Центр Internet Security ( СНГ ) является 501 (с) (3) некоммерческой организацией , [2] [3] создано в октябре 2000 года [1] Его миссия состоит в том, чтобы «определить, разрабатывать, проверять, поощрять и поддерживать передовые практические решения для киберзащиты и создания и руководства сообществами для создания атмосферы доверия в киберпространстве ". [8] Штаб-квартира организации находится в Ист-Гринбуше , Нью-Йорк, в ее состав входят крупные корпорации, правительственные учреждения и академические учреждения. [1]
Основан | Октябрь 2000 г. [1] |
---|---|
Тип | 501 (c) (3) некоммерческая организация [2] |
Правовой статус | Активный |
Место расположения | |
Координаты | 42 ° 36′44 ″ с.ш., 73 ° 41′58 ″ з.д. |
Председатель и временно исполняющий обязанности генерального директора | Джон С. Гиллиган [4] [5] |
Ключевые люди | Стивен Дж. Спано, президент и главный операционный директор; Кертис У. Дьюкс, исполнительный вице-президент; Совет директоров , [6] Исполнительный комитет [7] |
Принадлежности | ISACA , AICPA , IIA , ISC2 , Институт SANS [1] |
Веб-сайт | www.cisecurity.org |
CIS использует модель закрытого краудсорсинга для выявления и уточнения эффективных мер безопасности, при этом отдельные лица разрабатывают рекомендации, которые передаются сообществу для оценки в процессе принятия решений на основе консенсуса . На национальном и международном уровне CIS играет важную роль в формировании политик и решений в области безопасности, поддерживая CIS Controls и CIS Benchmarks, а также размещая Межгосударственный центр обмена и анализа информации (MS-ISAC). [9]
Программные области
CIS имеет несколько программных областей, включая MS-ISAC, CIS Controls, CIS Benchmarks, CIS Communities и CIS CyberMarket. В рамках этих программных областей CIS работает с широким кругом организаций, включая академические круги , правительство, частный сектор и широкую общественность, чтобы повысить их онлайн-безопасность, предоставляя им продукты и услуги, повышающие эффективность и результативность безопасности. [10] [11]
Межгосударственный центр обмена и анализа информации (MS-ISAC)
Межгосударственный центр обмена и анализа информации (MS-ISAC) - это «круглосуточный центр мониторинга и устранения киберугроз для государственных и местных органов власти», управляемый CIS в рамках партнерства с Управлением кибербезопасности и коммуникаций в США. Департамент внутренней безопасности штата (DHS). [2] MS-ISAC была создана в конце 2002 года и официально запущена в январе 2003 года Уильямом Ф. Пелгрином, тогдашним начальником службы безопасности штата Нью-Йорк. [12] Начиная с небольшой группы штатов-участников на северо-востоке, MS-ISAC стал включать все 50 штатов США и округ Колумбия , а также территориальные, племенные и местные органы власти США. Чтобы способствовать расширению масштабов своей деятельности, в конце 2010 года MS-ISAC «перешла в некоммерческий статус под эгидой Центра интернет-безопасности». Переходу способствовало то, что CIS имела «устоявшуюся репутацию в области предоставления ресурсов кибербезопасности государственному и частному секторам». [12] [13]
MS-ISAC «помогает правительственным учреждениям бороться с киберугрозами и тесно сотрудничает с федеральными правоохранительными органами» [14] [15] и обозначен DHS в качестве ключевого ресурса кибербезопасности для государственных, местных, территориальных и племенных (SLTT) правительств. . Операционный центр кибербезопасности MS-ISAC, работающий круглосуточно и без выходных, выполняет мониторинг сети , выдает ранние предупреждения и рекомендации по киберугрозам, а также выполняет идентификацию и устранение уязвимостей, а также реагирование на инциденты. [16]
Основные цели MS-ISAC описываются следующим образом: [17]
- обеспечить двусторонний обмен информацией и раннее предупреждение об угрозах кибербезопасности
- обеспечить процесс сбора и распространения информации об инцидентах кибербезопасности
- повышать осведомленность о взаимозависимостях между кибер и физической критической инфраструктурой, а также между различными секторами и между ними
- координировать обучение и осведомленность
- убедиться, что все необходимые стороны являются полноправными партнерами в этих усилиях
Центр обмена и анализа информации об инфраструктуре выборов (EI-ISAC)
Центр обмена и анализа информации об избирательной инфраструктуре (EI-ISAC), учрежденный Координационным советом правительства подсектора избирательной инфраструктуры (GCC), является важным ресурсом для предотвращения киберугроз, защиты, реагирования и восстановления для государства, местного, территориального , и избирательные бюро племен (SLTT). EI-ISAC находится в ведении Center for Internet Security, Inc.
