CIS Controls v8.1
CIS Controls v8.1 допомагає пріоритезувати кіберзахист: 18 напрямів і 153 конкретні заходи для активів, даних, людей та процесів організації.
Огляд CIS Controls
CIS Controls v8.1 — набір пріоритетних практик кіберзахисту, який розробляє Center for Internet Security разом зі спільнотою фахівців. Він допомагає перетворити загальну потребу «захистити організацію» на конкретні технічні та організаційні заходи.
Редакція v8.1 містить 18 Controls і 153 конкретні заходи (Safeguards). Офіційний сайт представляє її як актуальну станом на 8 вересня 2026 року.
Для кого призначено
Керівникам — для визначення пріоритетів і ресурсів; ІТ- та безпековим командам — для щоденних завдань; аудиторам — для перевірки виконання. Викладачі й студенти можуть пов’язати окремі технології захисту з цілісною програмою безпеки.
Для яких галузей
CIS Controls застосовують у бізнесі, освіті, державному секторі, охороні здоров’я та громадських організаціях. Спільні завдання — знати свої пристрої й дані, керувати доступом, підтримувати захист і відновлювати роботу.
Для хмарних сервісів потрібно розподілити обов’язки між замовником і постачальником. У промисловості, медицині та інших критичних середовищах заходи адаптують до безперервності й безпеки процесів та доповнюють галузевими вимогами.
Як побудовано документ
Control — це напрям захисту, наприклад керування обліковими записами. Safeguard — окрема дія в його межах із власним ідентифікатором. Для роботи обирають потрібні заходи, визначають активи, відповідального та спосіб підтвердження виконання.
Версія v8.1 уточнила терміни, класи активів і формулювання заходів. Оновлене зіставлення з NIST CSF 2.0 включає функцію Govern: політики, відповідальність і керування безпекою мають підтримувати технічні рішення.
Групи впровадження IG1–IG3
IG1 містить 56 заходів базової кібергігієни й є відправною точкою для всіх організацій. IG2 додає 74 заходи — разом 130 — для складніших середовищ. IG3 додає ще 23 — разом усі 153 — для організацій із високими вимогами до захисту й спеціалізованими командами.
Групи накопичувальні: IG2 включає IG1, а IG3 — попередні групи. Це спосіб пріоритезації за ризиком і ресурсами, а не рівні сертифікації. IG1 не означає лише перші напрями контролю: його заходи розподілені між різними Controls.
Як заходи працюють разом
Інвентаризація показує, що потрібно захищати. Безпечні налаштування, оновлення й обмеження доступу зменшують можливості атаки. Журнали та моніторинг допомагають помітити подію, а резервні копії й підготовлене реагування — відновити роботу.
Як перевіряти виконання
Позначки «виконано» недостатньо. Потрібні визначена сфера перевірки, актуальні докази та пояснення винятків. CIS Controls Assessment Specification допомагає обрати вимірювання; наприклад, зіставити перелік пристроїв з охопленням захисними заходами. За результатами призначають відповідальних і строки усунення прогалин.
Controls, Benchmarks та інші рамки
CIS Controls визначають, які практики захисту організувати. CIS Benchmarks містять рекомендації з налаштування конкретних операційних систем, застосунків і платформ. Benchmark може підтримати виконання заходу, але перевірка одного налаштування не підтверджує всю програму безпеки.
Офіційні зіставлення допомагають аналізувати охоплення інших рамок, але не доводять повну відповідність їхнім вимогам.
Межі застосування та оцінювання
CIS Controls — добровільні рекомендації; конкретні обов’язки можуть випливати з договору, політики або застосовного законодавства. Виконання заходів не гарантує відсутності інцидентів і не замінює оцінку власних ризиків.
Самооцінка не надає сертифіката відповідності. Окрема програма CIS Controls Accreditation стосується кваліфікації постачальників послуг упровадження, аудиту й оцінювання. Її статус не слід плутати з результатами перевірки організації-замовника.
Кому це буде корисно
Для кожної групи наведено практичну користь, теми для опрацювання та приклад застосування.
Для навчальних закладів
Практична користь. Допомагає побудувати практичні заняття та захистити навчальну інфраструктуру.
Що вивчити насамперед. Облік комп’ютерів, доступ до платформ, резервні копії та навчання персоналу.
Приклад застосування. Підготуйте для комп’ютерного класу перелік активів і перевірку відновлення навчальних файлів.
Більше про напрям для цієї групиДля студентів
Практична користь. Показує, як окремі засоби захисту утворюють робочі процеси.
