren
Asset-Inventar und -Verwaltung
Pflegen Sie umfassende Inventare von Hardware-, Software- und Daten-Assets mit automatisierter Erkennung. Die Plattform verfolgt alle Geraete, Anwendungen und sensiblen Informationen in Ihrer Umgebung und adressiert die Anforderungen der CIS Controls 1 und 2.
Adressiert: Controls 1, 2: Inventar und Kontrolle von Unternehmens-Assets
Schwachstellen- und Patch-Management
Identifizieren, verfolgen und beheben Sie Sicherheitsschwachstellen ueber Systeme hinweg. Die Plattform ueberwacht den Patch-Status, priorisiert kritische Updates und pflegt Pruefpfade fuer das Schwachstellenmanagement gemaess Control 7.
Adressiert: Control 7: Kontinuierliches Schwachstellenmanagement
Zugriffskontrolle und Authentifizierung
Verwalten Sie Benutzerkonten, Berechtigungen und Authentifizierungsrichtlinien. Die Plattform setzt Least-Privilege-Prinzipien durch, verfolgt den Kontolebenszyklus und ueberwacht privilegierten Zugriff gemaess Controls 5 und 6.
Adressiert: Controls 5, 6: Konto- und Zugriffskontrollverwaltung
Sicherheitsueberwachung und Protokollierung
Erfassen, analysieren und speichern Sie Sicherheitsprotokolle von kritischen Systemen. Die Plattform zentralisiert das Protokollmanagement, ermoeglicht Bedrohungserkennung und pflegt Nachweise fuer Vorfalluntersuchungen gemaess Controls 8 und 13.
Adressiert: Controls 8, 13: Auditprotokollverwaltung und Netzwerkueberwachung
Vorfallreaktion und Wiederherstellung
Verwalten Sie Sicherheitsvorfaelle mit strukturierten Workflows und Wiederherstellungsverfahren. Die Plattform dokumentiert die Vorfallbehandlung, verfolgt Abhilfemassnahmen und ermoeglicht Post-Incident-Analysen gemaess Control 17.
Adressiert: Control 17: Vorfallreaktionsmanagement
Richtlinien- und Compliance-Tracking
Pflegen Sie Sicherheitsrichtlinien, Standards und Compliance-Nachweise. Die Plattform bietet Vorlagen fuer CIS-konforme Richtlinien, verfolgt die Kontrollimplementierung und erstellt Berichte fuer Audits gemaess Control 1.
Adressiert: Control 1: Sicherheitsprogramm- und Richtlinienverwaltung
Alle Sicherheitsaktivitaeten werden mit Zeitstempeln, zugewiesenen Verantwortlichen und Genehmigungsworkflows verfolgt. Dieser Pruefpfad belegt systematische Kontrollimplementierung fuer Cyberversicherungspruefungen und Compliance-Audits.
Vollstaendige Abdeckung der CIS Controls v8-Schutzmassnahmen
VerifyWise bietet dedizierte Werkzeuge fuer alle 153 Schutzmassnahmen ueber drei Implementation Groups
CIS Controls
Schutzmassnahmen mit dedizierten Werkzeugen
Implementation Groups
Grundlegende Cyberhygiene fuer alle Organisationen
Organisationen mit IT-Personal und Ressourcen
Organisationen mit dedizierten Sicherheitsteams
Von Grund auf fuer CIS Controls entwickelt
Asset-Inventar-Tracking
Automatisierte Erkennung und Verwaltung fuer Controls 1-2
Schwachstellenmanagement
Kontinuierliches Scanning und Patch-Tracking fuer Control 7
Versicherungsbereitschaft
Nachweispakete fuer Cyberversicherungsantraege
Multi-Framework-Zuordnung
Zuordnung zu NIST CSF, ISO 27001 und SOC 2
18 CIS Critical Security Controls
Priorisierte Schutzmassnahmen zur Verteidigung gegen bekannte Cyberangriffsvektoren
Control 1
Inventar und Kontrolle von Unternehmens-Assets
Aktive Verwaltung aller mit der Infrastruktur verbundenen Unternehmens-Assets, um sicherzustellen, dass nur autorisierte Geraete auf das Netzwerk zugreifen koennen.
