CIS benchmark là gì? Kiến thức cơ bản cần biết

1412

18-04-2022

CIS Benchmark có thể được coi là khuôn khổ để cấu hình các dịch vụ và sản phẩm CNTT. Các tổ chức có thể sử dụng các nguyên tắc này để cải thiện an ninh mạng và giúp bảo vệ khỏi các mối đe dọa mạng. Vậy CIS Benchmark là gì, chúng có thể mang lại những lợi ích nào cho các tổ chức? Cùng tìm hiểu trong bài viết dưới đây nhé!

CIS benchmark là gì?

CIS Benchmarks là khuôn khổ để hiệu chỉnh một loạt các dịch vụ và sản phẩm CNTT nhằm đảm bảo các tiêu chuẩn cao nhất về an ninh mạng. Chúng được phát triển thông qua một quá trình hợp tác với ý kiến đóng góp từ các chuyên gia trong cộng đồng an ninh mạng trên toàn thế giới. Hiện tại, có tổng cộng hơn 140 CIS benchmark, trải dài trên 7 hạng mục công nghệ cốt lõi. CIS benchmark cung cấp hướng dẫn cho tất cả các khu vực của mạng CNTT, bao gồm hệ điều hành, hệ thống máy chủ, phần mềm văn phòng và thiết bị mạng.

CIS Benchmarks được tải xuống và sử dụng miễn phí. Các tài liệu bao gồm tất cả mọi thứ từ thiết lập ban đầu đến cấu hình của tất cả các bộ phận của hệ thống CNTT. Hướng dẫn thường xuyên được cập nhật và đổi mới để phản ánh các lần lặp lại mới của dịch vụ hoặc sản phẩm CNTT. CIS benchmark đại diện cho các cài đặt cơ bản để đảm bảo hệ thống CNTT hoặc sản phẩm được bảo mật. Mục đích là nâng cao các tiêu chuẩn an ninh mạng quốc tế trong tất cả các loại hình tổ chức. CIS benchmark được các tổ chức, chính phủ và viện nghiên cứu trên toàn thế giới sử dụng.

CIS benchmark được tổ chức như thế nào?

Mỗi CIS benchmark bao gồm nhiều đề xuất cấu hình dựa trên một trong hai cấp độ cấu hình. Cấu hình điểm chuẩn cấp 1 bao gồm các cấu hình cấp cơ sở dễ triển khai hơn và có tác động tối thiểu đến chức năng kinh doanh. Cấu hình điểm chuẩn cấp độ 2 dành cho các môi trường bảo mật cao và yêu cầu phối hợp và lập kế hoạch nhiều hơn để triển khai với mức độ gián đoạn kinh doanh tối thiểu.

Có bảy (7) danh mục cốt lõi của CIS benchmark:

1. Các hệ điều hành: CIS benchmark giúp đảm bảo cấu hình an ninh mạng phù hợp cho một loạt hệ điều hành hàng đầu được các tổ chức sử dụng rộng rãi. Điều này bao gồm Linux, Microsoft Windows và máy chủ và Apple macOS, với hướng dẫn thực hành tốt nhất cho cả phiên bản doanh nghiệp và cá nhân. Hệ điều hành tạo thành một phần cốt lõi của hệ thống CNTT của bất kỳ tổ chức nào. CIS Benchmarks giúp các tổ chức định cấu hình chúng một cách an toàn, đóng các lỗ hổng bảo mật và giảm rủi ro từ các mối đe dọa mạng. Các khuyến nghị về phương pháp hay nhất bao gồm các giao thức cài đặt trình điều khiển, quản lý hồ sơ người dùng và các hạn chế truy cập cục bộ và từ xa.

2. Phần mềm máy chủ: Điểm chuẩn CIS cung cấp hướng dẫn để cấu hình thích hợp phần mềm máy chủ khác nhau từ nhiều nhà cung cấp (như VMware, Microsoft Windows Server, SQL Server…) Mục đích là tăng cường an ninh mạng thông qua các cấu hình thực tiễn tốt nhất trên các khu vực khác nhau của hệ thống máy chủ. Có Điểm chuẩn CIS cho máy chủ cơ sở dữ liệu, máy chủ web, máy chủ DNS và máy chủ xác thực. Các đề xuất bao gồm các chủ đề như cài đặt và hạn chế lưu trữ, kiểm soát quản trị và cài đặt máy chủ.

