CIS-Benchmarks sind eine Zusammenstellung von Best Practices zur sicheren Konfiguration von IT-Systemen, Software, Netzwerken und Cloudinfrastruktur.

CIS-Benchmarks werden vom Center for Internet Security (CIS) veröffentlicht. Zum Zeitpunkt dieses Schreibens gibt es mehr als 140 CIS-Benchmarks über sieben Kerntechnologien hinweg. Die CIS-Benchmarks werden in einem einzigartigen konsensbasierten Prozess entwickelt, an dem Communitys aus Cybersicherheitsexperten und Fachleute aus der ganzen Welt beteiligt sind, von denen jeder kontinuierlich die besten Sicherheitspraktiken in seinem Schwerpunktbereich identifiziert, verfeinert und validiert.

Das CIS (Link befindet sich außerhalb von ibm.com) ist eine Non-Profit-Organisation, gegründet im Oktober 2000. Das CIS wird von einer weltweiten IT-Community mit dem gemeinsamen Ziel betrieben, Best-Practice-Lösungen für die Cyberverteidigung zu identifizieren, zu entwickeln, zu validieren, zu fördern und aufrechtzuerhalten. Im Laufe der Jahre hat das CIS mehrere kostenlose Tools und Lösungen für Unternehmen aller Größenordnungen entwickelt und vertrieben, um deren Bereitschaft für Cybersicherheit zu stärken.

Das CIS ist allgemein für die Veröffentlichung der CIS Controls (Link befindet sich außerhalb von ibm.com) bekannt, ein umfassender Leitfaden mit 20 Schutz- und Gegenmaßnahmen für eine effektive Cyberabwehr. CIS Controls bietet eine nach Prioritäten geordnete Checkliste, die Unternehmen implementieren können, um die Angriffsfläche für Cyberangriffe erheblich zu verringern. Die CIS-Benchmarks beziehen sich auf diese Kontrollen, wenn sie Empfehlungen für besser gesicherte Systemkonfigurationen aussprechen.

Jede CIS-Benchmark enthält mehrere Konfigurationsempfehlungen, die auf einer von zwei Profilebenen basieren. Ebene 1-Benchmarkprofile umfassen Basiskonfigurationen, die einfacher zu implementieren sind und nur minimale Auswirkungen auf die Geschäftsfunktionen haben. Ebene 2-Benchmarkprofile sind für Hochsicherheitsumgebungen gedacht und erfordern mehr Koordination und Planung, um sie mit minimaler Unterbrechung der Geschäftsabläufe zu implementieren.

Es gibt sieben (7) Kernkategorien der CIS-Benchmarks:

1. Die Betriebssystem-Benchmarks decken die Sicherheitskonfigurationen der wichtigsten Betriebssysteme ab, z. B. Microsoft Windows, Linux und Apple OSX. Dazu gehören Best-Practice-Richtlinien für lokale und Remotezugriffsbeschränkungen, Benutzerprofile, Treiberinstallationsprotokolle und Internetbrowser-Konfigurationen.
   
   
2. Serversoftware-Benchmarks decken Sicherheitskonfigurationen von weit verbreiteter Serversoftware ab, darunter Microsoft Windows Server, SQL Server, VMware, Docker und Kubernetes. Diese Benchmarks enthalten Empfehlungen für die Konfiguration von Kubernetes-PKI-Zertifikaten, API-Server-Einstellungen, Server-Administrationssteuerungen, vNetwork-Richtlinien und Speicherbeschränkungen.
   
   
3. Cloudanbieter-Benchmarks befassen sich mit Sicherheitskonfigurationen für Amazon Web Services (AWS), Microsoft Azure, Google, IBM und andere vielfach eingesetzte öffentliche Clouds. Sie enthalten Richtlinien für die Konfiguration von Identitäts- und Zugriffsmanagement (IAM), Systemprotokollen, Netzkonfigurationen und Schutzmaßnahmen zur Einhaltung gesetzlicher Vorschriften.
   
