CIS Benchmarks

Wat zijn CIS Benchmarks?

CIS Benchmarks zijn gratis, op consensus gebaseerde configuratierichtlijnen van het Center for Internet Security (CIS) die per product precies beschrijven welke instellingen u moet wijzigen om een besturingssysteem, applicatie, cloudplatform of netwerkapparaat veilig te configureren. Ze vormen een van de meest gebruikte startpunten voor hardening en voor een vastgelegde security baseline. In OT-, ICS- en OT-convergentie-omgevingen gebruikt u ze vooral voor de Windows- en Linux-systemen rond het proces, zoals SCADA-servers, historians en engineeringstations, en voor de virtualisatie-, container- en netwerklaag daaronder.

🧠 Wie maakt de CIS Benchmarks en hoe ontstaan ze?

Het Center for Internet Security is een Amerikaanse non-profitorganisatie, opgericht in 2000. Vanaf het begin werkte CIS met de industrie aan voorschrijvende, breed erkende hardeningstandaarden; daaruit groeiden de CIS Benchmarks. Er zijn er inmiddels meer dan 100, verdeeld over ruim 25 productfamilies van leveranciers.

Elke benchmark ontstaat in een vast consensusproces op het platform CIS WorkBench, waaraan meer dan 12.000 professionals deelnemen:

1. Scope en team - CIS stelt een team van vakspecialisten samen en bepaalt welke productversie de benchmark dekt.
2. Concept - de specialisten schrijven een eerste versie met concrete aanbevelingen.
3. Communityreview - gebruikers, leveranciers en onderzoekers testen het concept en geven commentaar, vaak in meerdere rondes.
4. Publicatie - na een laatste reviewperiode van twee weken verschijnt de benchmark. Bij een nieuwe productversie of gewijzigde inzichten begint het proces opnieuw.

Voor Windows streeft CIS ernaar een nieuwe build binnen 90 dagen na release te dekken. CIS Benchmarks zijn richtlijnen, geen formele norm: er bestaat geen certificering “volgens CIS”, al gebruiken veel auditors ze als referentie voor compliance.

🔧 Hoe is een CIS Benchmark opgebouwd?

Een benchmark is een document van vaak honderden pagina’s met genummerde aanbevelingen (recommendations). Elke aanbeveling heeft dezelfde vaste onderdelen:

Elke aanbeveling is daarnaast Automated (automatisch te controleren met een scanner) of Manual (handmatige beoordeling nodig). Die labels vervingen de oudere termen Scored en Not Scored.

Aanbevelingen zijn ingedeeld in profielen:

Benchmarks zijn gratis als PDF te downloaden. Andere formaten, zoals XCCDF voor scanners en bewerkbare Word-versies, zijn voorbehouden aan leden van CIS SecureSuite.

🔄 Wat is het verschil tussen CIS Benchmarks en CIS Controls?

De twee worden vaak verward, maar werken op een ander niveau:

De koppeling zit in Control 4, Secure Configuration of Enterprise Assets and Software: die vraagt om een vastgelegd proces voor veilige configuratie, en de benchmarks leveren daarvoor de concrete instellingen. Elke aanbeveling in een benchmark verwijst terug naar de bijbehorende safeguard.

🖥️ Voor welke systemen bestaan CIS Benchmarks?

Belangrijk voor OT: er bestaan geen CIS Benchmarks voor PLC’s, veldapparatuur of de firmware van een HMI-paneel. Voor die apparaten zijn de hardeningrichtlijnen van de leverancier en IEC 62443 leidend. De benchmarks dekken wel de algemene IT-componenten die in OT steeds vaker voorkomen: Windows-werkstations, Linux-gateways voor edge computing en IoT, containerplatformen voor soft PLC’s en IIoT-toepassingen, en de industriële switches, routers en firewalls tussen de zones. Containerclusters in OT brengen daarnaast realtime-eisen mee waar een generieke benchmark geen rekening mee houdt.

Twee OT-situaties vragen extra aandacht. Legacy systemen draaien vaak op een besturingssysteem waarvoor CIS de benchmark niet meer bijwerkt, terwijl de levensduur van een installatie 15 tot 20 jaar of langer kan zijn; daar blijven segmentatie en compenserende maatregelen het belangrijkst. Edge-gateways staan juist vaak buiten een afgesloten serverruimte, zodat naast de benchmark ook fysieke beveiliging, beheer op afstand en veilige uitrol (secure provisioning) aandacht nodig hebben.

🏭 Hoe past u CIS Benchmarks veilig toe in OT?

Een IT-beheerder rolt een Level 1-baseline vaak in één keer uit via Group Policy. In een productieomgeving kan dat een HMI laten vastlopen of een historian-koppeling breken. Een beproefde aanpak in OT:

1. Inventariseer - begin met een asset-inventaris en bepaal per systeemtype (SCADA-server, engineeringstation, historian, jump server) welke benchmark en welk profiel past.
2. Vraag de leverancier - veel OT-leveranciers publiceren eigen hardeninghandleidingen of geven aan welke instellingen hun software niet verdraagt. Leg goedgekeurde afwijkingen vast met reden en compenserende maatregel.
3. Test in een representatieve omgeving - pas de baseline eerst toe in een OTAP-straat of op een reservesysteem, met performancetests, procesimpactanalyse en een geteste herstelprocedure.
4. Rol gefaseerd uit - voer wijzigingen door in onderhoudsvensters via change management, systeem voor systeem.
5. Bewaak afwijkingen - vergelijk periodiek de werkelijke configuratie met de baseline via configuratiebeheer en meld drift aan de SIEM of andere security monitoring.

