Compliance Manager-Frameworks

Dieses Dokument enthält Referenzinhalte für die integrierten Cloud-Frameworks, die in Compliance Manager enthalten sind.

Google Recommended AI Essentials - Gemini Enterprise Agent Platform

Unterstützter Cloud-Anbieter: Google Cloud

Dieses Framework enthält von Google empfohlene Sicherheits-Best Practices für Arbeitslasten der Gemini Enterprise Agent Platform und bietet eine präskriptive Sammlung wichtiger präventiver und detektiver Richtlinien. Wenn Sie KI-Schutz in Security Command Center aktivieren, wird im Dashboard „Agent Platform Security“ automatisch eine detaillierte Sicherheits-Compliance-Bewertung für dieses Framework angezeigt.

Dieser Rahmenplan umfasst die folgenden Cloud-Kontrollen:

CIS GCP Foundations Benchmark v3.0

Unterstützter Cloud-Anbieter: Google Cloud

Vorgaben für die Einrichtung einer sicheren Basiskonfiguration für die Google Cloud Platform. Dieser Benchmark enthält technische Best Practices für die Härtung grundlegender Dienste wie IAM, Logging, Networking und Storage.

Dieser Rahmenplan umfasst die folgenden Cloud-Kontrollen:

CIS GKE 1.7

Unterstützter Cloud-Anbieter: Google Cloud

Die CIS-GKE-Benchmark ist eine Reihe von Sicherheitsempfehlungen und Best Practices, die speziell auf Google Kubernetes Engine-Cluster (GKE) zugeschnitten sind. Die Benchmark zielt darauf ab, den Sicherheitsstatus von GKE-Umgebungen zu verbessern.

Dieser Rahmenplan umfasst die folgenden Cloud-Kontrollen:

CIS Critical Security Controls v8

Unterstützter Cloud-Anbieter: Google Cloud

Eine priorisierte Reihe von Sicherheitsmaßnahmen zum Schutz vor häufigen Cyberbedrohungen. Es bietet einen praktischen Ansatz für die Cyber Defense, der in Implementierungsgruppen (IG1, IG2, IG3) unterteilt ist, um Organisationen mit unterschiedlichem Reifegrad gerecht zu werden.

Dieser Rahmenplan umfasst die Cloud-Kontrollgruppen und Cloud-Kontrollen in den folgenden Abschnitten.

cis-controls-1-1

Erstellen und pflegen Sie ein genaues, detailliertes und aktuelles Inventar aller Unternehmensressourcen, die Daten speichern oder verarbeiten können, einschließlich: Endnutzergeräte (einschließlich tragbarer und mobiler Geräte), Netzwerkgeräte, Nicht-Computing-/IoT-Geräte und Server. Im Inventar müssen für jedes Asset die Netzwerkadresse (falls statisch), die Hardwareadresse, der Maschinenname, der Eigentümer des Unternehmens-Assets, die Abteilung und die Information, ob das Asset für die Verbindung mit dem Netzwerk genehmigt wurde, aufgeführt sein. Bei mobilen Endnutzergeräten können MDM-Tools diesen Prozess gegebenenfalls unterstützen. Dieser Bestand umfasst Assets, die physisch, virtuell oder per Fernzugriff mit der Infrastruktur verbunden sind, sowie Assets in Cloud-Umgebungen. Außerdem umfasst es Assets, die regelmäßig mit der Netzwerkinfrastruktur des Unternehmens verbunden sind, auch wenn sie nicht unter der Kontrolle des Unternehmens stehen. Überprüfen und aktualisieren Sie das Inventar aller Unternehmens-Assets halbjährlich oder häufiger.

cis-controls-10-2

Konfigurieren Sie automatische Updates für Anti-Malware-Signaturdateien auf allen Unternehmens-Assets.

cis-controls-10-3

Deaktivieren Sie die automatische Ausführung von Autorun und Autoplay für Wechselmedien.

cis-controls-10-6

Anti-Malware-Software zentral verwalten

cis-controls-11-1

Ein dokumentierter Datenwiederherstellungsprozess mit detaillierten Sicherungsverfahren wird eingerichtet und aufrechterhalten. Gehen Sie dabei auf den Umfang der Datenwiederherstellungsaktivitäten, die Priorisierung der Wiederherstellung und die Sicherheit der Sicherungsdaten ein. Dokumentation jährlich oder bei wesentlichen Unternehmensänderungen, die sich auf diese Sicherheitsmaßnahme auswirken könnten, überprüfen und aktualisieren.

cis-controls-11-2

Automatisierte Sicherungen von Assets des Unternehmens durchführen, die in den Anwendungsbereich fallen. Führen Sie je nach Sensibilität der Daten wöchentliche oder häufigere Sicherungen durch.

cis-controls-11-3

Schützen Sie Daten zur Kontowiederherstellung mit denselben Kontrollen wie die Originaldaten. Verweisen Sie je nach Anforderung auf die Verschlüsselung oder Datentrennung.

cis-controls-11-4

Eine isolierte Instanz von Wiederherstellungsdaten einrichten und verwalten. Beispielimplementierungen sind die Versionskontrolle von Sicherungszielen über Offline-, Cloud- oder Offsite-Systeme oder -Dienste.

