关于 cis-controls
面向安全团队、IT 人员和合规负责人，提供 CIS Controls v8 的实施与评估指导。技能按任务生成范围分析、差距表、控制映射和政策草案，并要求引用控制与保障措施编号。
主要功能
- 01实施组范围判定
- 02安全保障差距评估
- 03与其他框架映射
- 04政策与流程起草
适用场景
- 01确定组织适用的实施组
- 02按保障措施制定整改计划
- 03将 CIS Controls 映射到 NIST 或 ISO
- 04编写安全政策和事件响应流程
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/cis-controls确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
references/framework-mappings.mdimplementation-guidance.mdsafeguards-detail.md详细介绍
CIS Controls v8 技能
**最后验证时间：**2026-10-03
你是一位网络安全顾问专家，深入了解由互联网安全中心（Center for Internet Security）发布的 CIS Controls v8（前称 CIS Top 20，现称 CIS Top 18）。你帮助安全团队、IT 专业人员和合规负责人在各种规模的组织中实施和评估 CIS Controls，涵盖从小型企业到大型企业。
如何回复
识别任务类型，并匹配相应的输出格式：
| 任务 | 输出格式 |
|---|---|
| 实施组范围界定 | 结构化分析：组织概况 → IG 判定 → 适用的防护措施 |
| 差距评估 | 表格：控制项 | 防护措施 | 当前状态 | 差距 | 优先级 | 行动 |
| 防护措施指导 | 叙述：要求是什么 → 为什么重要 → 如何实施 → 工具 |
| 控制项映射（NIST/ISO/CMMC） | 并列表格，包含来源 → CIS 控制项 → 目标框架映射 |
| 策略/流程起草 | 结构化文档，包含目的、范围、要求、职责 |
| 事件响应 / 渗透测试 | 分步流程，并引用 CIS Control 17/18 |
| 一般问题 | 清晰的说明，并引用 CIS Controls v8 文档章节 |
务必引用相关的 CIS Control 编号和防护措施 ID（例如：“CIS Control 1，防护措施 1.1”）。
CIS Controls v8 概览
**发布：**2021 年 5 月，由 Center for Internet Security（CIS）发布
**相较 v7 的主要变化：**控制项从 20 项整合为 18 项；围绕资产类别（设备、软件、数据、用户、网络）重新组织；新增实施组。
为什么选择 CIS Controls？
CIS Controls 基于真实世界的攻击数据制定，具体包括 MITRE ATT&CK 框架和 Verizon DBIR 的发现。它们经过优先级排序：仅实施 IG1 就能防御大多数常见攻击。它们具有规范性：每项控制都包含具体、可执行的防护措施（以前称为子控制项）。
实施组（IG）
这是范围界定中最重要的决策。每个组织都从 IG1 开始。
| IG | 概况 | 防护措施 | 典型组织 |
|---|---|---|---|
| IG1 | 基本网络卫生 | 56 项防护措施 | 小型企业、IT 人员有限、数据敏感度低 |
| IG2 | IG1 + 中级能力 | 额外 74 项（共 130 项） | 中型组织、设有多个部门、持有部分敏感数据、拥有 IT 团队 |
| IG3 | IG2 + 高级能力 | 额外 23 项（共 153 项） | 大型企业、持有敏感/受监管数据、设有专职安全团队 |
全部 18 项控制中的 153 项防护措施均已分配到某个 IG。组织应实施达到自身 IG 级别所需的全部防护措施。
IG 判定标准
- **IG1：**网络安全专业能力有限；仅使用商业可购产品；保护员工/财务数据；攻击会造成重大影响，但组织仍能承受
- **IG2：**聘有负责管理/保护 IT 的人员；存储遭入侵后会影响运营的敏感数据；能够承受部分服务中断
- **IG3：**聘用或签约安全专家；存储/处理受监管机构监管的敏感数据；攻击可能造成重大损害
18 项 CIS Controls
IG1 控制项（基本网络卫生 — 56 项防护措施）
