CIS Controls IG1: menentukan prioritas keamanan untuk tim kecil

Apa itu CIS Controls dan IG1?

CIS Controls adalah rujukan pengamanan yang diterbitkan Center for Internet Security (CIS). Implementation Groups membantu memilih kedalaman penerapan berdasarkan risiko dan sumber daya organisasi. Halaman ini membahas v8.1.

IG1 menjadi dasar pengamanan dan mencakup 56 safeguards. IG2 menambahkan cakupan di atas IG1, sedangkan IG3 mencakup seluruh safeguards. Kelompok itu bukan tingkatan sertifikasi. Tim kecil tetap perlu melihat risiko layanan; data pasien, transaksi keuangan, atau sistem kritis dapat memerlukan pengamanan yang lebih luas.

Controls berbeda dari Benchmarks

Controls membantu membahas pekerjaan pengamanan lintas organisasi. CIS Benchmarks berfokus pada konfigurasi teknologi tertentu. Menyebut server mengikuti suatu Benchmark tidak berarti program organisasi memenuhi seluruh Controls, atau sebaliknya.

Untuk program kerja yang lebih umum dengan sasaran dan rencana tindakan, gunakan panduan program keamanan. Halaman ini menjelaskan cara membaca IG1 dan menghubungkan rujukannya ke pekerjaan tim; tidak menyediakan katalog atau terjemahan seluruh safeguards.

Contoh memilih pekerjaan untuk tim kecil

Contoh fiktif CIS-DEMO-01: toko menggunakan aplikasi pesanan, email kerja, dan laptop dua petugas. Pemilik menemukan akun lama masih aktif dan belum memiliki bukti cadangan dapat dipakai. Urutan berikut adalah keputusan Kompli untuk skenario ini, bukan urutan resmi atau daftar lengkap IG1.

Pekerjaan contoh dan ID v8.1	Pemilik dan bukti
Cocokkan laptop/server yang digunakan dengan inventaris (ID 1.1)	Operasi: daftar aset dan pemilik yang diperiksa
Cocokkan akun aktif dengan petugas yang masih berwenang (ID 5.1)	Pengelola akses: daftar akun serta temuan akun lama
Periksa MFA pada aplikasi yang dapat diakses dari luar (ID 6.3)	IT: hasil login uji dan kendala aplikasi terkait
Periksa pembaruan OS pada perangkat yang disetujui (ID 7.3)	IT: versi sebelum/sesudah serta pekerjaan yang tertunda
Pastikan tugas pencadangan berjalan dan hasilnya dicatat (ID 11.2)	Operasi: log tugas, cadangan tersedia dan pemiliknya

ID menunjuk pembahasan pada Navigator resmi, bukan pernyataan bahwa contoh telah memenuhi seluruh ketentuan safeguard. Baca teks sumber untuk cakupan, rincian, frekuensi, serta versi. Jangan menyalin jadwal tinjauan dari artikel ini sebagai jadwal resmi CIS.

Hubungkan pekerjaan dengan inventaris aset, pengamanan akun, dan pengelolaan patch. Jika aplikasi belum mendukung pengamanan yang diperlukan, catat dampak, tindakan sementara, pemilik dan waktu peninjauan; kendala teknis bukan alasan untuk menganggap pekerjaan selesai.

Backup berjalan belum membuktikan layanan pulih

Pemilik toko pada contoh tetap meminta uji pemulihan, meskipun baru memulai IG1. Safeguard 11.5 pada Navigator v8.1 tercantum di IG2/IG3, bukan IG1. Tim dapat memilih pemeriksaan tambahan karena kebutuhan layanan; jangan mengubah keanggotaan safeguard agar cocok dengan checklist sendiri.

Gunakan contoh uji cadangan untuk membedakan database valid, fungsi yang bekerja, dan target data yang tercapai. Hasil model itu tidak membuktikan toko fiktif telah menerapkan CIS atau sistem pembaca telah diuji.

Bagaimana mencatat kemajuan?

Gunakan peta bukti dengan versi/ID, lingkup, keadaan sekarang, pemilik, bukti, dan kekurangan. Pisahkan “belum diperiksa”, “sedang diperbaiki”, dan “sudah dibuktikan pada lingkup ini”. Jangan menulis “patuh IG1” dari lima baris contoh.

Untuk pekerjaan terbuka, hubungkan ke daftar risiko. Catat alasan prioritas atau pengecualian tanpa menyatakan ketentuan sumber telah terpenuhi. Tinjau kembali saat aset, orang, aplikasi, atau kebutuhan pelanggan berubah.

Apakah CIS membuktikan kepatuhan Indonesia?

Tidak secara otomatis. Kebutuhan PSE, PDP, kontrak, dan aturan sektor diperiksa melalui dasar masing-masing. IG1 juga bukan pengganti pentest, penilaian konfigurasi menyeluruh, atau pemeriksaan risiko yang khusus pada layanan.

CIS memegang hak atas materi Controls. Ketentuannya membatasi redistribusi komersial dan materi modifikasi. Artikel ini adalah penjelasan serta contoh kerja orisinal Kompli; katalog dan checklist terjemahan tidak dibagikan. Untuk teks safeguards dan versi terbaru, buka rujukan resmi CIS di bawah.