Миссия EI-ISAC заключается в улучшении общей кибербезопасности избирательных офисов SLTT посредством сотрудничества и обмена информацией между членами, Министерством внутренней безопасности США (DHS) и другими федеральными партнерами, а партнеры из частного сектора являются ключом к успеху. . EI-ISAC обеспечивает центральный ресурс для сбора информации о киберугрозах для избирательной инфраструктуры и двустороннего обмена информацией между государственным и частным секторами с целью выявления, защиты, обнаружения, реагирования и восстановления после атак на государственные и частные выборы. инфраструктура. И EI-ISAC состоит из представителей избирательных комиссий SLTT и подрядчиков, поддерживающих избирательную инфраструктуру SLTT. [18]
CIS Controls и CIS контрольные показатели
CIS Controls и CIS Benchmarks обеспечивают глобальные стандарты интернет-безопасности и являются признанным мировым стандартом и передовыми методами защиты ИТ-систем и данных от атак. [3] CIS поддерживает « CIS Controls », популярный набор из 20 мер безопасности, «который соответствует многим стандартам соответствия» и применим к Интернету вещей . [19] Благодаря независимому процессу консенсуса, CIS Benchmarks обеспечивает основу, которая помогает организациям повысить свою безопасность. CIS предлагает множество бесплатных ресурсов [20], которые включают «тесты безопасной конфигурации, автоматизированные инструменты и контент для оценки конфигурации, показатели безопасности и сертификаты программных продуктов безопасности». [11]
CIS Controls пропагандируют «модель многоуровневой защиты для предотвращения и обнаружения вредоносных программ». [21] Исследование, проведенное в мае 2017 года, показало, что «в среднем организации не проходят 55% проверок соответствия, установленных Центром интернет-безопасности», причем более половины этих нарушений относятся к проблемам высокой степени серьезности. [22] В марте 2015 года CIS запустила CIS Hardened Images для Amazon Web Services в ответ на «растущую озабоченность по поводу безопасности данных, хранящихся на виртуальных серверах в облаке». [23] Ресурсы были доступны в виде образов машин Amazon для шести «систем с повышенной защитой от тестов CIS», включая Microsoft Windows , Linux и Ubuntu , с дополнительными образами и поставщиками облачных услуг, добавленными позже. [23] CIS выпустила сопутствующие руководства по контролю над CIS, рекомендации по действиям по противодействию атакам кибербезопасности, а новые руководства были выпущены в октябре и декабре 2015 года. [24] В апреле 2018 года CIS запустила метод оценки рисков информационной безопасности для внедрения CIS Средства контроля, называемые CIS RAM, основаны на стандарте оценки рисков, принятом Советом DoCRA. [25]
Тесты CIS Benchmarks являются результатом сотрудничества участников Consensus Community и CIS SecureSuite (класс участников CIS с доступом к дополнительным наборам инструментов и ресурсов). [26] Консенсусное сообщество состоит из экспертов в области ИТ-безопасности, которые используют свои знания и опыт, чтобы помочь глобальному Интернет-сообществу. Члены CIS SecureSuite состоят из нескольких различных типов компаний различного размера, включая государственные учреждения, колледжи и университеты, некоммерческие организации, ИТ-аудиторов и консультантов, поставщиков программного обеспечения для обеспечения безопасности и другие организации. CIS Benchmarks и другие инструменты, предоставляемые CIS бесплатно, позволяют ИТ-специалистам создавать отчеты, сравнивающие безопасность их систем с универсальным стандартом консенсуса. Это способствует созданию новой структуры интернет-безопасности, за которую несут ответственность все, и которую разделяют руководители высшего звена, профессионалы в области технологий и другие пользователи Интернета по всему миру. Кроме того, CIS предоставляет инструменты интернет-безопасности с функцией оценки, которая оценивает безопасность конфигурации системы. Например, CIS предоставляет участникам SecureSuite доступ к CIS-CAT Pro, «кроссплатформенному Java-приложению», которое сканирует целевые системы и «создает отчет, сравнивающий ваши настройки с опубликованными эталонными тестами». [10] Это предназначено для поощрения и мотивации пользователей к повышению оценок, выставленных программным обеспечением, которое повышает безопасность их Интернета и систем. Универсальный консенсусный стандарт, который использует CIS, основан на накопленных знаниях опытных профессионалов в области технологий. Поскольку профессионалы в области интернет-безопасности добровольно вносят свой вклад в достижение этого консенсуса, это снижает затраты для CIS и делает его рентабельным. [27]