3. Nhà cung cấp đám mây: Các cấu hình an ninh mạng thực tiễn tốt nhất để thiết lập cơ sở hạ tầng và dịch vụ đám mây nổi tiếng nhất (như Amazon Web Services, Microsoft Azure, Oracle Cloud Infrastructure, Google Cloud Computing Platform…) Chúng bao gồm các hướng dẫn để định cấu hình quản lý danh tính và truy cập (IAM), giao thức ghi nhật ký hệ thống, cấu hình mạng và các biện pháp bảo vệ tuân thủ quy định.

4. Thiết bị di động: tập trung vào các thiết bị và hệ điều hành di động Apple iOS và Google Android. Điểm chuẩn cung cấp hướng dẫn để định cấu hình cả Apple iOS và iPadOS, cũng như hệ điều hành Android của Google. Các đề xuất bao gồm các chủ đề như cài đặt trình duyệt và nhà phát triển, quyền ứng dụng và quyền riêng tư cũng như cài đặt hệ điều hành di động.

5. Thiết bị mạng: Các CIS benchmark này giúp cấu hình các thiết bị mạng và phần cứng được sử dụng trong hệ thống CNTT của tổ chức. Các thiết bị và sản phẩm mạng này bao gồm các thiết bị và sản phẩm mạng từ nhiều nhà cung cấp khác nhau, bao gồm Cisco, Juniper, Check Point Firewall và Palo Alto Networks. Các khuyến nghị giúp đảm bảo các tiêu chuẩn an ninh mạng trên tất cả các thiết bị mạng và phần cứng trong một tổ chức nhằm nâng cao và củng cố chiến lược Quản trị CNTT tổng thể.

6. Phần mềm máy tính để bàn: bao gồm các cấu hình bảo mật cho một số ứng dụng phần mềm máy tính để bàn được sử dụng phổ biến nhất, bao gồm Microsoft Office và Exchange Server, Google Chrome, Mozilla Firefox và Trình duyệt Safari. Các điểm chuẩn này tập trung vào quyền riêng tư của email và cài đặt máy chủ, quản lý thiết bị di động, cài đặt trình duyệt mặc định và chặn phần mềm của bên thứ ba.

7. Thiết bị in đa chức năng: Đây là tiêu chuẩn thực tiễn tốt nhất để thiết lập các thiết bị máy in trên không gian văn phòng của tổ chức. Các thiết bị này đã trở thành mục tiêu cho các mối đe dọa mạng như một cổng vào mạng của tổ chức. Bao gồm các chủ đề như chia sẻ tệp, cấu hình máy chủ và truy cập an toàn vào mạng không dây.

Lợi ích của CIS benchmark

CIS benchmark giúp các tổ chức thiết lập hệ thống CNTT và công nghệ để đảm bảo thực hành tốt nhất việc bảo vệ an ninh mạng. Các hướng dẫn đóng một vai trò quan trọng trong việc hình thành chính sách an ninh mạng của tổ chức. Có các điểm chuẩn cho nhiều loại công nghệ, bao gồm các hệ điều hành và trình duyệt phổ biến.

Mỗi phần tử của mạng CNTT của một tổ chức có thể có các lỗ hổng bảo mật mạng nếu không được định cấu hình đúng cách. Bằng cách tuân theo CIS benchmark, các tổ chức có thể bảo mật hệ thống CNTT bằng cách sử dụng một khuôn khổ được phát triển bởi các chuyên gia hàng đầu về an ninh mạng.

Lợi ích của CIS benchmark bao gồm:

Miễn phí tải xuống và nhúng.
Một công cụ rõ ràng trong việc nâng cao quy trình quản trị CNTT.
Bảo vệ các hệ thống CNTT quan trọng trong tổ chức, từ hệ điều hành đến mạng.
Kiến thức chuyên môn được thu thập của cộng đồng toàn cầu gồm các chuyên gia CNTT và an ninh mạng.
Cập nhật thường xuyên, hướng dẫn từng bước để bảo mật mọi khu vực của cơ sở hạ tầng CNTT.
Quản lý tuân thủ nhất quán.
Một mẫu linh hoạt để áp dụng an toàn các dịch vụ đám mây mới và để thực hiện các chiến lược chuyển đổi kỹ thuật số.
Các cấu hình dễ triển khai để cải thiện hiệu quả hoạt động và tính bền vững.

CIS benchmark cung cấp một bộ tiêu chuẩn rõ ràng để định cấu hình các tài sản kỹ thuật số phổ biến - mọi thứ từ hệ điều hành đến cơ sở hạ tầng đám mây. Các tổ chức trên tất cả các ngành và khu vực địa lý sử dụng các điểm chuẩn của CIS để giúp họ đạt được các mục tiêu về bảo mật và tuân thủ.