Frameworksammenligning
Side-om-side-sammenligning af de fire sikkerhedsframeworks, som Aether365 understøtter.
Oversigt
| CIS | EIDSCA | CISA SCuBA | NIS2 | |
|---|---|---|---|---|
| Fulde navn | CIS Microsoft 365 Foundations Benchmark | Entra ID Security Config Analyzer | Secure Cloud Business Applications M365 Baseline | EU-direktivet om net- og informationssikkerhed 2 |
| Udgivet af | Center for Internet Security | Microsoft (open source) | CISA (amerikansk forbundsagentur) | Den Europæiske Union |
| Primær målgruppe | Kommercielle organisationer globalt | Organisationer, der bruger Entra ID | Amerikanske forbundsagenturer | EU-væsentlige/vigtige enheder |
| Fokusområde | Bred M365-konfiguration | Entra ID-identitetssikkerhed | M365 produkt-for-produkt | Cybersikkerhedsrisikostyring |
| Antal kontroller | ~100 | ~80 | ~150 | ~50 |
| Opdateringskadence | Store udgivelser hver 12-18 måneder | Løbende (GitHub) | Store udgivelser årligt | Lovgivningscyklus |
| Licensering | Gratis at bruge | Open source (MIT) | Offentligt domæne | EU-forordning |
CIS Microsoft 365 Foundations Benchmark
Bedst til: Organisationer, der ønsker en kommercielt anerkendt, revisionsvenlig baseline.
CIS-benchmarks er de facto-standarden i kommercielle sikkerhedsprogrammer. M365-benchmarket dækker:
- Konto og autentificering - MFA, legacy-autentificering, adgangskodepolitikker
- Microsoft 365 Admin Center-indstillinger - gæsteadgang, deling, eksternt samarbejde
- Exchange Online - e-mailautentificering (SPF, DKIM, DMARC), mailflowregler, anti-phishing
- SharePoint Online og OneDrive - delingsindstillinger, kontrol af ekstern adgang
- Microsoft Teams - mødepolitikker, gæsteadgang, ekstern føderation
- Entra ID - betinget adgang, rolletildelinger, sikkerhedsstandarder
Profilniveauer:
| Niveau | Beskrivelse |
|---|---|
| L1 | Grundlæggende kontroller. Implementér først. Lavere afbrydelsesrisiko. |
| L2 | Højere sikkerhed. Kan kræve planlægning og brugerkommunikation. |
Aether365-kontroller inkluderer profilniveauet i hvert resultat, så du kan prioritere L1 først.
EIDSCA (Entra ID Security Config Analyzer)
Bedst til: Organisationer, der ønsker dyb identitetssikkerhedsdækning ud over, hvad CIS dækker.
EIDSCA blev samudviklet med Microsoft-ingeniører og fokuserer specifikt på Entra ID-konfiguration. Det dækker områder, som CIS enten udelader eller kun dækker delvist:
- Privileged Identity Management (PIM) - just-in-time-adgang, rolleaktiveringsindstillinger
- Autentificeringsmetoder - FIDO2, autentificeringsappindstillinger, Windows Hello
- Betingede adgangspolitikker - enhedsoverhold, loginrisiko, brugerrisiko
- Applikationsstyring - OAuth-apptilladelser, samtykkepolitikker
- Sikkerhedsstandarder og baseline - Microsofts egne baselineanbefalinger
- Identitetsbeskyttelse - risikopolitikker, detektering af lækkede credentials
EIDSCA-kontroller mapper til Secure Score-kategorierne i Microsoft Entra og supplerer CIS-kontroller med finkornede Entra ID-dækninger.
CISA SCuBA M365 Security Baseline
Bedst til: Amerikanske forbundsagenturer underlagt CISA-vejledning; organisationer, der ønsker omfattende dækning på produktniveau.
SCuBA (Secure Cloud Business Applications) er struktureret efter M365-produkt i stedet for efter sikkerhedskategori:
| Produktbaseline | Dækning |
|---|---|
| AAD (Azure Active Directory) | Identitet, MFA, betinget adgang |
| Exchange Online | E-mailsikkerhed, anti-phishing, mailflow |
| Teams | Mødesikkerhed, gæsteadgang, datatab |
| SharePoint og OneDrive | Deling, ekstern adgang, DLP |
| Power Platform | Appoprettelsespolitikker, gæsteadgang |
| Defender for Office 365 | ATP-politikker, sikre links, sikre vedhæftninger |
Hver produktsektion indeholder påkrævede og valgfrie politikker. Aether365 markerer valgfrie politikker tydeligt i resultatdetaljerne.