cis-controls-11-5

Testen Sie die Sicherungswiederherstellung vierteljährlich oder häufiger für eine Stichprobe der Enterprise-Assets, die in den Geltungsbereich fallen.

cis-controls-12-2

Entwerfen und verwalten Sie eine sichere Netzwerkarchitektur. Eine sichere Netzwerkarchitektur muss mindestens die Bereiche Segmentierung, geringste Berechtigung und Verfügbarkeit abdecken. Beispielimplementierungen können Dokumentations-, Richtlinien- und Designkomponenten enthalten.

cis-controls-12-3

Netzwerkinfrastruktur sicher verwalten Beispielimplementierungen sind die versionskontrollierte Infrastructure-as-Code (IaC) und die Verwendung sicherer Netzwerkprotokolle wie SSH und HTTPS.

cis-controls-12-5

Zentralisieren Sie die Netzwerk-AAA.

cis-controls-12-6

Verwenden Sie sichere Netzwerkverwaltungsprotokolle (z.B. 802.1X) und sichere Kommunikationsprotokolle (z.B. Wi‑Fi Protected Access 2 (WPA2) Enterprise oder sicherere Alternativen).

cis-controls-12-7

Nutzer müssen sich bei unternehmensverwalteten VPN- und Authentifizierungsdiensten authentifizieren, bevor sie auf Endnutzergeräten auf Unternehmensressourcen zugreifen können.

cis-controls-13-1

Zentralisieren Sie die Benachrichtigungen zu Sicherheitsereignissen für alle Unternehmensressourcen, um Logs zu korrelieren und zu analysieren. Für die Implementierung von Best Practices ist ein SIEM erforderlich, das vom Anbieter definierte Warnungen zur Ereigniskorrelation enthält. Eine Log-Analyseplattform, die mit sicherheitsrelevanten Korrelationsbenachrichtigungen konfiguriert ist, erfüllt ebenfalls diese Schutzmaßnahme.

cis-controls-13-2

Stellen Sie bei Bedarf und/oder sofern unterstützt eine hostbasierte Einbruchserkennung auf Unternehmens-Assets bereit.

cis-controls-13-3

Stellen Sie gegebenenfalls eine Lösung zur Einbruchserkennung auf Unternehmensassets bereit. Beispielimplementierungen sind die Verwendung eines Network Intrusion Detection System (NIDS) oder eines entsprechenden Cloud-Dienstanbieter (CSP)-Dienstes.

cis-controls-13-4

Filtern Sie den Traffic zwischen Netzwerksegmenten, sofern erforderlich.

cis-controls-13-5

Verwalten Sie die Zugriffssteuerung für Geräte, die eine Remote-Verbindung zu Unternehmensressourcen herstellen. Legen Sie den Umfang des Zugriffs auf Unternehmensressourcen anhand der folgenden Kriterien fest: aktuelle Anti-Malware-Software installiert, Konfiguration entspricht dem sicheren Konfigurationsprozess des Unternehmens und Betriebssystem und Anwendungen sind auf dem neuesten Stand.

cis-controls-13-6

Erfassen Sie Fluss-Logs für den Netzwerkverkehr und/oder Netzwerkverkehr von Netzwerkgeräten, um sie zu prüfen und Warnungen zu generieren.

cis-controls-13-7

Stellen Sie bei Bedarf und/oder sofern unterstützt eine hostbasierte Lösung zur Intrusion Prevention auf Unternehmensassets bereit. Beispielimplementierungen sind die Verwendung eines EDR-Clients (Endpoint Detection and Response) oder eines hostbasierten IPS-Agents.

cis-controls-13-8

Stellen Sie gegebenenfalls eine Lösung zur Abwehr von Netzwerkangriffen bereit. Beispielimplementierungen umfassen die Verwendung eines Network Intrusion Prevention System (NIPS) oder eines gleichwertigen CSP-Dienstes.

cis-controls-13-9

Zugriffssteuerung auf Portebene bereitstellen. Die Zugriffssteuerung auf Portebene nutzt 802.1x oder ähnliche Protokolle zur Netzwerkzugriffssteuerung wie Zertifikate und kann die Nutzer- und/oder Geräteauthentifizierung umfassen.

cis-controls-14-1

Ein Programm zur Sensibilisierung für Sicherheitsfragen einrichten und verwalten Ziel eines Security Awareness-Programms ist es, die Mitarbeiter des Unternehmens darüber aufzuklären, wie sie sicher mit Unternehmensressourcen und -daten umgehen. Führen Sie Schulungen bei der Einstellung und mindestens einmal jährlich durch. Überprüfen und aktualisieren Sie die Inhalte jährlich oder wenn wichtige Änderungen im Unternehmen eintreten, die sich auf diese Sicherheitsmaßnahme auswirken könnten.

cis-controls-14-3

Mitarbeiter in Best Practices für die Authentifizierung schulen. Beispiele für Themen sind MFA, Passwortzusammensetzung und Anmeldedatenverwaltung.