- Asset-Inventar erstellen und pflegen
- Unautorisierte Assets behandeln
- Asset-Management-Tools nutzen
- Ordnungsgemaesse Asset-Adressierung sicherstellen
Control 2
Inventar und Kontrolle von Software-Assets
Aktive Verwaltung aller Software im Netzwerk, sodass nur autorisierte Software installiert ist und ausgefuehrt werden kann.
- Software-Inventar erstellen und pflegen
- Unautorisierte Software behandeln
- Software-Inventar-Tools nutzen
- Whitelisting und Blacklisting verwenden
Control 3
Datenschutz
Prozesse und technische Kontrollen entwickeln, um Daten zu identifizieren, zu klassifizieren, sicher zu handhaben, aufzubewahren und zu entsorgen.
- Datenverwaltungsprozess etablieren
- Sensible Daten klassifizieren
- Daten im Ruhezustand und bei Uebertragung verschluesseln
- Datenaufbewahrungsrichtlinien durchsetzen
Control 4
Sichere Konfiguration von Unternehmens-Assets und Software
Sichere Konfigurationen fuer Unternehmens-Assets und Software etablieren und pflegen.
- Sicheren Konfigurationsprozess etablieren
- Konfigurationsstandards pflegen
- System-Konfigurationsmanagement-Tools bereitstellen
- Automatisierte Konfigurationsueberwachung implementieren
Control 5
Kontoverwaltung
Prozesse und Tools zur Zuweisung und Verwaltung von Autorisierungen fuer Benutzerkonten einschliesslich Administratorkonten verwenden.
- Zugriffsgewaehrungsprozess etablieren
- Kontoinventar pflegen
- Inaktive Konten deaktivieren
- Administratorprivilegien einschraenken
Control 6
Zugriffskontrollverwaltung
Prozesse und Tools zum Erstellen, Zuweisen, Verwalten und Widerrufen von Zugangsdaten und Berechtigungen fuer Benutzer-, Administrator- und Dienstkonten verwenden.
- Zugriffsueberpruefungsprozess etablieren
- Zugriffskontrolle zentralisieren
- Multi-Faktor-Authentifizierung erforderlich machen
- Rollenbasierte Zugriffskontrolle definieren und pflegen
Control 7
Kontinuierliches Schwachstellenmanagement
Einen Plan zur kontinuierlichen Bewertung und Verfolgung von Schwachstellen auf allen Unternehmens-Assets innerhalb der Unternehmensinfrastruktur entwickeln.
- Schwachstellenmanagementprozess etablieren
- Automatisierte Schwachstellenscans durchfuehren
- Erkannte Schwachstellen beheben
- Lebenszyklus der Schwachstellenbehebung verwalten
Control 8
Auditprotokollverwaltung
Auditprotokolle von Ereignissen sammeln, warnen, ueberpruefen und aufbewahren, die helfen koennten, einen Angriff zu erkennen, zu verstehen oder sich davon zu erholen.
- Auditprotokollverwaltungsprozess etablieren
- Auditprotokolle sammeln
- Ausreichende Auditprotokollspeicherung sicherstellen
- Zeitsynchronisierung standardisieren
Control 9
E-Mail- und Webbrowser-Schutz
Schutz und Erkennung von Bedrohungen aus E-Mail- und Web-Vektoren verbessern, da diese Moeglichkeiten fuer Angreifer bieten, menschliches Verhalten zu manipulieren.
- Nur unterstuetzte Browser und E-Mail-Clients verwenden
- DNS-Filterdienste nutzen
- E-Mail-Sicherheitsrichtlinien pflegen und durchsetzen
- Unnoetige Dateitypen blockieren
Control 10
Malware-Abwehr
Installation, Verbreitung und Ausfuehrung boesartiger Anwendungen, Codes oder Skripte auf Unternehmens-Assets verhindern oder kontrollieren.
