Parâmetros da Center for Internet Security (CIS)

Sobre os Parâmetros da CIS

O Center for Internet Security é uma entidade sem fins lucrativos cuja missão é "identificar, desenvolver, validar, promover e sustentar soluções de práticas recomendadas para defesa cibernética". Ele se baseia na experiência de profissionais de segurança cibernética e TI de governos, empresas e academia de todo o mundo. Para desenvolver padrões e práticas recomendadas, inclusive as imagens protegidas, os controles e os parâmetros da CIS, eles seguem um modelo de tomada de decisão por consenso.

Os parâmetros da CIS são práticas recomendadas e linhas de base de configuração para a configuração de um sistema com segurança. Cada uma das recomendações de diretrizes faz referência a um ou mais controles CIS que ajudam as organizações a melhorar seus recursos de defesa cibernética. Os controles da CIS fazem o mapeamento para muitas estruturas regulatórias e padrões estabelecidos, o que inclui a Estrutura de Segurança Cibernética (CSF) do NIST e o NIST SP 800-53, a série de padrões ISO 27000, PCI DSS, HIPAA e outros.

Cada parâmetro passa por duas fases de análise de consenso. A primeira fase ocorre durante o desenvolvimento inicial, quando os especialistas se reúnem para discutir, criar e testar rascunhos de trabalho até chegarem a um consenso sobre o benchmark. Durante a segunda fase, após a publicação do benchmark, a equipe de consenso analisa o feedback da comunidade da Internet para incorporação ao benchmark.

Os parâmetros da CIS oferecem dois níveis de configurações de segurança:

  • A Level 1 recomenda requisitos básicos de segurança essenciais que você pode configurar em qualquer sistema e que devem causar pouca ou nenhuma interrupção do serviço ou funcionalidade reduzida.
  • Nível 2 recomenda configurações de segurança para ambientes que exigem mais segurança, o que pode resultar na redução da funcionalidade.

Imagens protegidas da CIS são imagens de máquinas virtuais configuradas com segurança com base em Parâmetros da CIS protegidos para um perfil de parâmetro da CIS de Nível 1 ou de Nível 2. A Proteção é um processo que ajuda a garantir a segurança contra acessos não autorizados, negação de serviço e outras ameaças cibernéticas, com a limitação de possíveis fraquezas que tornam os sistemas vulneráveis a ataques cibernéticos.

Microsoft e os Parâmetros da CIS

O CIS (Center for Internet Security) publica benchmarks para produtos e serviços da Microsoft, incluindo o Microsoft Azure e o Microsoft 365 Foundations Benchmarks, o Windows 11 Benchmark e o Windows Server 2022 Benchmark. O CIS Microsoft Azure Foundations Benchmark é para clientes que planejam desenvolver, implantar, avaliar ou proteger soluções que incorporam o Azure. O documento fornece diretrizes prescritivas para estabelecer uma configuração de linha de base segura para o Azure.

Os parâmetros da CIS são reconhecidos internacionalmente como padrões de segurança para a proteção de sistemas de TI e de dados contra ataques cibernéticos. Milhares de empresas os usam para obter diretrizes prescritivas para estabelecer uma configuração de linha de base segura. Administradores de sistemas e de aplicativos, especialistas de segurança e outros desenvolvedores de soluções que usam os produtos e serviços da Microsoft podem usar essas práticas recomendadas para avaliar e melhorar a segurança dos aplicativos.

Como todos os benchmarks da CIS, os benchmarks da Microsoft foram criados por meio de um processo de revisão de consenso com base nas contribuições de especialistas no assunto com diversas origens, abrangendo desenvolvimento de software, auditoria e conformidade, pesquisa de segurança, operações, governo e direito. A Microsoft contribuiu de forma integral com os esforços da CIS. Por exemplo, o Microsoft 365 foi testado nos serviços listados e o Benchmark do Microsoft 365 Foundations resultante abrange uma ampla gama de recomendações para definir políticas de segurança apropriadas que abrangem conta e autenticação, gerenciamento de dados, permissões de aplicativos, armazenamento e outras áreas de política de segurança.

