CIS Kontrolleri v8 ve çerçeveleri eşlemek

Ek A ve NIST fonksiyonları geniş kategoriler sunar; hangi somut adımı atacağını söylemez. CIS Kontrolleri v8 bu boşluğu doldurur. Center for Internet Security'nin topluluk katkısıyla hazırladığı liste, gerçek saldırı verisine bakarak en çok işe yarayan on sekiz kontrolü sıralar. Ek A gibi geniş temalara değil, doğrudan uygulanabilir önlemlere odaklanır: varlık envanteri, yazılım envanteri, veri koruma, güvenli yapılandırma gibi. Küçük bir ekip bile listeyi baştan uygulamaya başlayabilir; öncelik sırası zaten belirlenmiştir. Bu yüzden birçok küçük işletme, ISO sertifikası ya da NIST profili kurmadan önce CIS'in ilk birkaç kontrolünü uygulayarak işe başlar. Liste, hangi adımın en çok saldırıyı engellediğini gerçek olay verisinden çıkarır, tahminle sıralanmaz.

On sekiz kontrolün altında onlarca güvence durur; her kurum hepsini aynı anda uygulayamaz. CIS bu yüzden üç uygulama grubu tanımlar. IG1, kaynağı kısıtlı küçük kurumlar için temel siber hijyeni kapsar; en kritik güvenceleri sayar. IG2, IG1'in üstüne daha fazla kaynağı olan ve hassas veri işleyen kurumlar için ek güvenceler ekler. IG3, olgun güvenlik ekibi olan ve yüksek riskli sektörlerde çalışan kurumlar içindir; en geniş güvence kümesini kapsar. Altay Kargo şu an IG1 seviyesinde başlamayı planlıyor. Bir kurum IG1'den IG2'ye geçerken önceki güvenceleri terk etmez; üstüne ekleme yapar, bu yüzden gruplar birbirinin devamıdır. Altay Kargo, IG1'i tamamladıktan sonra büyüme planına göre IG2'ye geçmeyi düşünüyor.