Typische waarden en OT-nuances:

Dezelfde spanning tussen beveiliging en beschikbaarheid geldt voor logging (opslagbelasting), patchen (productierisico) en extra firewallregels (latency). Hardening in OT is daarom altijd een risicogebaseerde afweging en geen kwestie van 100% score.

🛠️ Welke tools ondersteunen CIS Benchmarks?

• CIS-CAT Lite - gratis scanner met grafische interface voor een beperkt aantal benchmarks; geschikt om kennis te maken.
• CIS-CAT Pro Assessor - voor leden van CIS SecureSuite; toetst systemen tegen meer dan 80 benchmarks, ook via de commandline, met rapporten in onder meer HTML, CSV, XML en JSON.
• Build kits - kant-en-klare Group Policy-objecten en scripts waarmee u een systeem in één keer volgens een benchmark inricht.
• CIS Hardened Images - virtuele machines die al volgens een benchmark zijn gehard, beschikbaar in de marketplaces van grote cloudaanbieders.
• Open-source checks - kube-bench toetst Kubernetes-clusters en Docker Bench for Security Docker-hosts tegen de betreffende benchmark.

Scan in OT voorzichtig. Een agentloze configuratiescan op een server is iets anders dan een actieve kwetsbaarheidsscan van het procesnetwerk, maar voer ook configuratiescans eerst uit in een testomgeving en buiten kritieke productiemomenten. Een CIS-baseline vervangt geen EDR, IDS of netwerkbewaking; het verkleint het aanvalsoppervlak waar die maatregelen op voortbouwen.

🔐 Hoe sluiten CIS Benchmarks aan op normen en wetgeving?

CIS Benchmarks passen ook in bredere modellen. Ze beperken rechten en diensten volgens least privilege, ondersteunen Zero Trust en microsegmentatie doordat elk systeem op zichzelf minder kwetsbaar is, en vullen segmentatie en application control aan. Ook in de gebouwautomatisering worden ze gebruikt, bijvoorbeeld voor de servers van een BMS of HVAC-besturing, en in de watersector voor telemetrieservers.

❓ Veelgestelde vragen

Zijn CIS Benchmarks gratis?

Ja, alle CIS Benchmarks zijn gratis als PDF te downloaden na registratie bij het Center for Internet Security. Machineleesbare formaten zoals XCCDF, bewerkbare versies, build kits en de scanner CIS-CAT Pro zijn onderdeel van het betaalde lidmaatschap CIS SecureSuite.

Wat is het verschil tussen Level 1 en Level 2 in een CIS Benchmark?

Level 1 bevat basisinstellingen die snel in te voeren zijn en weinig invloed hebben op prestaties en functionaliteit. Level 2 voegt strengere instellingen toe voor omgevingen waar beveiliging zwaar weegt, maar kan applicaties hinderen en vraagt dus meer testwerk. In OT is Level 1 een gebruikelijk startpunt voor servers en werkstations.

Bestaan er CIS Benchmarks voor PLC’s?

Nee, CIS publiceert geen benchmarks voor PLC’s, veldapparatuur of embedded HMI-panelen. Voor die apparaten gelden de hardeninghandleidingen van de leverancier en de eisen uit IEC 62443. CIS Benchmarks zijn in OT wel bruikbaar voor de Windows- en Linux-systemen, hypervisors, containerplatformen en netwerkapparatuur rond de besturing.

Hoe controleer ik of een systeem aan een CIS Benchmark voldoet?

Elke aanbeveling in een CIS Benchmark bevat een auditprocedure die u handmatig kunt uitvoeren. Automatisch toetsen kan met CIS-CAT Lite (gratis, beperkt) of CIS-CAT Pro (voor SecureSuite-leden), en voor Kubernetes en Docker met de open-source tools kube-bench en Docker Bench for Security. Voer scans in OT eerst uit in een testomgeving.

Zijn CIS Benchmarks verplicht onder NIS2 of de Cyberbeveiligingswet?

Nee, NIS2 en de Cyberbeveiligingswet schrijven geen specifiek framework voor. Ze verplichten wel tot passende maatregelen, waaronder basispraktijken voor cyberhygiëne en veilige configuratie. Een vastgelegde CIS-baseline met gedocumenteerde afwijkingen is een gangbare manier om dat aantoonbaar te maken.

Hoe vaak worden CIS Benchmarks bijgewerkt?

Er is geen vast ritme: CIS werkt een benchmark bij wanneer een product een nieuwe versie krijgt of inzichten veranderen. Voor Windows streeft CIS ernaar een nieuwe build binnen 90 dagen te dekken. Controleer daarom bij elke upgrade of uw baseline nog bij de juiste benchmarkversie hoort.

📌 Samengevat

CIS Benchmarks geven per product concrete, door de community getoetste instellingen voor hardening, met Level 1 als basis en Level 2 en STIG als strengere profielen. Ze zijn gratis, sluiten aan op de CIS Controls, IEC 62443, ISO 27001 en NIS2, en zijn met CIS-CAT automatisch te toetsen. Binnen IT en OT zijn ze waardevol voor servers, werkstations, virtualisatie, containers en netwerkapparatuur, maar niet voor PLC’s en veldapparaten.

CIS Benchmarks zijn de snelste weg naar een aantoonbare, veilige baseline voor de IT-componenten in uw OT-omgeving, mits u ze eerst test, afstemt met de leverancier en afwijkingen bewust vastlegt.