cis-controls-14-5

Schulen Sie Ihre Mitarbeiter, damit sie sich der Ursachen für unbeabsichtigte Datenpannen bewusst sind. Beispiele hierfür sind die falsche Zustellung sensibler Daten, der Verlust eines tragbaren Endnutzergeräts oder die Veröffentlichung von Daten für nicht vorgesehene Zielgruppen.

cis-controls-16-1

Einen sicheren Prozess für die Anwendungsentwicklung einrichten und aufrechterhalten. Dabei sollten Sie auf Aspekte wie sichere Anwendungsdesignstandards, sichere Programmierpraktiken, Entwicklerschulungen, das Schwachstellenmanagement, die Sicherheit von Drittanbietercode und Verfahren zum Testen der Anwendungssicherheit eingehen. Dokumentation jährlich oder bei wesentlichen Unternehmensänderungen, die sich auf diese Sicherheitsmaßnahme auswirken könnten, überprüfen und aktualisieren.

cis-controls-16-11

Verwenden Sie geprüfte Module oder Dienste für Anwendungssicherheitskomponenten wie Identitätsverwaltung, Verschlüsselung, Auditing und Logging. Die Verwendung von Plattformfunktionen in kritischen Sicherheitsfunktionen reduziert den Arbeitsaufwand für Entwickler und minimiert die Wahrscheinlichkeit von Design- oder Implementierungsfehlern. Moderne Betriebssysteme bieten effektive Mechanismen zur Identifizierung, Authentifizierung und Autorisierung und stellen diese Mechanismen Anwendungen zur Verfügung. Verwenden Sie nur standardisierte, derzeit akzeptierte und umfassend geprüfte Verschlüsselungsalgorithmen. Betriebssysteme bieten auch Mechanismen zum Erstellen und Verwalten sicherer Audit-Logs.

cis-controls-16-12

Wenden Sie statische und dynamische Analysetools im Anwendungslebenszyklus an, um zu prüfen, ob sichere Programmierpraktiken eingehalten werden.

cis-controls-16-2

Einrichtung und Aufrechterhaltung eines Prozesses zur Annahme und Bearbeitung von Berichten über Software-Sicherheitslücken, einschließlich der Bereitstellung einer Möglichkeit für externe Stellen, Berichte einzureichen. Der Prozess umfasst unter anderem Folgendes: eine Richtlinie zum Umgang mit Sicherheitslücken, in der der Meldeprozess, die für die Bearbeitung von Sicherheitslückenberichten verantwortliche Partei und ein Prozess für die Aufnahme, Zuweisung, Behebung und das Testen der Behebung festgelegt sind. Verwenden Sie im Rahmen des Prozesses ein System zur Nachverfolgung von Sicherheitslücken, das Schweregradbewertungen und Messwerte zur Messung des Zeitpunkts für die Identifizierung, Analyse und Behebung von Sicherheitslücken enthält. Dokumentation jährlich oder bei wesentlichen Unternehmensänderungen, die sich auf diese Schutzmaßnahme auswirken könnten, überprüfen und aktualisieren. Drittanbieter-App-Entwickler müssen diese Richtlinie als extern ausgerichtete Richtlinie betrachten, die dazu beiträgt, Erwartungen für externe Stakeholder zu formulieren.

cis-controls-16-3

Ursachenanalyse von Sicherheitslücken durchführen Bei der Überprüfung von Sicherheitslücken ist die Ursachenanalyse die Aufgabe, zugrunde liegende Probleme zu bewerten, die Sicherheitslücken im Code verursachen. So können Entwicklungsteams mehr tun, als nur einzelne Sicherheitslücken zu beheben, wenn sie auftreten.

cis-controls-16-7

Verwenden Sie Standardvorlagen für die Härtungskonfiguration, die in der Branche empfohlen werden, für Komponenten der Anwendungsinfrastruktur. Dazu gehören zugrunde liegende Server, Datenbanken und Webserver. Dies gilt für Cloud-Container, Platform as a Service (PaaS)-Komponenten und SaaS-Komponenten. Selbst entwickelte Software darf die Konfigurationshärtung nicht schwächen.

cis-controls-17-2

Kontaktdaten für Parteien einrichten und pflegen, die über Sicherheitsvorfälle informiert werden müssen. Zu den Kontakten können interne Mitarbeiter, Dienstleister, Strafverfolgungsbehörden, Anbieter von Cyberversicherungen, zuständige Behörden, Partner des Information Sharing and Analysis Center (ISAC) oder andere Stakeholder gehören. Überprüfen Sie Kontakte jährlich, um sicherzustellen, dass die Informationen auf dem neuesten Stand sind.

cis-controls-17-4

Ein dokumentierter Incident-Response-Prozess, der Rollen und Verantwortlichkeiten, Compliance-Anforderungen und einen Kommunikationsplan umfasst, muss eingerichtet und aufrechterhalten werden. Jährlich oder bei wesentlichen Änderungen im Unternehmen, die sich auf diese Schutzmaßnahme auswirken könnten, überprüfen.

