CIS 벤치마크는 IT 시스템, 소프트웨어, 네트워크 및 클라우드 인프라를 안전하게 구성하기 위한 베스트 프랙티스 콜렉션입니다.
CIS 벤치마크는 Center for Internet Security(CIS)에서 게시합니다. 이 글의 작성 시간을 기준으로 7개의 핵심 기술 카테고리에 걸쳐 총 140개 이상의 CIS 벤치마크가 있습니다. CIS 벤치마크는 전 세계의 사이버 보안 전문가와 주제 전문가들이 참여하는 고유한 동의 기반 프로세스를 통해 개발되었습니다. 이러한 전문가들은 각자 자신의 전문 분야에서 지속적으로 보안 베스트 프랙티스를 발견하고 개선하고 검증합니다.
CIS(ibm.com 외부 링크)는 2000년 10월에 설립된 비영리 조직입니다. CIS는 사이버 방어를 위한 베스트 프랙티스 솔루션을 발견하고, 개발하고, 검증 및 홍보하며, 지속적으로 관리한다는 공통의 목표에 따라 글로벌 IT 커뮤니티에서 지원합니다. 수 년에 걸쳐 CIS는 사이버 보안 준비 상태를 강화하기 위한 무료 툴과 솔루션을 모든 규모의 기업을 위해 만들고 이를 배포해 왔습니다.
CIS는 CIS Controls(CIS 통제 조치)(ibm.com 외부 링크)를 릴리스한 것으로 가장 잘 알려져 있으며 이는 효과적인 사이버 방어를 위한 20개의 보호 조치와 대책에 관한 포괄적인 안내서입니다. CIS Controls는 조직에서 활용하면 사이버 공격 표면을 상당히 줄일 수 있는 우선적 체크리스트를 제공합니다. CIS 벤치마크는 보안이 향상된 시스템 구성을 위한 권장 사항을 정할 때 이러한 통제 조치를 참조합니다.
각 CIS 벤치마크에는 두 개의 프로파일 레벨 중 하나를 기반으로 여러 개의 구성 권장 사항이 포함되어 있습니다. 레벨 1 벤치마크 프로파일은 실행하기 쉽고 비즈니스 기능에 최소의 영향을 주는 기본 레벨 구성에 적용됩니다. 레벨 2 벤치마크 프로파일은 높은 수준의 보안 환경을 위한 것이며, 비즈니스 운영 중단을 최소화하여 실행하려면 더 많은 조율과 계획이 필요합니다.
CIS 벤치마크에는 7개의 핵심 카테고리가 있습니다.
- 운영 체제 벤치마크는 Microsoft Windows, Linux 및 Apple OSX와 같은 핵심 운영 체제의 보안 구성에 적용됩니다. 이 벤치마크에는 로컬 및 원격 액세스 제한, 사용자 프로필, 드라이브 설치 프로토콜 및 인터넷 브라우저 구성에 대한 베스트 프랙티스 가이드라인이 포함되어 있습니다.
- 서버 소프트웨어 벤치마크는 Microsoft Windows Server, SQL Server, VMware, Docker 및 Kubernetes 등 널리 사용되는 서버 소프트웨어의 보안 구성에 적용됩니다. 이 벤치마크에는 Kubernetes PKI 인증, API 서버 설정, 서버 관리자 제어, vNetwork 정책 및 스토리지 제한을 구성하기 위한 권장 사항이 포함되어 있습니다.
- 클라우드 제공자 벤치마크는 Amazon Web Services(AWS), Microsoft Azure, Google, IBM 및 기타 널리 사용되는 퍼블릭 클라우드를 위한 보안 구성에 적용됩니다. 이 벤치마크에는 IAM(identity and access management), 시스템 로깅 프로토콜, 네트워크 구성 및 규정 준수 보호 조치를 구성하기 위한 가이드라인이 포함되어 있습니다.
- 모바일 디바이스 벤치마크는 iOS 및 Android를 포함한 모바일 운영 체제에 적용되며, 개발자 옵션 및 설정, OS 개인 정보 보호 구성, 브라우저 설정, 앱 권한 등이 중심 분야입니다.
- 네트워크 디바이스 벤치마크는 Cisco, Palo Alto Networks, Juniper 및 기타 회사의 네트워크 디바이스와 해당되는 하드웨어에 대한 일반 및 특정 공급업체별 보안 구성 가이드라인을 제공합니다.
- 데스크탑 소프트웨어 벤치마크는 Microsoft Office 및 Exchange Server, Google Chrome, Mozilla Firefox 및 Safari Browser와 같은 가장 흔히 사용되는 데스크탑 소프트웨어 애플리케이션 중 일부를 위한 보안 구성에 적용됩니다. 이 벤치마크는 이메일 개인정보 보호 및 서버 설정, 모바일 디바이스 관리, 기본 브라우저 설정, 써드파티 소프트웨어 차단에 중점을 둡니다.
- 다기능 인쇄 디바이스 벤치마크는 사무 환경의 다기능 프린터를 구성하기 위한 보안 베스트 프랙티스를 설명하며, 펌웨어 업데이트, TCP/IP 구성, 무선 액세스 구성, 사용자 관리, 파일 공유와 같은 주제에 적용됩니다.
CIS는 또한 기업들이 추가 하드웨어 또는 소프트웨어에 투자하지 않고 컴퓨팅 운영을 비용 효율적으로 수행할 수 있도록 지원하는 사전 구성된 강화 이미지(Hardened Images)를 제공합니다. 강화 이미지는 표준 가상 이미지보다 훨씬 더 보안이 뛰어나며, 사이버 공격을 유발할 수 있는 보안 취약성을 대폭 제한합니다.
CIS Hardened Images(ibm.com 외부 링크)는 CIS 벤치마크 및 통제 조치를 준수하여 설계 및 구성되었으며, 다양한 규제 준수 조직의 규정을 모두 준수하는 것으로 인정받았습니다. CIS Hardened Images는 거의 모든 주요 클라우드 컴퓨팅 플랫폼에서 사용할 수 있으며, 배포와 관리가 쉽습니다.
CIS 벤치마크는 NIST(National Institute of Standards and Technology) Cybersecurity Framework, PCI DSS(Payment Card Industry Data Security Standard), HIPAA(Health Insurance Portability and Accountability Act) 및 ISO/EIC 2700과 같은 보안 및 데이터 프라이버시 규제 프레임워크와 긴밀하게 연계되어 있습니다(또는 이러한 프레임워크에 '대응'됩니다). 그러므로, 이러한 유형의 규제가 적용되는 산업에서 사업을 운영하는 조직이라면 CIS 벤치마크를 준수하여 규정 준수 상태를 대폭 개선할 수 있습니다. 또한, CIS Controls와 CIS Hardened Images는 조직이 GDPR(EU의 General Data Protection Regulation)을 준수하도록 지원할 수 있습니다.
기업들은 언제나 보안 구성에 대해 자유롭게 선택할 수 있지만, CIS 벤치마크는 다음과 같은 이점을 제공합니다.
- 전 세계 IT 및 사이버 보안 전문가 커뮤니티의 집단적 전문 지식
- IT 인프라의 모든 영역에 대한 보안을 유지하기 위해 정기적으로 업데이트되는 단계별 지침
- 규정 준수 관리 일관성 유지
- 새로운 클라우드 서비스를 안전하게 도입하고 디지털 혁신 전략을 실행하기 위한 유연한 템플리트 지원
- 배포하기 쉬운 구성으로 운영 효율성과 지속 가능성 향상