CIS18 for ejerledere: de tre kontroller dit aktivregister løser

Flere og flere ejerledere får den samme anbefaling fra deres IT-rådgiver eller fra erhvervshusenes konsulenter: kig på CIS18. Det er en god anbefaling. CIS18 er en af de mest anerkendte og praktiske rammer for cybersikkerhed, der findes.

Men for en ejerleder uden en IT-afdeling rejser anbefalingen et nyt spørgsmål: 18 kontroller, hvor begynder jeg?

Svaret er enklere, end det lyder. Du begynder samme sted, som enhver god risikovurdering begynder: med at vide, hvad du har.

Hvad er CIS18?

CIS Controls version 8.1, i daglig tale CIS18, er 18 prioriterede sikkerhedskontroller udgivet af Center for Internet Security, en anerkendt nonprofitorganisation. Hvor lovgivning som NIS2 fortæller dig, hvad du skal opnå, fortæller CIS18 dig, hvordan du kommer derhen i praksis.

Kontrollerne er grupperet i tre niveauer. De grundlæggende kontroller, nummer 1 til 6, dækker den basale cyberhygiejne. De funderende kontroller, nummer 7 til 16, dækker mere tekniske foranstaltninger som sårbarhedsstyring og netværksovervågning. De organisatoriske kontroller, nummer 17 og 18, dækker beredskab og test.

CIS har desuden inddelt de 153 konkrete tiltag i tre implementeringsgrupper. Implementation Group 1, forkortet IG1, er de 56 mest grundlæggende tiltag, som enhver virksomhed bør have på plads, uanset størrelse. For en ejerledet SMV er det her, arbejdet begynder.

De tre kontroller, et softwareregister løser

Når du ser på de grundlæggende kontroller, opdager du noget: tre af dem handler ikke om avanceret teknologi. De handler om at have styr på en liste over din software, dine konti og dine adgange.

Kontrol 2: fortegnelse over software. Du skal have et overblik over alle de systemer og tjenester, virksomheden bruger: CRM, økonomi, løn, hosting, mail og alle abonnementer. Det er her, mange virksomheder opdager, at de betaler for software, ingen længere bruger, eller at en tjeneste håndterer kundedata, uden at nogen har vurderet risikoen.

Kontrol 5: styr på brugerkonti. Du skal vide, hvilke konti der findes, hvem de tilhører, og hvilke der stadig er aktive. Den hyppigste fejl er konti, der bliver stående, efter en medarbejder er stoppet.

Kontrol 6: kontrol over adgang. Du skal kunne svare på, hvem der har adgang til hvad, og hvem der har administratorrettigheder til de kritiske systemer. Det er forudsætningen for at kunne lukke en adgang hurtigt, når det bliver nødvendigt.

Læg mærke til, hvad de tre kontroller har til fælles. De starter alle med en fortegnelse. Ikke med et stykke avanceret sikkerhedssoftware, men med en struktureret liste over, hvilke systemer du har, og hvem der har adgang til dem.

Hvorfor fortegnelsen kommer først

Det er fristende at springe direkte til de tekniske kontroller: antivirus, firewalls, sårbarhedsscanning. Men CIS har bevidst placeret fortegnelserne tidligt, før alt det andet.

Logikken er enkel. Antivirus på de computere, du kender til, hjælper ikke mod den bærbare, ingen har registreret. En adgangspolitik dækker ikke det system, du har glemt, at du abonnerer på. Hver eneste senere kontrol bygger på, at du ved, hvad der skal beskyttes.

Derfor er fortegnelsen ikke det kedelige forarbejde, du skal overstå, før det rigtige sikkerhedsarbejde begynder. Fortegnelsen er det rigtige sikkerhedsarbejde, der gør resten muligt.

CIS18 og NIS2: hvordan hænger de sammen?

For mange virksomheder er en risikovurdering blevet et lovkrav under NIS2. Men NIS2 beskriver primært, hvad virksomheden skal opnå: risikostyring, hændelseshåndtering og dokumentation af digitale aktiver og leverandører.

Loven beskriver ikke i detaljer, hvordan du gør det. Det er her, CIS18 kommer ind. Rammen er den praktiske oversættelse af lovens krav til konkrete tiltag, du kan sætte i gang. Mange danske IT-rådgivere bruger netop CIS18 som vejen til at opfylde de tekniske krav i NIS2.

Det betyder, at de tre kontroller, vi har gennemgået, ikke bare er god praksis. For et voksende antal virksomheder er de en del af det dokumentationskrav, ledelsen kan blive holdt ansvarlig for at opfylde.

Hvor begynder du?

Begynd med Implementation Group 1 og de grundlæggende kontroller. Konkret betyder det tre ting.

Lav en liste over al software og alle abonnementer, virksomheden betaler for. Skab et overblik over, hvilke brugerkonti der findes, og hvem de tilhører. Og dokumenter, hvem der har adgang til hvad, herunder administratorrettigheder til de kritiske systemer.

Det er ikke et projekt, der kræver en konsulent fra dag ét. For en virksomhed med 10 til 50 ansatte er det en opgave på en halv til en hel dag, hvis du har det rigtige værktøj til at samle det ét sted.

CIS18 med Ejerblik

Ejerblik er bygget til netop den fortegnelse, de tre kontroller kræver. Aktivregistret dækker kontrol 2: al software, systemer og abonnementer, med ejer og ansvarlig pr. aktiv. Medarbejderkartoteket dækker kontrol 5: hvilke personer der er knyttet til hvilke konti. Og dokumentationen af adgange, administratorrettigheder og 2-faktor-status dækker kontrol 6.

Du kan også registrere dine leverandører pr. aktiv, hvilket er fundamentet for CIS-kontrol 15 om leverandørstyring, et område NIS2 lægger stor vægt på.

Ejerblik dækker derimod ikke kontrol 1 om hardware- og enhedsinventar. Det er en separat disciplin med egne værktøjer. Ejerblik løser de software-, konto- og adgangsfortegnelser, der udgør kontrol 2, 5 og 6, og som for de fleste ejerledede virksomheder er præcis det fundament, der mangler i dag.

Ejerblik implementerer ikke de tekniske foranstaltninger i kontrollerne. Vi tvinger ikke 2-faktor-godkendelse igennem og scanner ikke for sårbarheder. Det er en IT-sikkerhedspartners arbejde. Ejerblik leverer fortegnelsen og dokumentationen, der er forudsætningen for, at kontrollerne overhovedet kan opfyldes, og som giver din IT-rådgiver et langt bedre udgangspunkt at arbejde ud fra.

For de fleste ejerledede virksomheder er det komplette, opdaterede aktivregister præcis det fundament, der mangler i dag. Det er det fundament, en IT-risikovurdering og resten af CIS-kontrollerne bygger på.

Kom i gang gratis og læg fundamentet på plads inden for en arbejdsdag.