cis-controls-17-9

Sicherheitsvorfallschwellen festlegen und aufrechterhalten, einschließlich der Unterscheidung zwischen einem Vorfall und einem Ereignis. Beispiele sind: ungewöhnliche Aktivitäten, Sicherheitslücke, Sicherheitsschwäche, Datenpannen, Datenschutzvorfälle usw. Überprüfen Sie die Maßnahme jährlich oder wenn sich im Unternehmen wesentliche Änderungen ergeben, die sich auf diese Maßnahme auswirken könnten.

cis-controls-18-1

Ein Penetrationstestprogramm einrichten und aufrechterhalten, das der Größe, Komplexität, Branche und Reife des Unternehmens angemessen ist. Zu den Merkmalen eines Penetrationstests gehören der Umfang, z. B. Netzwerk, Webanwendung, API (Application Programming Interface), gehostete Dienste und physische Kontrollen; die Häufigkeit; Einschränkungen, z. B. zulässige Zeiten und ausgeschlossene Angriffstypen; Kontaktinformationen; die Fehlerbehebung, z. B. wie Ergebnisse intern weitergeleitet werden; und retrospektive Anforderungen.

cis-controls-18-2

Führen Sie gemäß den Programmanforderungen mindestens einmal jährlich externe Penetrationstests durch. Externe Penetrationstests müssen die Aufklärung von Unternehmen und Umgebungen umfassen, um ausnutzbare Informationen zu erkennen. Für Penetrationstests sind spezielle Fähigkeiten und Erfahrungen erforderlich. Sie müssen von einer qualifizierten Partei durchgeführt werden. Die Tests können in einem transparenten oder einem undurchsichtigen Feld erfolgen.

cis-controls-18-5

Führen Sie mindestens einmal jährlich regelmäßige interne Penetrationstests gemäß den Programmanforderungen durch. Die Tests können in einem transparenten oder einem undurchsichtigen Feld erfolgen.

cis-controls-2-7

Verwenden Sie technische Kontrollen wie digitale Signaturen und Versionsverwaltung, um sicherzustellen, dass nur autorisierte Skripts wie bestimmte .ps1- und .py-Dateien ausgeführt werden dürfen. Ausführung nicht autorisierter Skripts blockieren Mindestens zweimal jährlich oder häufiger neu bewerten.

cis-controls-3-1

Einrichtung und Aufrechterhaltung eines dokumentierten Datenverwaltungsprozesses. Berücksichtigen Sie dabei die Datensensibilität, den Dateninhaber, die Datenverarbeitung, die Grenzwerte für die Datenaufbewahrung und die Anforderungen an die Datenentsorgung auf der Grundlage der Sensibilitäts- und Aufbewahrungsstandards für das Unternehmen. Dokumentation jährlich oder bei wesentlichen Unternehmensänderungen, die sich auf diese Sicherheitsmaßnahme auswirken könnten, überprüfen und aktualisieren.

cis-controls-3-11

Verschlüsseln Sie sensible ruhende Daten auf Servern, in Anwendungen und in Datenbanken. Die Verschlüsselung der Speicherebene, auch als serverseitige Verschlüsselung bezeichnet, erfüllt die Mindestanforderung dieser Schutzmaßnahme. Zusätzliche Verschlüsselungsmethoden können die Verschlüsselung auf Anwendungsebene umfassen, auch als clientseitige Verschlüsselung bezeichnet, bei der der Zugriff auf die Datenspeichergeräte keinen Zugriff auf die Klartextdaten ermöglicht.

cis-controls-3-14

Protokollieren Sie den Zugriff auf sensible Daten, einschließlich Änderungen und Löschungen.

cis-controls-3-2

Erstellen und Pflegen eines Dateninventars basierend auf dem Datenverwaltungsprozess des Unternehmens. Erstellen Sie mindestens ein Inventar sensibler Daten. Überprüfen und aktualisieren Sie das Inventar mindestens einmal jährlich. Priorisieren Sie dabei vertrauliche Daten.

cis-controls-3-3

Konfigurieren Sie Datenzugriffssteuerungslisten basierend auf dem Informationsbedarf eines Nutzers. Wenden Sie Datenzugriffssteuerungslisten, auch bekannt als Zugriffsberechtigungen, auf lokale und Remote-Dateisysteme, Datenbanken und Anwendungen an.

cis-controls-3-4

Daten gemäß dem dokumentierten Datenmanagementprozess des Unternehmens aufbewahren. Die Datenaufbewahrung muss sowohl Mindest- als auch Höchstzeiträume umfassen.

cis-controls-3-5

Daten gemäß dem dokumentierten Datenverwaltungsprozess des Unternehmens sicher entsorgen. Das Verfahren und die Methode für die Entsorgung müssen der Vertraulichkeit der Daten angemessen sein.

cis-controls-3-6

Verschlüsseln Sie Daten auf Endnutzergeräten, die vertrauliche Daten enthalten. Beispielimplementierungen: Windows BitLocker®, Apple FileVault®, Linux® dm-crypt.

cis-controls-3-7

Ein allgemeines Datenklassifizierungsschema für das Unternehmen erstellen und verwalten. Unternehmen können Labels wie „Vertraulich“, „Sensibel“ und „Öffentlich“ verwenden und ihre Daten entsprechend klassifizieren. Überprüfen und aktualisieren Sie das Klassifizierungsschema jährlich oder wenn sich im Unternehmen wesentliche Änderungen ergeben, die sich auf diese Schutzmaßnahme auswirken könnten.