   
4. Mobilgerät-Benchmarks befassen sich mit mobilen Betriebssystemen, einschließlich iOS und Android, und konzentrieren sich auf Bereiche wie Anwendungsentwickleroptionen- und Einstellungen, Datenschutzkonfigurationen des Betriebssystems, Browsereinstellungen und App-Berechtigungen.
   
   
5. Netzeinheit-Benchmarks bieten allgemeine und herstellerspezifische Sicherheitskonfigurations-Richtlinien für Netzeinheiten und entsprechende Hardware von Cisco, Palo Alto Networks, Juniper und anderen.
   
   
6. Desktopsoftware-Benchmarks umfassen Sicherheitskonfigurationen für einige der am häufigsten verwendeten Desktopsoftwareanwendungen, einschließlich Microsoft Office und Exchange Server, Google Chrome, Mozilla Firefox und Safari Browser. Diese Benchmarks konzentrieren sich auf E-Mail-Datenschutz und Servereinstellungen, das Management mobiler Endgeräte, Standardbrowsereinstellungen und das Blockieren von Software anderer Anbieter.
   
   
7. Multifunktionsdrucker-Benchmarks geben einen Überblick über bewährte Sicherheitspraktiken für die Konfiguration von Multifunktionsdruckern in Büroumgebungen und behandeln Themen wie Firmware-Aktualisierung, TCP/IP-Konfigurationen, Konfiguration des drahtlosen Zugriffs, Benutzerverwaltung und gemeinsamer Dateizugriff.

CIS bietet auch vorkonfigurierte gehärtete Images an, die es Unternehmen ermöglichen, Datenverarbeitungoperationen kostengünstig durchzuführen, ohne in zusätzliche Hard- oder Software investieren zu müssen. Gehärtete Images sind wesentlich sicherer als virtuelle Standard-Images und schränken die Sicherheitslücken, die zu einem Cyberangriff führen können, erheblich ein.

Gehärtete CIS-Images (Link befindet sich außerhalb von ibm.com) wurden nach CIS-Benchmarks und -Kontrollen entwickelt und konfiguriert und von verschiedenen Regulierungsbehörden als vollständig konform anerkannt. Gehärtete CIS-Images sind für die Verwendung in fast allen wichtigen Cloud-Computing-Plattformen verfügbar und lassen sich einfach bereitstellen und verwalten.

Die CIS-Benchmarks orientieren sich eng an Sicherheits- und Datenschutzregelwerken wie dem NIST (National Institute of Standards and Technology) Cybersecurity Framework, dem PCI DSS (Payment Card Industry Data Security Standard), HIPAA (Health Insurance Portability and Accountability Act) und ISO/EIC 2700. Folglich kann jedes Unternehmen, das in einer Branche tätig ist, die unter diese Art von Vorschriften fällt, durch die Einhaltung der CIS-Benchmarks wesentliche Fortschritte bei der Compliance erzielen. Darüber hinaus können CIS-Controls und gehärtete CIS-Images dazu beitragen, dass ein Unternehmen die DSGVO (Datenschutzgrundverordnung der EU) einhält.

Während es Unternehmen immer freisteht, ihre eigenen Entscheidungen bezüglich Sicherheitskonfigurationen zu treffen, bieten CIS-Benchmarks:

• Das gesammelte Fachwissen einer weltweiten Community von IT- und Cybersicherheitsexperten
  
  
• Regelmäßig aktualisierte, schrittweise Anleitungen zur Sicherung aller Bereiche der IT-Infrastruktur
  
  
• Konsistenz des Compliance-Managements
  
  
• Eine Flexibilitätsvorlage für die sichere Übernahme neuer Cloud-Services und für die Umsetzung von Strategien zur digitalen Transformation
  
  
• Einfach einzurichtende Konfigurationen für verbesserte betriebliche Effizienz und Nachhaltigkeit