- Anti-Malware-Software bereitstellen
- Automatische Anti-Malware-Updates konfigurieren
- Anti-Exploitation-Funktionen aktivieren
- Autorun und Autoplay deaktivieren
Control 11
Datenwiederherstellung
Datenwiederherstellungspraktiken etablieren und pflegen, die ausreichen, um betroffene Unternehmens-Assets in einen Vor-Vorfall- und vertrauenswuerdigen Zustand wiederherzustellen.
- Datenwiederherstellungsprozess etablieren
- Automatisierte Backups durchfuehren
- Wiederherstellungsdaten schuetzen
- Datenwiederherstellung regelmaessig testen
Control 12
Netzwerkinfrastruktur-Management
Die Sicherheitskonfiguration der Netzwerkinfrastruktur einschliesslich Netzwerksicherheitskontrollen etablieren, implementieren und aktiv verwalten.
- Aktualitaet der Netzwerkinfrastruktur sicherstellen
- Sichere Netzwerkarchitektur etablieren und pflegen
- Netzwerkinfrastruktur sicher verwalten
- Netzwerkbasiertes IDS bereitstellen
Control 13
Netzwerkueberwachung und -verteidigung
Prozesse und Tools betreiben, um umfassende Netzwerkueberwachung und -verteidigung gegen Sicherheitsbedrohungen zu etablieren und aufrechtzuerhalten.
- Sicherheitsereignis-Alarmierung zentralisieren
- Hostbasiertes IDS bereitstellen
- Datenverkehrsfilterung zwischen Netzwerksegmenten durchfuehren
- Zugriffskontrolle fuer Remote-Assets verwalten
Control 14
Sicherheitsbewusstsein und Kompetenztraining
Ein Sicherheitsbewusstseinsprogramm etablieren und pflegen, um das Verhalten der Belegschaft dahingehend zu beeinflussen, sicherheitsbewusst zu handeln.
- Sicherheitsbewusstseinsprogramm etablieren
- Belegschaft zu sicherer Authentifizierung schulen
- Belegschaft zum Datenumgang schulen
- Mitarbeiter zur Erkennung von Social-Engineering-Angriffen schulen
Control 15
Dienstleisterverwaltung
Einen Prozess zur Bewertung von Dienstleistern entwickeln, die sensible Daten verwalten oder fuer kritische IT-Plattformen eines Unternehmens verantwortlich sind.
- Dienstleisterverwaltungsprozess etablieren
- Inventar der Dienstleister pflegen
- Dienstleister klassifizieren
- Dienstleistervertraege ueberpruefen und aktualisieren
Control 16
Anwendungssoftware-Sicherheit
Den Sicherheitslebenszyklus von intern entwickelter, gehosteter oder erworbener Software verwalten, um Sicherheitsschwaechen zu verhindern, zu erkennen und zu beheben.
- Anwendungssoftware-Sicherheitsprogramm etablieren
- Sichere Codierungspraktiken etablieren
- Ursachenanalyse durchfuehren
- Produktions- und Nicht-Produktionssysteme trennen
Control 17
Vorfallreaktionsmanagement
Ein Programm zur Entwicklung und Pflege einer Vorfallreaktionsfaehigkeit etablieren, um Angriffe zu entdecken, einzudaemmen und sich davon zu erholen.
- Personal fuer die Vorfallverwaltung benennen
- Vorfallreaktionsprozess etablieren
- Regelmaessige Vorfallreaktionsuebungen durchfuehren
- Kontaktinformationen fuer die Vorfallmeldung erstellen und pflegen
Control 18
Penetrationstests
Die Wirksamkeit und Resilienz von Unternehmens-Assets durch Identifizierung und Ausnutzung von Schwaechen in Kontrollen testen.