cis-controls-3-8

Dokumentdatenflüsse. Die Dokumentation des Datenflusses umfasst die Datenflüsse des Dienstanbieters und sollte auf dem Datenverwaltungsprozess des Unternehmens basieren. Dokumentation jährlich oder bei wesentlichen Unternehmensänderungen, die sich auf diese Sicherheitsmaßnahme auswirken könnten, überprüfen und aktualisieren.

cis-controls-3-9

Verschlüsseln Sie Daten auf Wechselmedien.

cis-controls-4-1

Ein dokumentierter Prozess für die sichere Konfiguration von Unternehmensressourcen (Endnutzergeräte, einschließlich tragbarer und mobiler Geräte, Nicht-Computing-/IoT-Geräte und Server) und Software (Betriebssysteme und Anwendungen) muss eingerichtet und aufrechterhalten werden. Dokumentation jährlich oder bei wesentlichen Unternehmensänderungen, die sich auf diese Sicherheitsmaßnahme auswirken könnten, überprüfen und aktualisieren.

cis-controls-4-2

Einen dokumentierten Prozess für die sichere Konfiguration von Netzwerkgeräten einrichten und aufrechterhalten. Dokumentation jährlich oder bei wesentlichen Unternehmensänderungen, die sich auf diese Sicherheitsmaßnahme auswirken könnten, überprüfen und aktualisieren.

cis-controls-4-3

Konfigurieren Sie die automatische Sitzungssperrung für Unternehmensassets nach einem bestimmten Zeitraum der Inaktivität. Bei Allzweckbetriebssystemen darf der Zeitraum 15 Minuten nicht überschreiten. Bei mobilen Endnutzergeräten darf der Zeitraum nicht länger als 2 Minuten sein.

cis-controls-4-4

Implementieren und verwalten Sie eine Firewall auf Servern, sofern dies unterstützt wird. Beispielimplementierungen sind eine virtuelle Firewall, eine Betriebssystem-Firewall oder ein Firewall-Agent eines Drittanbieters.

cis-controls-4-5

Implementieren und verwalten Sie eine host-basierte Firewall oder ein Portfiltertool auf Endnutzergeräten mit einer Standardablehnungsregel, die den gesamten Traffic mit Ausnahme der Dienste und Ports, die explizit zugelassen sind, ablehnt.

cis-controls-4-6

Unternehmensassets und ‑software sicher verwalten. Beispielimplementierungen umfassen die Verwaltung der Konfiguration über die versionskontrollierte Infrastructure-as-Code (IaC) und den Zugriff auf administrative Schnittstellen über sichere Netzwerkprotokolle wie Secure Shell (SSH) und Hypertext Transfer Protocol Secure (HTTPS). Verwenden Sie keine unsicheren Verwaltungsprotokolle wie Telnet (Teletype Network) und HTTP, es sei denn, sie sind für den Betrieb unbedingt erforderlich.

cis-controls-4-7

Standardkonten für Unternehmensressourcen und ‑software verwalten, z. B. Root-, Administrator- und andere vorkonfigurierte Anbieterkonten. Beispielimplementierungen: Deaktivieren oder Unbrauchbarmachen von Standardkonten.

cis-controls-4-8

Deinstallieren oder deaktivieren Sie unnötige Dienste auf Unternehmensressourcen und in Unternehmenssoftware, z. B. einen nicht verwendeten Dienst zum Teilen von Dateien, ein Webanwendungsmodul oder eine Dienstfunktion.

cis-controls-5-1

Erstellen und pflegen Sie ein Inventar aller in der Organisation verwalteten Konten. Das Inventar muss mindestens Nutzer-, Administrator- und Dienstkonten enthalten. Das Inventar sollte mindestens den Namen der Person, den Nutzernamen, das Start- und Enddatum sowie die Abteilung enthalten. Prüfen Sie, ob alle aktiven Konten autorisiert sind, mindestens vierteljährlich oder häufiger.

cis-controls-5-2

Verwenden Sie für alle Unternehmens-Assets eindeutige Passwörter. Die Implementierung von Best Practices umfasst mindestens ein 8‑stelliges Passwort für Konten, die die Multi-Faktor-Authentifizierung (MFA) verwenden, und ein 14‑stelliges Passwort für Konten, die keine MFA verwenden. 

cis-controls-5-4

Administratorberechtigungen auf dedizierte Administratorkonten für Unternehmensressourcen beschränken Führen Sie allgemeine Computeraktivitäten wie Internetbrowsing, E‑Mail und die Verwendung von Produktivitätssuiten über das primäre Konto des Nutzers aus, das keine Administratorrechte hat.

cis-controls-5-5

Erstellen und pflegen Sie ein Inventar von Dienstkonten. Das Inventar muss mindestens den Abteilungsleiter, das Überprüfungsdatum und den Zweck enthalten. Führen Sie regelmäßig, mindestens vierteljährlich oder häufiger, Überprüfungen von Dienstkonten durch, um zu bestätigen, dass alle aktiven Konten autorisiert sind.

