Consensus Audit Guidlines (CAG) är utkast/förslag till riktlinjer för att kontinuerligt säkerställa att en organisation har vidtagit de åtgärder som kan anses grundläggande i informationssäkerhetsarbetet. CAG  är framtaget av säkerhetsexperter hos myndigheter och företag i USA. Dessa säkerhetsexperter såg ett stort behov av riktlinjer som  Informationssäkerhetschefer, CIO´s och andra ansvariga för IT-säkerheten kan anamma för att säkerställa att de har en grundläggande kontrollapparat för sina mest kritiska  IT-säkerhets¬åtgärder.  Dessa riktlinjer  är utvecklade med hjälp av kunskap som har samlats in vid analysen av en mängd attacker som har utförts mot olika organisationer i USA.

CAG definierar tjugo specifika ¬kontroll¬funktioner som är adresserar väsentliga åtgärder som bör vidtas för att blockera kända högprioriterade attacker. Femton av kontrollerna kan delvis genomföras automatiskt och kontinuerligt. CAG definierar också ytterligare fem kontroller som är väsentliga men som inte kan genomföras automatiskt.

CAG är designat för att stötta organisationer som idag befinner sig på olika nivåer vad gäller IT-säkerhet.  För att hjälpa organisationer att uppnå en grundnivå av säkerhet och sedan därifrån förbättra sig har kontrollerna delats upp enlig följande:

•  Snabba vinster: Dessa grundläggande aspekter av informationssäkerhet kan hjälpa organisationer att snabbt förbättra sin IT-säkerhetsnivå. 
• Förbättrad övervakning (Visibillity)  och förmågan att hänföra  händelser (Attribution) : Dessa kontroller har fokus  på övervakningen av nätverk och system samt på att kunna hänföra vilka system och användare som genererar specifika händelser (events) och på så sätt upptäcka attackförsök, lokalisera angreppspunkter för lyckosamma attacker, identifiera redan komprometterade maskiner, avbryta infiltreringsattacker och samla in information om källan till en attack.
• Säkrare konfiguration och förbättrad Informationssäkerhet: Dessa kontroller är framtagna för att få en säkrare konfiguration och förbättrad daglig drift. Dessa riktlinjer är framtagna med utgångspunkt att ett välskött nätverk är svårare för angriparna att penetrera.
• Avancerade: Dessa riktlinjer är framtagna för att ytterligare förbättra säkerheten bortanför ovanstående tre kategorier. Dessa kontroller är främst tänkta för organisationer med särskilt känsliga nätverk eller information.

Vi på Cortego ser Consensus Audit Guidlines  en utmärkt utgångspunkt för att få till  en kontrollapparat av en organisations IT-säkerhetsnivå.  Det vill säga en möjlighet att kontinuerligt kunna visa att säkerhetsarbetet upprätthålls på en lämplig nivå.
 
Cortego hjälper er gärna att se om CAG kan vara ett stöd i ert arbete att använda era resurser rätt när det gäller att uppnå rätt IT-säkerhet.  Som ett första steg i ett sådant arbete genomför vi en mappning av  alla tjugo kontrollområden mot er nuvarande miljö och era behov. Ur detta tar vi  fram en plan för hur ni kan implementera de kontroller som ger er bäst nytta på kort och på lång sikt.

Vill ni veta mer så finns hela Consensus Audit Guidlines att ladda ner här eller kontakta gärna
Anders Brännfors Den här e-postadressen är skyddad från spamrobotar. Du måste tillåta Javascript för att visa e-postadressen alt. 0708-330 338 för ett förutsättningslöst möte.