Além dos parâmetros de comparação para produtos e serviços da Microsoft, a CIS publicou as Imagens Protegidas da CIS no Azure configurado para atender aos parâmetros de comparação da CIS e disponível no Microsoft Azure Marketplace. Essas imagens incluem as Imagens Reforçadas CIS para Windows Server 2019 e Windows Server 2022, bem como muitas versões do Linux. Todas as imagens protegidas por CIS que estão disponíveis no Azure Marketplace são certificadas para serem executadas no Microsoft Azure. Conforme declarado pela CIS, "eles são pré-testados quanto à prontidão e compatibilidade com a nuvem pública do Microsoft Azure, a Microsoft Cloud Platform hospedada por provedores de serviços por meio da Cloud OS Network e implantações de nuvem privada local Windows Server Hyper-V gerenciadas por clientes".

AsImagens protegidas da CIS são imagens de máquinas virtuais configuradas com segurança com base em Parâmetros de comparação da CIS protegidos por um perfil de parâmetro de comparação da CIS de Nível 1 ou de Nível 2. A Proteção é um processo que ajuda a garantir a segurança contra acessos não autorizados, negação de serviço e outras ameaças cibernéticas, com a limitação de possíveis fraquezas que tornam os sistemas vulneráveis a ataques cibernéticos. As imagens protegidas por CIS estão disponíveis no Azure e Azure Governamental.

Para obter assistência adicional ao cliente, a Microsoft fornece Azure Blueprints, que é um serviço que ajuda você a implantar e atualizar ambientes de nuvem de maneira repetível usando artefatos combináveis, como modelos do Azure Resource Manager para provisionar recursos, controles de acesso baseados em função e políticas. Os recursos provisionados por Azure Blueprints aderem aos padrões e requisitos de conformidade de uma organização. A meta abrangente do Azure Blueprints é ajudar a automatizar a conformidade e o gerenciamento de riscos de segurança cibernética em ambientes de nuvem. Para ajudá-lo a implantar um conjunto principal de políticas para qualquer arquitetura baseada no Azure que deve implementar recomendações da CIS Azure Foundations Benchmark, a Microsoft publicou o Azure Blueprint para CIS Microsoft Azure Foundations Benchmark. Quando atribuído a uma arquitetura, o Azure Policy avalia os recursos quanto à conformidade com as definições de política atribuídas.

Plataformas e serviços de nuvem no escopo da Microsoft

Auditorias, relatórios e certificados

Obtenha a lista completa de parâmetros da CIS para produtos e serviços da Microsoft.

Como implementar

Perguntas frequentes

As seguintes configurações de Parâmetros da CIS garantirão a segurança dos meus aplicativos?

Os parâmetros da CIS determinam o nível básico de segurança para todos que estiverem adotando produtos e serviços da Microsoft no escopo. No entanto, não as considere como uma lista exaustiva de todas as configurações e arquitetura de segurança possíveis, mas como um ponto de partida. É preciso avaliar a situação específica, as cargas de trabalho e as exigências de conformidade de cada organização e personalizar o ambiente conforme apropriado.

Com que frequência os Parâmetros da CIS são atualizados?

A versão dos Parâmetros da CIS muda de acordo com a comunidade de profissionais de TI que a desenvolveu e com o cronograma da versão da tecnologia que o parâmetro suporta. A CIS distribui relatórios mensais, anunciando novos parâmetros e atualizações de parâmetros existentes. Para receber esses relatórios, cadastre-se no CIS Workbench (é gratuito) e marque Receber newsletter em seu perfil.

Quem contribuiu para o desenvolvimento dos Parâmetros da CIS da Microsoft?

A CIS observa que seus “Parâmetros são desenvolvidos através dos generosos esforços voluntários de especialistas no assunto, fornecedores de tecnologia, membros públicos e privados da comunidade do CIS Benchmark e da equipe de desenvolvimento do Parâmetro da CIS”. Por exemplo, você verá uma lista de colaboradores do Azure em Parâmetros do Microsoft Azure Foundations da CIS v1.0.0 já disponíveis.

Use o Gerenciador de Conformidade do Microsoft Purview para avaliar seu risco

O Gerenciador de Conformidade do Microsoft Purview é um recurso no portal do Microsoft Purview para ajudá-lo a entender a postura de conformidade da sua organização e tomar medidas para ajudar a reduzir os riscos. O Gerenciador de Conformidade oferece um modelo premium para criar uma avaliação para essa regulamentação. Encontre o modelo na página modelos de avaliação no Gerenciador de Conformidade. Saiba como criar avaliações no Compliance Manager.

Recursos

  • Last updated on