cis-controls-5-6

Zentrale Kontoverwaltung über ein Verzeichnis oder einen Identitätsdienst

cis-controls-6-1

Richten Sie einen dokumentierten Prozess ein und halten Sie sich daran, vorzugsweise einen automatisierten, um den Zugriff auf Unternehmensressourcen bei der Einstellung neuer Mitarbeiter oder bei einem Rollenwechsel eines Nutzers zu gewähren.

cis-controls-6-2

Richten Sie einen Prozess ein und halten Sie sich daran, vorzugsweise einen automatisierten, um den Zugriff auf Unternehmensressourcen zu widerrufen. Deaktivieren Sie dazu Konten sofort nach Beendigung des Arbeitsverhältnisses, Widerruf von Berechtigungen oder Änderung der Rolle eines Nutzers. Möglicherweise ist es erforderlich, Konten zu deaktivieren, anstatt sie zu löschen, um Prüfpfade beizubehalten.

cis-controls-6-3

Erfordern Sie, dass alle extern zugänglichen Unternehmens- oder Drittanbieteranwendungen, sofern unterstützt, die Multi-Faktor-Authentifizierung erzwingen. Die Erzwingung der MFA über einen Verzeichnisdienst oder SSO-Anbieter ist eine zufriedenstellende Implementierung dieser Schutzmaßnahme.

cis-controls-6-5

MFA für alle Konten mit Administratorzugriff, sofern unterstützt, für alle Unternehmensressourcen erforderlich machen, unabhängig davon, ob sie vor Ort oder über einen Dienstanbieter verwaltet werden.

cis-controls-6-6

Erstellen und pflegen Sie ein Inventar der Authentifizierungs- und Autorisierungssysteme des Unternehmens, einschließlich der Systeme, die vor Ort oder bei einem Remote-Dienstanbieter gehostet werden. Prüfen und aktualisieren Sie das Inventar mindestens einmal jährlich oder häufiger.

cis-controls-6-7

Zentralisieren Sie die Zugriffssteuerung für alle Unternehmensassets über einen Verzeichnisdienst oder SSO-Anbieter, sofern dies unterstützt wird.

cis-controls-6-8

Definieren und verwalten Sie die rollenbasierte Zugriffssteuerung, indem Sie die für jede Rolle im Unternehmen erforderlichen Zugriffsrechte ermitteln und dokumentieren, damit die zugewiesenen Aufgaben erfolgreich ausgeführt werden können. Führen Sie regelmäßig, mindestens jährlich oder häufiger, Zugriffssteuerungsüberprüfungen von Unternehmens-Assets durch, um zu bestätigen, dass alle Berechtigungen autorisiert sind.

cis-controls-7-2

Entwickeln und pflegen Sie eine risikobasierte Strategie zur Behebung von Sicherheitslücken, die in einem Prozess zur Behebung von Sicherheitslücken dokumentiert ist und monatlich oder häufiger überprüft wird.

cis-controls-7-7

Erkannte Sicherheitslücken in Software werden monatlich oder häufiger durch Prozesse und Tools behoben, je nach Behebungsprozess.

cis-controls-8-1

Ein dokumentierter Prozess für die Verwaltung von Audit-Logs muss eingerichtet und aufrechterhalten werden, der die Protokollierungsanforderungen des Unternehmens definiert. Gehen Sie mindestens auf die Erfassung, Überprüfung und Aufbewahrung von Audit-Logs für Unternehmensassets ein. Dokumentation jährlich oder bei wesentlichen Unternehmensänderungen, die sich auf diese Sicherheitsmaßnahme auswirken könnten, überprüfen und aktualisieren.

cis-controls-8-11

Prüfen Sie Audit-Logs, um Anomalien oder ungewöhnliche Ereignisse zu erkennen, die auf eine potenzielle Bedrohung hindeuten könnten. Führen Sie Überprüfungen wöchentlich oder häufiger durch.

cis-controls-8-2

Audit-Logs erfassen Achten Sie darauf, dass das Logging gemäß dem Audit-Log-Verwaltungsprozess des Unternehmens für alle Unternehmensressourcen aktiviert ist.

cis-controls-8-3

Achten Sie darauf, dass die Logging-Ziele ausreichend Speicherplatz haben, um den Audit-Log-Verwaltungsprozess des Unternehmens einzuhalten.

cis-controls-8-4

Zeitsynchronisierung standardisieren Konfigurieren Sie mindestens zwei synchronisierte Zeitquellen für Unternehmens-Assets, sofern dies unterstützt wird.

cis-controls-8-5

Konfigurieren Sie detailliertes Audit-Logging für Unternehmensassets, die sensible Daten enthalten. Fügen Sie Ereignisquelle, Datum, Nutzername, Zeitstempel, Quelladressen, Zieladressen und andere nützliche Elemente hinzu, die bei einer forensischen Untersuchung hilfreich sein könnten.

cis-controls-8-6

Erfassen Sie Audit-Logs für DNS-Anfragen für Unternehmens-Assets, sofern dies angemessen und unterstützt wird.

cis-controls-8-7

Erfassen Sie Audit-Logs für URL-Anfragen für Unternehmensassets, sofern dies angemessen und unterstützt wird.