КиберМаркет СНГ
CIS CyberMarket - это «программа совместных закупок, которая обслуживает государственные, местные, племенные и территориальные (SLTT) государственные организации США, некоммерческие организации, а также учреждения здравоохранения и образования для повышения кибербезопасности за счет экономически эффективных групповых закупок». [28] Целью CIS CyberMarket является объединение покупательной способности государственного и некоммерческого секторов, чтобы помочь участникам улучшить состояние своей кибербезопасности с меньшими затратами, чем они могли бы достичь самостоятельно. Программа помогает решить «трудоемкую, дорогостоящую, сложную и пугающую» задачу по поддержанию кибербезопасности, работая с государственным и частным секторами, чтобы предоставить своим партнерам рентабельные инструменты и услуги. Комбинированные возможности покупки рассматриваются экспертами в предметной области. [17]
Кибермаркет СНГ преследует три основные цели:
- способствовать созданию доверенной среды для улучшения состояния кибербезопасности ранее упомянутых организаций
- снизить стоимость потребностей в кибербезопасности
- работать с компаниями, чтобы предлагать своим партнерам услуги и продукты безопасности [17]
CIS CyberMarket, как и MS-ISAC, обслуживает государственные учреждения и некоммерческие организации в целях повышения кибербезопасности. На его странице «Ресурсы» бесплатно доступны многочисленные информационные бюллетени и документы, в том числе «Справочник по кибербезопасности для городов и округов». [16]
Сообщества СНГ
Сообщества СНГ - это «добровольное глобальное сообщество ИТ-профессионалов» [3], которые «постоянно совершенствуют и проверяют» лучшие практики и инструменты кибербезопасности СНГ. [29] Для разработки и структурирования своих тестов CIS использует стратегию, в которой члены организации сначала объединяются в команды. Затем каждая из этих команд собирает предложения, советы, официальную работу и рекомендации от нескольких участвующих организаций. Затем команды анализируют свои данные и информацию, чтобы определить, какие наиболее важные параметры конфигурации могут улучшить безопасность интернет-системы в максимально возможном количестве рабочих параметров. Каждый член команды постоянно работает со своими товарищами по команде, критически анализирует и критикует черновой вариант до тех пор, пока в команде не сформируется консенсус. Прежде чем эталонные тесты будут выпущены для широкой публики, они доступны для загрузки и тестирования среди сообщества. После изучения всех отзывов о тестировании и внесения любых необходимых корректировок или изменений окончательный тест и другие соответствующие инструменты безопасности становятся общедоступными для загрузки через веб-сайт CIS. Этот процесс настолько обширен и так тщательно выполняется, что в нем принимают участие тысячи специалистов по безопасности со всего мира. Согласно ISACA, «во время разработки CIS Benchmark для Sun Microsystems Solaris более 2500 пользователей загрузили инструменты тестирования и мониторинга». [30]
Участвующие организации
Организации, которые участвовали в основании CIS в октябре 2000 года, включают ISACA , Американский институт сертифицированных бухгалтеров (AICPA), Институт внутренних аудиторов (IIA), Международный консорциум по сертификации безопасности информационных систем (ISC2) и Институт SANS. (Системное администрирование, Сеть и безопасность). С тех пор СНГ выросло и насчитывает сотни членов с разной степенью членства, а также сотрудничает и работает с множеством организаций и членов как на национальном, так и на международном уровнях. Некоторые из этих организаций включают организации как государственного, так и частного секторов, правительства, ISAC и правоохранительные органы. [1]
Рекомендации
- ^ a b c d e Крейтнер, Клинт; Миуччо, Берт. «Центр Интернет-безопасности: Глобальные эталоны безопасности для компьютеров, подключенных к Интернету» . Ассоциация аудита и контроля информационных систем (ISACA). Архивировано из оригинального 12 марта 2014 года . Проверено 25 июля 2017 года .
