Chapter
Tabell 2.2 Beskytte (PR)

Beskytte (PR)
Kategori	Underkategori	Referanse
Identitetsstyring, autentisering og tilgangskontroll (PR.AC): Tilgang til fysiske og logiske eiendeler og tilhørende fasiliteter er begrenset til autoriserte brukere, prosesser og enheter, og administreres i samsvar med den vurderte risikoen for uautorisert tilgang til autoriserte aktiviteter og transaksjoner.	PR.AC-1: Identiteter og legitimasjon utstedes, administreres, verifiseres, trekkes tilbake og revideres for autoriserte enheter, brukere og prosesse	CIS CSC 1, 5, 15, 16
		COBIT 5 DSS05.04, DSS06.03
		ISA 62443-2-1:2009 4.3.3.5.1
		ISA 62443-3-3:2013 SR 1.1, SR 1.2, SR 1.3, SR 1.4, SR 1.5, SR 1.7, SR 1.8, SR 1.9
		ISO/IEC 27001:2013 A.9.2.1, A.9.2.2, A.9.2.3, A.9.2.4, A.9.2.6, A.9.3.1, A.9.4.2, A.9.4.3
		NIST SP 800-53 Rev. 4 AC-1, AC-2, IA-1, IA-2, IA-3, IA-4, IA-5, IA-6, IA-7, IA-8, IA-9, IA-10, IA-11
	PR.AC-2: Fysisk tilgang til eiendeler administreres og beskyttes	COBIT 5 DSS01.04, DSS05.05
		ISA 62443-2-1:2009 4.3.3.3.2, 4.3.3.3.8
		ISO/IEC 27001:2013 A.11.1.1, A.11.1.2, A.11.1.3, A.11.1.4, A.11.1.5, A.11.1.6, A.11.2.1, A.11.2.3, A.11.2.5, A.11.2.6, A.11.2.7, A.11.2.8
		NIST SP 800-53 Rev. 4 PE-2, PE-3, PE-4, PE-5, PE-6, PE-8
	PR.AC-3: Fjerntilgang administreres	CIS CSC 12
		COBIT 5 APO13.01, DSS01.04, DSS05.03
		ISA 62443-2-1:2009 4.3.3.6.6
		ISA 62443-3-3:2013 SR 1.13, SR 2.6
		ISO/IEC 27001:2013 A.6.2.1, A.6.2.2, A.11.2.6, A.13.1.1, A.13.2.1
		NIST SP 800-53 Rev. 4 AC-1, AC-17, AC-19, AC-20, SC-15
	PR.AC-4: Tilgangstillatelser og autorisasjoner administreres, og inkluderer prinsippene om minste privilegium og oppgavedeling	CIS CSC 3, 5, 12, 14, 15, 16, 18
		COBIT 5 DSS05.04
		ISA 62443-2-1:2009 4.3.3.7.3
		ISA 62443-3-3:2013 SR 2.1
		ISO/IEC 27001:2013 A.6.1.2, A.9.1.2, A.9.2.3, A.9.4.1, A.9.4.4, A.9.4.5
		NIST SP 800-53 Rev. 4 AC-1, AC-2, AC-3, AC-5, AC-6, AC-14, AC-16, AC-24
	PR.AC-5: Nettverksintegritet er beskyttet (f.eks. nettverkssegregering, nettverkssegmentering)	CIS CSC 9, 14, 15, 18
		COBIT 5 DSS01.05, DSS05.02
		ISA 62443-2-1:2009 4.3.3.4
		ISA 62443-3-3:2013 SR 3.1, SR 3.8
		ISO/IEC 27001:2013 A.13.1.1, A.13.1.3, A.13.2.1, A.14.1.2, A.14.1.3
		NIST SP 800-53 Rev. 4 AC-4, AC-10, SC-7
	PR.AC-6: Identiteter er bevist og bundet til legitimasjon og hevdet i interaksjoner	CIS CSC, 16
		COBIT 5 DSS05.04, DSS05.05, DSS05.07, DSS06.03
		ISA 62443-2-1:2009 4.3.3.2.2, 4.3.3.5.2, 4.3.3.7.2, 4.3.3.7.4
		ISA 62443-3-3:2013 SR 1.1, SR 1.2, SR 1.4, SR 1.5, SR 1.9, SR 2.1
		ISO/IEC 27001:2013, A.7.1.1, A.9.2.1
		NIST SP 800-53 Rev. 4 AC-1, AC-2, AC-3, AC-16, AC-19, AC-24, IA-1, IA-2, IA-4, IA-5, IA-8, PE-2, PS-3