cis-controls-8-8

Audit-Logs über die Befehlszeile erfassen. Beispielimplementierungen umfassen das Erfassen von Audit-Logs aus PowerShell®, BASH™ und Remote-Verwaltungsterminals.

cis-controls-8-9

Zentralisieren Sie die Erfassung und Aufbewahrung von Audit-Logs für Unternehmens-Assets so weit wie möglich gemäß dem dokumentierten Prozess für die Verwaltung von Audit-Logs. Beispielimplementierungen umfassen in erster Linie die Nutzung eines SIEM-Tools zur Zentralisierung mehrerer Protokollquellen.

cis-controls-9-1

Es darf nur die jeweils aktuelle Version von vollständig unterstützten Browsern und E‑Mail-Clients verwendet werden, die vom Anbieter bereitgestellt werden.

cis-controls-9-2

Verwenden Sie DNS-Filterdienste auf allen Endnutzergeräten, einschließlich Remote- und lokalen Assets, um den Zugriff auf bekannte schädliche Domains zu blockieren.

cis-controls-9-3

Netzwerkbasierte URL-Filter erzwingen und aktualisieren, um zu verhindern, dass ein Unternehmensasset eine Verbindung zu potenziell schädlichen oder nicht genehmigten Websites herstellt. Beispiele für Implementierungen sind das Filtern nach Kategorie oder Reputation oder die Verwendung von Sperrlisten. Filter für alle Unternehmens-Assets erzwingen

cis-controls-9-4

Beschränken Sie nicht autorisierte oder unnötige Browser- oder E‑Mail-Client-Plug-ins, ‑Erweiterungen und ‑Add-on-Anwendungen, indem Sie sie deinstallieren oder deaktivieren.

CSA Cloud Controls Matrix v4.0.11

Unterstützter Cloud-Anbieter: Google Cloud

Ein Framework für Cybersicherheitskontrollen, das speziell für die Cloud-Computing-Umgebung entwickelt wurde. Es bietet eine umfassende Reihe von Kontrollen in wichtigen Bereichen, mit denen Sie die Sicherheitslage Ihrer Cloud-Dienste bewerten können.

Dieser Rahmenplan umfasst die Cloud-Kontrollgruppen und Cloud-Kontrollen in den folgenden Abschnitten.

ccm-aa-01

Prüf- und Sicherungsrichtlinien, ‑verfahren und ‑standards festlegen, dokumentieren, genehmigen, kommunizieren, anwenden, bewerten und aufrechterhalten. Überprüfen und aktualisieren Sie die Richtlinien und Verfahren mindestens einmal jährlich.

ccm-aa-02

Führen Sie mindestens einmal jährlich unabhängige Prüfungen und Assurance-Bewertungen gemäß den relevanten Standards durch.

ccm-ais-01

Erstellen, dokumentieren, genehmigen, kommunizieren, anwenden, bewerten und pflegen Sie Richtlinien und Verfahren für die Anwendungssicherheit, um die Planung, Bereitstellung und Unterstützung der Anwendungssicherheitsfunktionen der Organisation zu steuern. Überprüfen und aktualisieren Sie die Richtlinien und Verfahren mindestens einmal jährlich.

ccm-ais-02

Grundlegende Anforderungen für die Sicherung verschiedener Anwendungen festlegen, dokumentieren und aufrechterhalten.

ccm-ais-03

Definieren und implementieren Sie technische und betriebliche Messwerte in Übereinstimmung mit Geschäftszielen, Sicherheitsanforderungen und Compliance-Verpflichtungen.

ccm-ais-04

Definieren und implementieren Sie einen Softwareentwicklungs-Lebenszyklus-Prozess für das Anwendungsdesign, die Entwicklung, die Bereitstellung und den Betrieb in Übereinstimmung mit den von der Organisation definierten Sicherheitsanforderungen.

ccm-ais-05

Implementieren Sie eine Teststrategie, einschließlich Kriterien für die Akzeptanz neuer Informationssysteme, Upgrades und neuer Versionen, die für Anwendungssicherheit sorgt und die Compliance aufrechterhält, während gleichzeitig die Lieferziele der Organisation erreicht werden. Automatisieren Sie, wenn anwendbar und möglich.

ccm-bcr-03

Strategien entwickeln, um die Auswirkungen von Betriebsunterbrechungen zu verringern, ihnen standzuhalten und sich von ihnen zu erholen.

ccm-bcr-07

Kommunikation mit Stakeholdern und Teilnehmern im Rahmen von Verfahren zur Geschäftskontinuität und Resilienz aufbauen.

ccm-bcr-08

Sichern Sie regelmäßig in der Cloud gespeicherte Daten. Sorgen Sie für die Vertraulichkeit, Integrität und Verfügbarkeit der Sicherung und prüfen Sie die Datenwiederherstellung aus der Sicherung, um die Resilienz zu gewährleisten.

ccm-bcr-09

Einen Plan für die Reaktion auf Notfälle erstellen, dokumentieren, genehmigen, kommunizieren, anwenden, bewerten und pflegen, um sich von Naturkatastrophen und von Menschen verursachten Katastrophen zu erholen. Aktualisieren Sie den Plan mindestens einmal jährlich oder bei wesentlichen Änderungen.