Що вивчити насамперед. Control, Safeguard, групи IG та докази виконання.
Приклад застосування. У власній лабораторії опишіть керування обліковими записами й підтвердьте відкликання зайвого доступу.
Більше про напрям для цієї групиДля бізнесу
Практична користь. Допомагає пов’язати бюджет безпеки з пріоритетними ризиками й відповідальністю.
Що вивчити насамперед. Профіль ризику, IG1 як основа, постачальники та вимірювані результати.
Приклад застосування. Для сервісу замовлень зіставте активи, доступ постачальника та план відновлення.
Більше про напрям для цієї групиДля державних установ
Практична користь. Дає практичний перелік заходів для підтримки стійкості публічних послуг.
Що вивчити насамперед. Облік систем, керування доступом, реагування та обов’язкові місцеві вимоги.
Приклад застосування. Визначте для електронної послуги відповідального за резервні копії та перевірте відновлення.
Більше про напрям для цієї групиДля військових
Практична користь. Може підтримати дозволені адміністративні та навчальні ІТ-процеси.
Що вивчити насамперед. Безпечні налаштування, облік активів і реагування з урахуванням відомчих правил.
Приклад застосування. У дозволеному навчальному середовищі перевірте облік пристроїв; спеціальні вимоги до військових систем визначайте окремо.
Більше про напрям для цієї групиДля неприбуткових організацій
Практична користь. Допомагає розподілити обмежені ресурси між захистом команди, донорів і отримувачів допомоги.
Що вивчити насамперед. Чутливість даних, доступ волонтерів, хмарні сервіси та базові заходи IG1.
Приклад застосування. Перевірте, хто має доступ до реєстру допомоги, та налаштуйте відкликання доступу після завершення роботи.
Більше про напрям для цієї групиДля громадян
Практична користь. Пояснює, які практики організації використовують для захисту послуг і даних; не встановлює обов’язків для побутового користувача.
Що вивчити насамперед. Оновлення, безпека облікових записів, резервування та повідомлення про проблеми.
Приклад застосування. Використайте принцип перевірки відновлення для власних фотографій, не застосовуючи весь організаційний каталог.
Більше про напрям для цієї групиДля власників стандартів
Практична користь. Дає основу для узгодження власних вимог із конкретними діями захисту.
Що вивчити насамперед. Версії документів, ідентифікатори заходів, офіційні зіставлення та межі їх покриття.
Приклад застосування. Зіставте вимогу до відновлення з відповідними заходами CIS і окремо зафіксуйте непокриті умови.
Більше про напрям для цієї групиІсторія CIS Controls
Від спільної ініціативи кіберзахисту до v8.1 та підтверджених оновлень супровідних матеріалів.
Початок спільної розробки
Міжнародна спільнота компаній, державних установ і фахівців розпочала розроблення пріоритетних дій кіберзахисту. CIS називає 2008 рік початком розвитку Controls.
Програма переходить до CIS, виходить v6.0
CIS інтегрував програму Council on CyberSecurity та закріпив назву CIS Controls. У жовтні 2015 року вийшла v6.0 з оновленнями й настановами щодо вимірювання виконання.
Версія 7 уточнює дії та їх вимірювання
Версія 7 зберегла 20 напрямів, уточнила формулювання й послідовність та розділила їх на базові, фундаментальні й організаційні. Цю історичну класифікацію не слід переносити на структуру v8.1.
Групи впровадження у версії 7.1
Опублікований 3 квітня 2019 року журнал змін пояснює нововведення v7.1: групи IG та методику вибору пріоритетів відповідно до можливостей і потреб організації.
Версія 8: 18 Controls і 153 Safeguards
CIS перегрупував рекомендації за видами діяльності й урахував хмарні та мобільні середовища. Кількість Controls скоротилася з 20 до 18, а конкретні дії дістали назву Safeguards; усього їх 153.
Опубліковано v8.1 — редакцію цієї сторінки
Оновлення уточнило словник, класи активів і описи заходів та узгодило зіставлення з NIST CSF 2.0, включно з функцією Govern. Це розвиток v8, який зберігає 18 Controls і 153 Safeguards.
Нове зіставлення з NIST SP 800-53 Rev. 5
CIS опублікував оновлене зіставлення Controls v8.1 і Safeguards із NIST SP 800-53 Rev. 5 для аналізу охоплення та оцінювання захисту. Це супровідний матеріал, а не нова редакція Controls. Станом на 8 вересня 2026 року офіційна сторінка представляє v8.1 як актуальну.