CIS 基准是用于安全配置 IT 系统、软件、网络和云基础架构的最佳实践集合。

CIS 基准由互联网安全中心 (CIS) 发布。 截至本文撰写之时，共有 140 多个 CIS 基准，涵盖七个核心技术类别。 CIS 基准的开发流程独具特色、基于共识，涉及世界各地的网络安全专业人员和主题专家社区，他们都致力于在各自关注的领域内不断识别、完善和验证安全最佳实践。

CIS（链接位于 ibm.com 外部）是一个非营利组织，成立于 2000 年 10 月。 CIS 由全球 IT 社区所推动，其共同目标是识别、开发、验证、推广和维护网络防御的最佳实践解决方案。 多年来，CIS 面向各种规模的企业制作并分发了若干免费的工具和解决方案，旨在加强他们的网络安全准备工作。

CIS 最广为人知的是其发布的 CIS 控制措施（链接位于 ibm.com 外部），这是一份包含 20 种有效的网络保护与防御对策的综合指南。 CIS 提供检查清单，有效帮助组织减少网络攻击面。 CIS 基准在为更安全的系统配置提供建议时会参考这些控制措施。

每个 CIS 基准都包括基于两个配置文件级别之一的多个配置建议。 一级基准概要文件涵盖更易于实施且对业务功能影响最小的基本配置。 二级基准概要文件适用于高度安全的环境，实施时需要更多的协调和规划，并且出现业务中断的可能性最小。

CIS 基准有七 (7) 个核心类别

1. 操作系统基准涵盖核心操作系统的安全配置，如 Microsoft Windows、Linux 和 Apple OSX。  其中包括有关本地和远程访问限制、用户档案、驱动程序安装协议和 Internet 浏览器配置的最佳实践指南。
   
   
2. 服务器软件基准涵盖广泛使用的服务器软件的安全配置，包括 Microsoft Windows Server、SQL Server、VMware、Docker 和 Kubernetes。 这些基准包括有关配置 Kubernetes PKI 证书、API 服务器设置、服务器管理控制、vNetwork 策略和存储限制的建议。
   
   
3. 云提供商基准为 Amazon Web Services (AWS)、Microsoft Azure、Google、IBM 和其他受欢迎的公有云提供安全配置。 其中包括配置身份和访问管理 (IAM)、系统日志记录协议、网络配置和合规性保护的准则。
   
   
4. 移动设备基准解决移动操作系统（包括 iOS 和 Android）的问题，关注开发人员选项和设置、操作系统隐私配置、浏览器设置和应用权限等领域。
   
   
5. 网络设备基准为 Cisco、Palo Alto Networks、Juniper 等公司的网络设备和适用硬件提供一般及特定于供应商的安全配置指南。
   
   
6. 桌面软件基准涵盖一些最常用的桌面软件应用的安全配置，包括 Microsoft Office 和 Exchange Server、Google Chrome、Mozilla Firefox 和 Safari 浏览器。 这些基准侧重于电子邮件隐私和服务器设置、移动设备管理、默认浏览器设置和第三方软件拦截。
   
   
7. 多功能打印设备基准概述在办公室环境中配置多功能打印机的安全最佳实践，涵盖固件更新、TCP/IP 配置、无线访问配置、用户管理和文件共享等主题。  

CIS 还提供预先配置的强化映像，支持企业经济高效地执行计算操作，而无需进行额外的硬件或软件投资。 强化映像的安全性大大超出标准虚拟映像，有效限制可能导致网络攻击的安全漏洞。

CIS 强化映像（链接位于 ibm.com 外部）的设计和配置符合 CIS 基准和控制措施，并且已被公认为完全符合各种法规合规组织的要求。 CIS 强化映像几乎可用于所有主要的云计算平台，并且易于部署和管理。

CIS 基准与安全和数据隐私监管框架保持一致或一一“对应”，包括 NIST（美国国家标准技术研究院）网络安全框架、PCI DSS（支付卡行业数据安全标准）(PCI DSS)、HIPAA（健康保险可移植性和责任法案）以及 ISO/EIC 2700。 因此，在受这些类型法规约束的行业中运营的任何组织都可以通过遵循 CIS 基准，在合规性方面取得重大进展。 此外，CIS 控制措施和 CIS 强化映像有助于组织遵守 GDPR（欧盟的《通用数据保护条例》）。

虽然企业始终可以自由做出安全配置选择，但 CIS 基准可提供：

• 来自全球 IT 和网络安全专业人员社区的专业知识
  
  
• 定期更新的分步指南，用于保护 IT 基础架构的各个区域
  
  
• 一致的合规性管理
  
  
• 用于安全采用新型云服务和执行数字化转型策略的灵活模板
  
  
• 易于部署的配置，可提高运营效率和可持续性。