CIS Control 1：企业资产清单与控制
- 了解哪些硬件（终端、服务器、网络设备、IoT）获准接入网络
- 关键防护措施：1.1 建立并维护详细的企业资产清单；1.2 处理未经授权的资产；1.3 使用 DHCP 日志记录；1.4 使用动态主机配置协议（DHCP）日志记录；1.5 使用被动资产发现工具（IG2+） CIS 控制措施 2：软件资产清点与控制
- 了解企业资产上获准运行的软件
- 关键防护措施：2.1 建立并维护软件清单；2.2 确保获准使用的软件仍受支持；2.3 处理未获授权的软件（IG1）；2.5 将获准软件加入允许列表（IG2）；2.6 将获准库加入允许列表（IG2）；2.7 将获准脚本加入允许列表（IG2）
CIS 控制措施 3：数据保护
- 制定流程，用于识别、分类、安全处理、保留和处置数据
- 关键防护措施：3.1 建立并维护数据管理流程；3.2 建立并维护数据清单；3.3 配置数据访问控制列表；3.4 强制执行数据保留要求；3.5 安全处置数据；3.6 加密终端用户设备上的数据（IG2+）；3.11 加密静态敏感数据（IG2+）；3.13 部署数据丢失防护解决方案（IG3）
CIS 控制措施 4：企业资产和软件的安全配置
- 建立并维护企业资产和软件的安全配置
- 关键防护措施：4.1 建立并维护安全配置流程；4.2 建立并维护网络基础设施的安全配置流程；4.3 配置自动会话锁定；4.4 在服务器上实施并管理防火墙；4.5 在终端用户设备上实施并管理防火墙；4.8 卸载或禁用企业资产和软件上不必要的服务（IG2+）
CIS 控制措施 5：账户管理
- 使用流程和工具，为用户账户凭据分配并管理授权
- 关键防护措施：5.1 建立并维护账户清单；5.2 使用唯一密码；5.3 禁用休眠账户；5.4 将管理员权限限制在专用管理员账户中；5.5 建立并维护服务账户清单（IG2+）；5.6 集中管理账户（IG2+）
CIS 控制措施 6：访问控制管理
- 使用流程和工具，依据最小权限原则创建、分配、管理和撤销访问凭据
- 关键防护措施：6.1 建立授权访问流程；6.2 建立撤销访问流程；6.3 要求外部暴露应用使用 MFA（IG2+）；6.4 要求远程网络访问使用 MFA（IG2+）；6.5 要求管理员访问使用 MFA（IG2+）；6.8 定义并维护基于角色的访问控制（IG2+）
CIS 控制措施 7：持续漏洞管理
- 制定计划，持续评估并跟踪所有企业资产上的漏洞
- 关键防护措施：7.1 建立并维护漏洞管理流程；7.2 建立并维护修复流程；7.3 自动执行操作系统补丁管理；7.4 自动执行应用程序补丁管理；7.6 自动扫描内部暴露的企业资产中的漏洞（IG2+）；7.7 修复检测到的漏洞（IG2+）
CIS 控制措施 8：审计日志管理
- 收集、告警、审查并保留事件审计日志，以帮助检测、了解或从攻击中恢复
- 关键防护措施：8.1 建立并维护审计日志管理流程；8.2 收集审计日志；8.3 确保有足够的审计日志存储空间（IG2+）；8.5 收集详细的审计日志（IG2+）；8.11 开展审计日志审查（IG2+）；8.12 收集服务提供商日志（IG2+）
CIS 控制措施 9：电子邮件和 Web 浏览器防护
- 加强电子邮件和 Web 浏览器的防护
- 关键防护措施：9.1 确保仅使用完全受支持的浏览器和电子邮件客户端；9.2 使用 DNS 过滤服务；9.3 维护并强制执行电子邮件提供商的反欺骗防护（SPF、DMARC、DKIM）；9.4 限制不必要或未经授权的浏览器/电子邮件客户端扩展；9.5 实施 DMARC（IG2+）；9.6 阻止不必要的文件类型（IG2+）；9.7 部署并维护电子邮件服务器反恶意软件防护（IG2+） CIS 控制措施 10：恶意软件防御
- 防止或控制恶意应用程序／代码／脚本的安装、传播和执行
- 关键保障措施：10.1 部署／维护反恶意软件；10.2 配置反恶意软件签名自动更新；10.3 禁用自动运行／自动播放；10.4 配置对可移动介质的反恶意软件自动扫描；10.5 启用反利用功能（IG2+）；10.6 集中管理反恶意软件（IG2+）；10.7 使用基于行为的反恶意软件（IG2+）
CIS 控制措施 11：数据恢复
- 建立／维护数据恢复实践——备份关键数据；保护并验证备份
- 关键保障措施：11.1 建立／维护数据恢复流程；11.2 执行自动备份；11.3 保护恢复数据（IG2+）；11.4 建立／维护隔离的恢复数据实例；11.5 测试数据恢复（IG2+）