SCuBA er teknisk rettet mod amerikanske forbundsagenturer (FISMA-dækkede systemer), men politikkerne er bredt anvendelige for enhver organisation.
NIS2 (EU-direktivet om net- og informationssikkerhed 2)
Bedst til: EU-baserede organisationer, der driver væsentlige eller vigtige tjenester og skal demonstrere NIS2-overholdelse.
NIS2 er et reguleringsframework, ikke et teknisk benchmark. Det specificerer kategorier af kontroller, som organisationer skal implementere - det foreskriver ikke præcise konfigurationsværdier. Aether365's NIS2-kontroller mapper M365-konfiguration til NIS2-artikelkrav:
| NIS2-artikel | Kontrolkategori | Eksempler på M365-kontroller |
|---|---|---|
| Art. 21(2)(a) | Risikostyring | Sikkerhedspolitikker, revisionslogning |
| Art. 21(2)(b) | Hændelseshåndtering | Advarselspolitikker, opbevaring af revisionslog |
| Art. 21(2)(c) | Forretningskontinuitet | Backup, dataopbevaringsindstillinger |
| Art. 21(2)(d) | Forsyningskædesikkerhed | Tredjepartsapptilladelser |
| Art. 21(2)(e) | Anskaffelsessikkerhed | Applikationssamtykkepolitikker |
| Art. 21(2)(f) | Adgangskontrol | MFA, privilegeret adgang, PIM |
| Art. 21(2)(g) | Kryptografi | Krypteringsindstillinger, TLS-politik |
| Art. 21(2)(h) | HR-sikkerhed | Offboarding, gennemgang af gæstekonti |
| Art. 21(2)(i) | Autentificering | MFA, adgangskodepolitikker, legacy-autentificering |
Vigtigt: At bestå NIS2-kontroller i Aether365 certificerer ikke NIS2-overholdelse. NIS2-overholdelse kræver organisatoriske processer, juridiske vurderinger og rapporteringsforpligtelser ud over teknisk konfiguration. Aether365's NIS2-kontroller giver dig tillid til, at din M365-konfiguration ikke modsiger NIS2-krav.
Hvilket framework skal jeg bruge?
Du behøver ikke at vælge ét. Aether365 kører alle frameworks og præsenterer resultaterne samlet. Der er betydelig overlapning mellem frameworks - en enkelt konfigurationsindstilling kan kontrolleres af CIS, EIDSCA og CISA. Aether365 deduplikerer overlappende kontroller og viser hvert fund én gang med krydsreferencer til hvert framework, der dækker det.
Anbefalinger til startpunkt:
| Situation | Start med |
|---|---|
| Ingen tidligere frameworkerfaring | CIS L1 - grundlæggende og bredt forstået |
| Fokus på identitetssikkerhed | EIDSCA - dybeste Entra ID-dækning |
| Amerikansk forbund eller tilgrænsende | CISA SCuBA |
| EU-regulatorisk krav | NIS2, udfyld derefter huller med CIS |
| Skal bestå en sikkerhedsrevision | CIS - mest anerkendt af eksterne revisorer |
| Ønsker omfattende dækning | Kør alle fire frameworks samtidigt |
Antal kontroller pr. framework
Antal kontroller varierer, efterhånden som frameworks opdateres. Aktuelle omtrentlige tal i Aether365:
| Framework | Samlet antal kontroller | Typisk beståelsesrate (SMB) | Typisk beståelsesrate (Enterprise) |
|---|---|---|---|
| CIS (L1) | ~60 | 55-70% | 70-85% |
| CIS (L1+L2) | ~100 | 45-65% | 65-80% |
| EIDSCA | ~80 | 50-65% | 65-80% |
| CISA SCuBA | ~150 | 40-60% | 60-75% |
| NIS2 | ~50 | 55-70% | 70-85% |
Beståelsesrater er vejledende estimater. Din rate afhænger i høj grad af din eksisterende konfiguration, licenser, og om du har udrullet betingede adgangspolitikker.