CIS-i turvameetmete kogum (CIS Controls, lühemalt CSC) pakub parimatel praktikatel põhinevat meetodit, et tulla toime organisatsiooni küberturbe ohtudega. Parimaid praktikaid võiksid kasutada (aga mitte ainult) organisatsioonid, kellel ei ole sisemisi ega välimisi nõudeid (ISKE, ISO-27000) infoturbe rakendamisel või kes soovivad teha algust küberturbe meetmete rakendamisega, aga ei tea, millest alustada. CSC kirjeldabki olulisi väärtust pakkuvaid turvameetmeid, et kaitsta organisatsiooni küberohtude eest. Oluline on arvestada, et CSC on küberturbe vajadustest lähtuv praktikate kogum, see ei hõlma kogu infoturvet.

Nende parimate praktikate rakendamisega tegeletakse üle maailma ja korraldatakse koolitusi. Muu hulgas on näiteks Rahvusvahelise Infosüsteemide Audiitorite Ühing ISACA loonud auditeerimist lihtsustava auditiprogrammi. Eestis on auditi tegemise kriteeriumitena kasutanud CSC-d Riigikontroll.

Näiteid CSC sisust

CSC kategooria 1 – inventeerige ja kontrollige organisatsiooni võrgus asuvaid füüsilisi seadmeid

Oluline on aktuaalne ülevaade kõigist füüsilistest seadmetest taristu võrgus. Ligipääs võrgus asuvatele ressurssidele peaks olema ainult neil seadmetel, millel on selleks õigus. Piirake lubamatute ja haldamata seadmete ligipääsu sisevõrgu ressurssidele. Võrgus asuvad tundmatud ja haldamata seadmed ohustavad organisatsiooni võrku, sest ei pruugi olla turvalised (on uuendamata, ebaturvaliselt häälestatud) ja võivad lihtsustada küberrünnaku toimumist organisatsiooni taristus.

CSC kategooria 3 – pidev turvanõrkuste haldus

Ülevaade taristu turvanõrkustest peab olema ajakohane ja nendega tuleb järjepidevalt tegeleda (parandada, leevendada). Seda selleks, et pahavara või ründaja võimalus neid nõrkusi ära kasutada oleks võimalikult väike.

Turvanõrkused on süsteemis asuvad tarkvara või riistvara häälestusvead, tarkvaravead või muud puudused. Nende teadaolevate või ka veel tundmatute puuduste peale ehitatakse tihti üles pahavara ja neid nõrkusi otsivad ka häkkerid, et rünnakut korraldada. Turvanõrkused võivad ka iseenesest taristus häireid ja probleeme põhjustada.

CSC kategooria 4 – administraatoriõiguste kontrollitud kasutus

Administraatoriõiguste andmine, kasutamine ja häälestamine peab olema kontrollitud ja jälgitav nii sisemiste tööprotsesside kui ka tehniliste vahenditega.

Administraatoriõiguste kasutamine tööarvutis igapäevasteks toimetusteks, mis ei ole administreerimisega seotud, on üks levinud nõrkusi organisatsiooni taristus. Administraatoriõigused lubavad vale veebiaadressi või avatud manuse kaudu saavutada häkkeril kontrolli kogu masina üle ja sobivate tingimuste korral laiendada oma ligipääsuõigusi ka ülejäänud organisatsioonis.

CSC kategooria 6 – revisjonilogi (ingl audit log) haldus, seire ja analüüs

Rünnaku tuvastamiseks, mõistmiseks ja sellest taastumiseks koguge asjakohased logid, analüüsige neid ja hallake tervikuna.

Logide puudumisel võib küberrünnak jääda märkamata, see avastatakse hilja või ei ole võimalik tuvastada kompromiteerimise ulatust. Samuti raskendab logide puudumine rünnakust taastumist.

CSC kategooria 8 – pahavara kaitse

Kontrollige organisatsioonis levida võivat pahavara taristu eri tasanditel (tööjaam, server, e-post jne) automatiseeritud ja hallatud töövahendite abil.

Tänapäeva pahavara on muutunud väga keerukaks ja edukamad on võimelised peitma enda tegutsemist või muutma pahavaratõrje kasutuks. Pahavara levib ja sellega võib nakatuda mitmeti, näiteks interneti, e-posti, kaasaskantavate mälu- ja mobiilseadmete kaudu.

Artikkel on täisulatuses avaldatud Äripäeva Teabekeskuse IT-juhtimise teabevaras

Viide CSC litsentsile ja kasutustingimustele