Соответствие требованиям

Куда я попал?

Вы попали в сервис, который помогает корпоративным службам безопасности строить свои рабочие процессы: управление рисками, контроль соответствия требованиям, учет активов, планирование и сопровождение защитных мер на всем их жизненном цикле, распределение задач и т.д.
Еще SECURITM является платформой для обмена опытом и наработками между участниками сообщества служб безопасности.

Подробнее

CIS Critical Security Controls v8 (The 18 CIS CSC)

Framework

Control 06

Для проведения оценки соответствия по документу войдите в систему.

Показывать только требования

Control 06. Access Control Management
Use processes and tools to create, assign, manage, and revoke access credentials and privileges for user, administrator, and service accounts for enterprise assets and software.

6.1 Establish an Access Granting Process
Establish and follow a process, preferably automated, for granting access to enterprise assets upon new hire, rights grant, or role change of a user.

Обязательно для implementation Group 1 2 3

6.2 Establish an Access Revoking Process
Establish and follow a process, preferably automated, for revoking access to enterprise assets, through disabling accounts immediately upon termination, rights revocation, or role change of a user. Disabling accounts, instead of deleting accounts, may be necessary to preserve audit trails.

Обязательно для implementation Group 1 2 3

6.3 Require MFA for Externally-Exposed Applications
Require all externally-exposed enterprise or third-party applications to enforce MFA, where supported. Enforcing MFA through a directory service or SSO provider is a satisfactory implementation of this Safeguard.

Обязательно для implementation Group 1 2 3

6.4 Require MFA for Remote Network Access
Require MFA for remote network access.

Обязательно для implementation Group 1 2 3

6.5 Require MFA for Administrative Access
Require MFA for all administrative access accounts, where supported, on all enterprise assets, whether managed on-site or through a third-party provider.

Обязательно для implementation Group 1 2 3

6.6 Establish and Maintain an Inventory of Authentication and Authorization Systems
Establish and maintain an inventory of the enterprise’s authentication and authorization systems, including those hosted on-site or at a remote service provider. Review and update the inventory, at a minimum, annually, or more frequently

Обязательно для implementation Group 2 3

6.7 Centralize Access Control
Centralize access control for all enterprise assets through a directory service or SSO provider, where supported.

Обязательно для implementation Group 2 3

6.8 Define and Maintain Role-Based Access Control
Define and maintain role-based access control, through determining and documenting the access rights necessary for each role within the enterprise to successfully carry out its assigned duties. Perform access control reviews of enterprise assets to validate that all privileges are authorized, on a recurring schedule at a minimum annually, or more frequently.

Обязательно для implementation Group 3

Связанные защитные меры

	Название	Дата	Влияние
Community 25 / 46	Ведение реестра информационных активов По событию Вручную Организационная 16.03.2022	16.03.2022	25 / 46
Цель: учёт, инвентаризация активов различного типа Типы активов, подлежащие в учёту, определяются в зависимости от уровня зрелости компании, исполняемых требований и целей. Варианты реализации: Бумажные реестры Электронные таблицы (excel) CMDB/ITAM системы Сервис SECURITM (модуль Активы) В заметке к защитной мере приведен пример регламента учёта информационных активов на базе SECURITM. *Рекомендации к заполнению карточки:* Написать регламент учета активов и разместить его прямо в карточке или как ссылку на внешний документ Указать перечень учитываемых типов активов