ccm-bcr-10

Führen Sie den Notfallplan jährlich oder bei wesentlichen Änderungen durch, wenn möglich auch mit den örtlichen Notfallbehörden.

ccm-bcr-11

Ergänzen Sie geschäftskritische Geräte durch redundante Geräte, die sich in einem angemessenen Mindestabstand gemäß den anwendbaren Branchenstandards befinden.

ccm-ccc-01

Richtlinien und Verfahren für das Management der Risiken, die mit der Anwendung von Änderungen an Organisationsressourcen verbunden sind, einschließlich Anwendungen, Systemen, Infrastruktur, Konfiguration usw., erstellen, dokumentieren, genehmigen, kommunizieren, anwenden, bewerten und aufrechterhalten. Die Richtlinien und Verfahren müssen verwaltet werden, unabhängig davon, ob die Ressourcen intern oder extern verwaltet werden. Überprüfen und aktualisieren Sie die Richtlinien und Verfahren mindestens einmal jährlich.

ccm-ccc-02

Halten Sie sich an einen definierten Prozess für die Kontrolle, Genehmigung und das Testen von Qualitätsänderungen mit festgelegten Baselines, Test- und Release-Standards.

ccm-ccc-07

Implementieren Sie Erkennungsmaßnahmen mit proaktiver Benachrichtigung bei Änderungen, die von der festgelegten Baseline abweichen.

ccm-cek-01

Richtlinien und Verfahren für Kryptografie, Verschlüsselung und Schlüsselverwaltung erstellen, dokumentieren, genehmigen, kommunizieren, anwenden, bewerten und pflegen. Überprüfen und aktualisieren Sie die Richtlinien und Verfahren mindestens einmal jährlich.

ccm-cek-02

Definieren und implementieren Sie Rollen und Verantwortlichkeiten für Kryptografie, Verschlüsselung und Schlüsselverwaltung.

ccm-cek-03

Kryptografischer Schutz für ruhende Daten und Daten während der Übertragung mit kryptografischen Bibliotheken, die nach genehmigten Standards zertifiziert sind.

ccm-cek-04

Verwenden Sie Verschlüsselungsalgorithmen, die für den Datenschutz geeignet sind, und berücksichtigen Sie dabei die Klassifizierung der Daten, die damit verbundenen Risiken und die Benutzerfreundlichkeit der Verschlüsselungstechnologie.

ccm-cek-05

Ein standardisiertes Änderungsmanagementverfahren einrichten, um Änderungen aus internen und externen Quellen zu berücksichtigen und Änderungen an Technologien für Kryptografie, Verschlüsselung und Schlüsselverwaltung zu prüfen, zu genehmigen, zu implementieren und zu kommunizieren.

ccm-cek-08

CSPs müssen CSCs die Möglichkeit bieten, ihre eigenen Datenverschlüsselungsschlüssel zu verwalten.

ccm-cek-10

Kryptografische Schlüssel mit branchenüblichen kryptografischen Bibliotheken generieren, wobei die Algorithmusstärke und der verwendete Zufallszahlengenerator angegeben werden.

ccm-cek-11

Kryptografische Secrets und private Schlüssel verwalten, die für einen bestimmten Zweck bereitgestellt werden.

ccm-cek-18

Prozesse, Verfahren und technische Maßnahmen zum Verwalten archivierter Schlüssel in einem sicheren Repository mit Zugriff nach dem Prinzip der geringsten Berechtigung definieren, implementieren und bewerten, einschließlich Bestimmungen für rechtliche und regulatorische Anforderungen.

ccm-cek-21

Prozesse, Verfahren und technische Maßnahmen definieren, implementieren und bewerten, damit das Schlüsselverwaltungssystem alle kryptografischen Materialien und Statusänderungen nachverfolgen und melden kann. Dies umfasst auch Bestimmungen für rechtliche und behördliche Anforderungen.

ccm-dcs-07

Implementieren Sie physische Sicherheitsperimeter, um Mitarbeiter, Daten und Informationssysteme zu schützen. Richten Sie physische Sicherheitsbereiche zwischen den Verwaltungs- und Geschäftsbereichen und den Bereichen für Datenspeicherung und ‑verarbeitung ein.

ccm-dcs-09

Nur autorisiertes Personal darf auf sichere Bereiche zugreifen. Alle Ein- und Ausgangspunkte sind eingeschränkt, dokumentiert und werden durch physische Zugriffssteuerungsmechanismen überwacht. Zugriffssteuerungsdatensätze werden in regelmäßigen Abständen aufbewahrt, wenn dies von der Organisation als angemessen erachtet wird.

ccm-dsp-01

Richtlinien und Verfahren für die Klassifizierung, den Schutz und die Verarbeitung von Daten während ihres gesamten Lebenszyklus gemäß allen anwendbaren Gesetzen und Bestimmungen, Standards und dem Risikoniveau erstellen, dokumentieren, genehmigen, kommunizieren, anwenden, bewerten und aufrechterhalten. Überprüfen und aktualisieren Sie die Richtlinien und Verfahren mindestens einmal jährlich.