- ^ а б в г Рулисон, Ларри (9 ноября 2016 г.). «Группа Э. Гринбуша следила за выборами для хакеров» . Союз Олбани Таймс .
- ^ а б в г Буонанно, Николай (22 мая 2017 г.). «Старшеклассники проходят стажировку по кибербезопасности» . Запись .
- ^ Акерман, Роберт К .; Пендлтон, Бринн (28 июня 2017 г.). «Больше, чем обычные киберугрозы» . Сигнал.
- ^ «Джон М. Гиллиган» . Центр Интернет-безопасности . Проверено 25 июля 2017 года .
- ^ Совет директоров Центра Интернет-безопасности . Центр Интернет-безопасности . Проверено 25 июля 2017 года .
- ^ «Исполнительный комитет Центра интернет-безопасности» . Центр Интернет-безопасности . Проверено 25 июля 2017 года .
- ^ а б «О нас» . Центр Интернет-безопасности . Проверено 25 июля 2017 года .
- ^ Назли Чукри, Стюарт Мэдник и Присцилла Кёпке, Институты кибербезопасности: Международные меры реагирования и обмена данными , Рабочий документ CISL # 2016-10 (август 2016 г.) Лаборатория междисциплинарных систем кибербезопасности (CISL), Школа управления Слоуна, Массачусетский институт Технология.
- ^ а б «Информационная безопасность и политика: о Центре интернет-безопасности» . Калифорнийский университет в Беркли . Проверено 25 июля 2017 года .
- ^ а б "Инструменты тестирования безопасности СНГ" . Университет Джорджа Мейсона . Проверено 25 июля 2017 года .
- ^ а б Лорманн, Дэн (30 мая 2015 г.). «Интервью с уходящим на пенсию основателем MS-ISAC Уиллом Пелгрином и новым генеральным директором в СНГ Джейн Лют» . Правительственные технологии .
- ^ «Межгосударственный центр обмена и анализа информации» . Центр Интернет-безопасности . Проверено 21 марта 2014 .
- ^ Накашима, Эллен (29 августа 2016 г.). «Русские хакеры атаковали избирательную систему Аризоны» . Вашингтон Пост .
- ^ Роберт М. Кларк и Саймон Хаким, Защита критически важной инфраструктуры на уровне штата, провинции и на местном уровне: проблемы кибер-физической безопасности , кибер-физическая безопасность (11 августа 2016 г.), стр. 11.
- ^ а б «Добро пожаловать в MS-ISAC» . Центр Интернет-безопасности . Проверено 25 июля 2017 года .
- ^ а б в «Центр Интернет-безопасности» . Центр Интернет-безопасности . Проверено 25 июля 2017 года .
- ^ «Устав EI-ISAC®» .
- ^ Рассел, Брайан; Ван Дурен, Дрю (2016). Практическая безопасность Интернета вещей . п. 83. ISBN 978-1785880292.
- ^ Уэстби, Джоди Р. (2004). Международное руководство по кибербезопасности . п. 213. ISBN 1590313321.
- ^ Шелтон, Дебби (декабрь 2016 г.). «Выигрышная пара: управление и автоматизированный контроль должны работать в тандеме для достижения максимальных результатов» . Внутренний бухгалтер-ревизор.
- ^ Тюлени, Тара (26 мая 2017 г.). «Облачные среды часто страдают от недостатка передовых методов безопасности» . Журнал Infosecurity.
- ^ а б Тюлени, Тара (25 марта 2015 г.). «Центр целей интернет-безопасности в AWS» . Журнал Infosecurity.
- ^ Тюлени, Тара (23 декабря 2015 г.). «Сопроводительные руководства по выпускам Центра безопасности в Интернете» . Журнал Infosecurity.
- ^ "FAQ RAM CIS" . Сайт CIS® (Center for Internet Security, Inc.) .
- ^ «Членство в CIS SecureSuite» . Проверено 25 июля, 2016 .
- ^ «Центр безопасности в Интернете играет ведущую роль в усилиях отрасли по повышению автоматизации безопасности» . Деловой провод . 12 сентября 2013 г.
- ^ «Кибермаркет СНГ» . Проверено 25 июля 2017 года .
- ^ «Сообщества СНГ» . Проверено 29 июля 2017 года .
- ^ «ISACA: Обслуживание профессионалов в области управления ИТ» . Архивировано из оригинального 2 - го марта 2013 года . Проверено 7 марта 2014 года .
Внешние ссылки
- Официальный веб-сайт