- Penetrationstestprogramm etablieren
- Periodische externe Penetrationstests durchfuehren
- Penetrationstest-Ergebnisse beheben
- Sicherheitskontrollen validieren
Implementation Groups erklaert
Waehlen Sie die richtigen Schutzmassnahmen fuer die Ressourcen und das Risikoprofil Ihrer Organisation
Implementation Group 1 (IG1)
56 Schutzmassnahmen
Grundlegende Cyberhygiene fuer alle Organisationen
Zielgruppe
Kleine bis mittlere Organisationen mit begrenzter Cybersicherheitsexpertise und Ressourcen
Merkmale
- Begrenzte IT- und Sicherheitsressourcen
- Basis-Sicherheitskontrollen
- Grundlegende Schutzmassnahmen
- Fundament fuer Sicherheitsreife
Umfasst
Controls 1-11, 14, 17
Implementation Group 2 (IG2)
131 Schutzmassnahmen
Organisationen mit IT-Personal und Ressourcen
Zielgruppe
Organisationen, die mehrere Abteilungen, Systeme oder Standorte mit dedizierten IT-Ressourcen verwalten
Merkmale
- Dediziertes IT-Personal
- Moderate Sicherheitskomplexitaet
- Erweiterte Ueberwachungsfaehigkeiten
- Risikobasierter Ansatz
Umfasst
Alle IG1-Controls + Controls 12, 13, 15, 16
Implementation Group 3 (IG3)
153 Schutzmassnahmen
Organisationen mit dedizierten Sicherheitsteams
Zielgruppe
Organisationen mit erheblicher Cybersicherheitsexpertise, die sensible Daten oder kritische Infrastruktur schuetzen
Merkmale
- Dediziertes Sicherheitsteam
- Erweiterter Bedrohungsschutz
- Umfassendes Sicherheitsprogramm
- Fokus auf regulatorische Compliance
Umfasst
Alle IG1 + IG2-Controls + Control 18
CIS Controls v8 vs v7.1
Wesentliche Verbesserungen und Aenderungen in der neuesten Version
| Aspekt | v7.1 | v8 | Aenderung |
|---|---|---|---|
Gesamtkontrollen | 20 Controls | 18 Controls (konsolidiert) | Verschlankt |
Schutzmassnahmen | 171 Sub-Controls | 153 Safeguards | Verfeinert und priorisiert |
Implementation Groups | 3 IGs (IG1, IG2, IG3) | 3 IGs beibehalten | Klaerere Leitlinien |
Asset-Typen | Fokus auf traditionelle IT | Einschluss von Cloud, Mobile, IoT | Modernisierte Abdeckung |
Datenschutz | Control 13 | Control 3 (erhoehte Prioritaet) | Staerkere Betonung |
Lieferkette | Begrenzte Leitlinien | Control 15 (erweitert) | Erweiterter Umfang |
Bedrohungsfokus | Allgemeine Bedrohungen | Ransomware und moderne Angriffe | Aktualisierte Prioritaeten |
Metriken | Grundlegende Messung | Erweiterte Messungsleitlinien | Verbessertes Tracking |
Migrationstipp: Organisationen auf v7.1 sollten aktualisierte Controls priorisieren wie Control 3 (Datenschutz), Control 15 (Dienstleisterverwaltung) und modernisiertes Asset-Inventar fuer Cloud- und Mobile-Umgebungen.