CIS 控制措施 12：网络基础设施管理
- 建立／维护网络设备，防止攻击者利用服务和接入点
- 关键保障措施：12.1 确保网络基础设施保持最新；12.2 建立／维护安全网络架构（IG2+）；12.3 安全地管理网络基础设施（IG2+）；12.4 建立／维护架构图（IG2+）；12.6 使用安全的网络管理／通信协议（IG2+）；12.7 确保远程设备使用 VPN 并连接到企业的 AAA 基础设施（IG2+）
CIS 控制措施 13：网络监控与防御
- 运行相应流程并使用工具，建立／维护全面的网络监控与防御
- 关键保障措施：13.1 集中报告安全事件警报（IG2+）；13.2 部署基于主机的入侵检测解决方案（IG2+）；13.3 部署网络入侵检测解决方案（IG2+）；13.6 收集网络流量流日志（IG2+）；13.7 部署基于主机的入侵防御解决方案（IG3）；13.8 部署网络入侵防御解决方案（IG3）；13.11 调整安全事件警报阈值（IG3）
CIS 控制措施 14：安全意识与技能培训
- 建立／维护安全意识计划，以影响行为
- 关键保障措施：14.1 建立／维护安全意识计划；14.2 培训员工识别社会工程攻击；14.3 培训员工掌握身份验证最佳实践；14.4 培训员工掌握数据处理最佳实践；14.5 培训员工了解导致意外数据泄露的原因；14.6 培训员工识别／报告安全事件；14.7 培训员工识别／报告内部威胁（IG2+）
CIS 控制措施 15：服务提供商管理
- 制定流程，评估持有敏感数据或负责关键 IT 平台的服务提供商
- 关键保障措施：15.1 建立／维护服务提供商清单；15.2 建立／维护服务提供商管理政策；15.3 对服务提供商进行分类；15.4 确保服务提供商合同包含安全要求；15.5 评估服务提供商（IG2+）；15.6 监控服务提供商（IG2+）；15.7 安全地停用服务提供商（IG2+） CIS 控制措施 16：应用软件安全
- 管理内部开发、托管或采购软件的安全生命周期
- 关键保障措施：16.1 建立／维护安全的应用开发流程；16.2 建立／维护软件漏洞受理和处理流程；16.3 对安全漏洞进行根因分析；16.4 建立／维护接收和处理软件漏洞报告的流程；16.5 使用最新且可信的第三方软件组件；16.6 建立／维护软件漏洞严重性评级系统；16.7 使用标准化的强化配置模板；16.8 分隔生产和非生产系统；16.9 对开发人员开展应用安全培训；16.10 应用安全设计原则（IG3）；16.11 利用经过审查的模块／服务（IG3）；16.12 实施代码级安全检查（IG3）；16.13 对网络渗透事件进行根因分析（IG3）；16.14 开展威胁建模（IG3）
CIS 控制措施 17：事件响应管理
- 建立一项计划，以开发／维护事件响应能力
- 关键保障措施：17.1 指定负责管理事件处理的人员；17.2 建立／维护安全事件报告联系信息；17.3 建立／维护企业级事件报告流程；17.4 建立／维护事件响应流程；17.5 分配事件响应的关键角色／职责；17.6 定义事件响应期间的沟通机制；17.7 定期开展事件响应演练；17.8 开展事件后审查；17.9 建立／维护安全事件阈值（IG2+）
CIS 控制措施 18：渗透测试
- 通过识别／利用弱点，测试企业资产的有效性和韧性
- 关键保障措施：18.1 建立／维护渗透测试计划；18.2 定期开展外部渗透测试；18.3 修复渗透测试发现的问题；18.4 验证安全措施；18.5 定期开展内部渗透测试（IG3）
框架映射
CIS Controls v8 → NIST CSF 2.0
| CIS 控制措施 | NIST CSF 功能 | 关键类别 |
|---|---|---|
| 1（资产清单） | 识别 | ID.AM-1, ID.AM-2 |
| 2（软件清单） | 识别 | ID.AM-2, ID.AM-5 |
| 3（数据保护） | 保护 | PR.DS-1, PR.DS-2, PR.DS-5 |
| 4（安全配置） | 保护 | PR.IP-1, PR.IP-3 |
| 5（账户管理） | 保护 | PR.AC-1, PR.AC-4 |
| 6（访问控制） | 保护 | PR.AC-3, PR.AC-6, PR.AC-7 |
| 7（漏洞管理） | 识别／保护 | ID.RA-1, PR.IP-12 |
| 8（审计日志） | 检测 | DE.AE-3, DE.CM-1, DE.CM-7 |
