CIS Controls

CIS Controls (sebelumnya dikenal sebagai SANS Top 20) adalah 18 kontrol keamanan prioritas yang dikembangkan oleh Center for Internet Security (CIS). Kontrol ini dirancang berdasarkan data serangan nyata dan praktik terbaik dari berbagai organisasi global.

18 CIS Controls v8:

1. Inventory and Control of Enterprise Assets - Inventarisasi seluruh hardware
2. Inventory and Control of Software Assets - Inventarisasi seluruh software
3. Data Protection - Proteksi data: encryption, DLP, backup
4. Secure Configuration - Konfigurasi aman perangkat keras/ lunak
5. Account Management - Manajemen akun: MFA, least privilege
6. Access Control Management - Kontrol akses: RBAC, IAM
7. Continuous Vulnerability Management - Vulnerability scanning & patching
8. Audit Log Management - Logging dan monitoring
9. Email and Web Browser Protections - Keamanan email & browser
10. Malware Defenses - Antimalware, EDR
11. Data Recovery - Backup & recovery
12. Network Infrastructure Management - Keamanan infrastruktur jaringan
13. Network Monitoring and Defense - Monitoring jaringan, IDS/IPS
14. Security Awareness and Skills Training - Pelatihan keamanan
15. Service Provider Management - Keamanan vendor & third-party
16. Application Software Security - Keamanan aplikasi
17. Incident Response Management - IR playbook & team
18. Penetration Testing - Pentest reguler

Implementation Groups (IG):

• IG1 - Essential cyber hygiene (14 controls) - untuk UKM dengan resource terbatas
• IG2 - Advanced (plus 73 safeguards) - untuk organisasi dengan IT staff dedicated
• IG3 - Expert (plus 63 safeguards) - untuk organisasi dengan security team penuh