Vollstaendigen v8-Migrationsleitfaden ansehen36-Wochen-Umsetzungs-Roadmap
Ein praktischer Weg zur Uebernahme der CIS Controls mit klaren Meilensteinen
Grundlagen
- Geeignete Implementation Group bestimmen (IG1, IG2 oder IG3)
- Asset-Inventar fuer Hardware und Software erstellen
- Sichere Konfigurationen und Standards definieren
- Grundlegende Zugriffskontrollrichtlinien implementieren
Kernkontrollen
- Schwachstellenscanning und Patch-Management bereitstellen
- Auditprotokollierung und -ueberwachung implementieren
- Datenschutz und Verschluesselung etablieren
- E-Mail- und Webbrowser-Schutz konfigurieren
Erweiterter Schutz
- Netzwerksegmentierung und -ueberwachung bereitstellen
- Vorfallreaktionsverfahren implementieren
- Sicherheitsbewusstseins-Trainingsprogramm etablieren
- Malware-Abwehr und Backup-Systeme konfigurieren
Reife & Optimierung
- Penetrationstests durchfuehren (IG3)
- Dienstleisterverwaltung ueberpruefen und optimieren
- Anwendungssicherheitspraktiken verbessern
- Zyklus der kontinuierlichen Verbesserung etablieren
CIS Benchmarks-Integration
Ergaenzen Sie CIS Controls mit spezifischer Konfigurationsanleitung fuer Ihren Technologie-Stack
Waehrend CIS Controls definieren, was zu schuetzen ist (18 Sicherheitskontrollen), bieten CIS Benchmarks detaillierte Konfigurationsleitfaeden dafuer, wie bestimmte Systeme zu sichern sind. Zusammen liefern sie umfassende Cybersicherheitsabdeckung von der Strategie bis zur Implementierung.
CIS Controls
Uebergeordnete Sicherheits-Best-Practices und Schutzmassnahmen
CIS Benchmarks
Detaillierte Konfigurationseinstellungen fuer spezifische Technologien
Betriebssysteme
Sichere Konfigurations-Benchmarks fuer Windows, Linux, macOS und Unix-Systeme
Beispiele
- • Windows Server
- • Ubuntu Linux
- • macOS
- • Red Hat Enterprise Linux
Cloud-Plattformen
Sicherheitskonfigurationsrichtlinien fuer grosse Cloud-Dienstanbieter
Beispiele
- • AWS Foundations
- • Microsoft Azure
- • Google Cloud Platform
- • Oracle Cloud
Netzwerkgeraete
Haertungsstandards fuer Netzwerkinfrastrukturkomponenten
Beispiele
- • Cisco IOS
- • Palo Alto Networks
- • Fortinet FortiGate
- • Juniper Networks
Datenbanken
Sicherheits-Benchmarks fuer Datenbankmanagementsysteme
Beispiele
- • Microsoft SQL Server
- • Oracle Database
- • MySQL
- • PostgreSQL
Anwendungen
Konfigurationsstandards fuer Unternehmensanwendungen
Beispiele
- • Microsoft 365
- • Google Workspace
- • Docker
- • Kubernetes
Mobile Geraete
Sicherheitsbaselines fuer mobile Betriebssysteme
Beispiele
- • Apple iOS
- • Google Android
- • Mobile Device Management
Vollstaendige Sicherheitsrichtlinien-Sammlung
Zugang zu einsatzbereiten Sicherheitsrichtlinienvorlagen, abgestimmt auf CIS Controls, NIST CSF und ISO 27001-Anforderungen
Asset-Management
- • Asset-Inventarrichtlinie
- • Hardware-Asset-Management
- • Software-Asset-Management
- • Datenklassifizierungsrichtlinie
- • Sichere Konfigurationsstandards
- • Aenderungsmanagement-Richtlinie
- + 4 weitere Richtlinien
Zugriff & Schutz
- • Kontoverwaltungsrichtlinie
- • Zugriffskontrollrichtlinie
- • Multi-Faktor-Authentifizierung
- • Datenschutzrichtlinie
- • Verschluesselungsstandards
- • Schwachstellenmanagement
- + 5 weitere Richtlinien
Ueberwachung & Reaktion
- • Auditprotokollverwaltung
- • Sicherheitsueberwachungsrichtlinie
- • Vorfallreaktionsplan
- • Malware-Abwehrrichtlinie
- • Datensicherung & Wiederherstellung
- • Sicherheitsbewusstseins-Training
- + 3 weitere Richtlinien
Haeufig gestellte Fragen
Haeufige Fragen zur CIS Controls-Implementierung
Bereit, CIS Controls zu implementieren?
Starten Sie Ihre Cybersicherheitsreise mit unseren gefuehrten Bewertungs- und Implementierungswerkzeugen.