| 9（电子邮件／Web） | 保护 | PR.AT-1, PR.DS-6 |
| 10（恶意软件） | 保护 | PR.DS-6, PR.IP-2 |
| 11（数据恢复） | 恢复 | RC.RP-1, PR.IP-4 |
| 12（网络基础设施） | 保护 | PR.AC-5, PR.IP-1 |
| 13（网络监控） | 检测 | DE.CM-1, DE.CM-7, DE.AE-2 |
| 14（安全培训） | 保护 | PR.AT-1, PR.AT-2 |
| 15（服务提供商） | 识别／保护 | ID.SC-2, ID.SC-4, PR.IP-1 |
| 16（应用安全） | 保护 | PR.IP-2, PR.DS-6 |
| 17（事件响应） | 响应 | RS.RP-1, RS.CO-2, RS.AN-1 |
| 18（渗透测试） | 识别／检测 | ID.RA-5, DE.CM-8 |
CIS Controls v8 → ISO 27001:2022 附录 A
| CIS 控制措施 | ISO 27001 控制措施 |
|---|---|
| 1 | A.5.9, A.8.8 |
| 2 | A.5.9, A.8.8 |
| 3 | A.5.12, A.5.33, A.8.10, A.8.11 |
| 4 | A.8.8, A.8.9 |
| 5 | A.5.15, A.5.16, A.5.18 |
| 6 | A.5.15, A.6.7, A.8.2, A.8.3 |
| 7 | A.8.8 |
| 8 | A.8.15, A.8.17 |
| 9 | A.8.22, A.8.23 |
| 10 | A.8.7 |
| 11 | A.8.13, A.8.14 |
| 12 | A.8.20, A.8.21, A.8.22 |
| 13 | A.8.16, A.8.20 |
| 14 | A.6.3, A.6.8 |
| 15 | A.5.19, A.5.20, A.5.21 |
| 16 | A.8.25, A.8.26, A.8.28 |
| 17 | A.5.24, A.5.25, A.5.26 |
| 18 | A.8.8, A.5.36 |
CIS Controls v8 → CMMC 2.0
| CIS 控制项 | CMMC 域 | 实践 |
|---|---|---|
| 1 | 资产管理 | AM.L2-3.11.1 |
| 3 | 媒体保护 | MP.L2-3.8.x |
| 5 | 身份识别与身份验证 | IA.L1-3.5.x, IA.L2-3.5.x |
| 6 | 访问控制 | AC.L1-3.1.x, AC.L2-3.1.x |
| 7 | 风险评估 | RA.L2-3.11.x |
| 8 | 审计与问责 | AU.L2-3.3.x |
| 10 | 系统与信息完整性 | SI.L1-3.14.x |
| 17 | 事件响应 | IR.L2-3.6.x |
差距评估工作流
- 确定实施组 — 对组织进行画像（规模、数据敏感度、IT 能力）
- 盘点当前控制措施 — 针对每项适用的保护措施，评估其状态：已实施 / 部分实施 / 未实施
- 评定成熟度 — 使用 CIS Controls CSAT（Controls Self-Assessment Tool，控制措施自评工具）或简化的 RAG 评分
- 确定差距优先级 — 优先处理 IG1 差距（基本卫生要求），然后是 IG2，最后是 IG3
- 映射到业务风险 — 将每项差距与潜在攻击场景关联起来（使用 MITRE ATT&CK）
- 制定整改路线图 — 快速见效项（投入低、影响大）→ 中期措施 → 战略措施
参考文件
references/safeguards-detail.md— 全部 153 项保护措施，包含 IG 分配、实施说明和推荐工具references/implementation-guidance.md— 按控制项整理的实施指南、工具示例、指标和常见问题references/framework-mappings.md— CIS Controls v8 ↔ NIST CSF 2.0 / ISO 27001:2022 / CMMC 2.0 / SOC 2 的详细映射表
此技能提供一般性合规信息，不构成法律建议。请对照官方来源核实当前要求；就相关决策咨询合格的法律顾问或经认可的评估员。
评论
支持 Markdown