	PR.AC-7: Brukere, enheter og andre eiendeler er autentisert (f.eks. enkeltfaktor, multifaktor) i forhold til risikoen ved transaksjonen (f.eks. enkeltpersoners sikkerhets- og personvernrisiko og andre organisatoriske risikoer)	CIS CSC 1, 12, 15, 16
		COBIT 5 DSS05.04, DSS05.10, DSS06.10
		ISA 62443-2-1:2009 4.3.3.6.1, 4.3.3.6.2, 4.3.3.6.3, 4.3.3.6.4, 4.3.3.6.5, 4.3.3.6.6, 4.3.3.6.7, 4.3.3.6.8, 4.3.3.6.9
		ISA 62443-3-3:2013 SR 1.1, SR 1.2, SR 1.5, SR 1.7, SR 1.8, SR 1.9, SR 1.10
		ISO/IEC 27001:2013 A.9.2.1, A.9.2.4, A.9.3.1, A.9.4.2, A.9.4.3, A.18.1.4
		NIST SP 800-53 Rev. 4 AC-7, AC-8, AC-9, AC-11, AC-12, AC-14, IA-1, IA-2, IA-3, IA-4, IA-5, IA-8, IA-9, IA-10, IA-11
Bevissthet og opplæring (PR.AT): Organisasjonens personell og partnere får opplæring om cybersikkerhetsbevissthet og er opplært til å utføre sine cybersikkerhetsrelaterte oppgaver og ansvar i samsvar med relaterte retningslinjer, prosedyrer og avtaler	PR.AT-1: Alle brukere er informert og opplært	CIS CSC 17, 18
		COBIT 5 APO07.03, BAI05.07
		ISA 62443-2-1:2009 4.3.2.4.2
		ISO/IEC 27001:2013 A.7.2.2, A.12.2.1
		NIST SP 800-53 Rev. 4 AT-2, PM-13
	PR.AT-2: Privilegerte brukere forstår deres roller og ansvar	CIS CSC 5, 17, 18
		COBIT 5 APO07.02, DSS05.04, DSS06.03
		ISA 62443-2-1:2009 4.3.2.4.2, 4.3.2.4.3
		ISO/IEC 27001:2013 A.6.1.1, A.7.2.2
		NIST SP 800-53 Rev. 4 AT-3, PM-13
	PR.AT-3: Tredjepartsinteressenter (f.eks.leverandører, kunder, partnere) forstår deres roller og ansvar	CIS CSC 17
		COBIT 5 APO07.03, APO07.06, APO10.04, APO10.05
		ISA 62443-2-1:2009 4.3.2.4.2
		ISO/IEC 27001:2013 A.6.1.1, A.7.2.1, A.7.2.2
		NIST SP 800-53 Rev. 4 PS-7, SA-9, SA-16
	PR.AT-4: Senior ledere forstår sine roller og ansvar	CIS CSC 17, 19
		COBIT 5 EDM01.01, APO01.02, APO07.03
		ISA 62443-2-1:2009 4.3.2.4.2
		ISO/IEC 27001:2013 A.6.1.1, A.7.2.2
		NIST SP 800-53 Rev. 4 AT-3, PM-13
	PR.AT-5: Fysisk og cybersikkerhetspersonell forstår sine roller og ansvar	CIS CSC 17
		COBIT 5 APO07.03
		ISA 62443-2-1:2009 4.3.2.4.2
		ISO/IEC 27001:2013 A.6.1.1, A.7.2.2
		NIST SP 800-53 Rev. 4 AT-3, IR-2, PM-13
Datasikkerhet (PR.DS): Informasjon og poster (data) administreres i samsvar med organisasjonens risikostrategi for å beskytte konfidensialitet, integritet og tilgjengelighet til informasjon	PR.DS-1: Data-at-rest er beskyttet	CIS CSC 13, 14
		COBIT 5 APO01.06, BAI02.01, BAI06.01, DSS04.07, DSS05.03, DSS06.06
		ISA 62443-3-3:2013 SR 3.4, SR 4.1
		ISO/IEC 27001:2013 A.8.2.3
		NIST SP 800-53 Rev. 4 MP-8, SC-12, SC-28
	PR.DS-2: Data-in-transit er beskyttet	CIS CSC 13, 14
		COBIT 5 APO01.06, DSS05.02, DSS06.06
		ISA 62443-3-3:2013 SR 3.1, SR 3.8, SR 4.1, SR 4.2
		ISO/IEC 27001:2013 A.8.2.3, A.13.1.1, A.13.2.1, A.13.2.3, A.14.1.2, A.14.1.3
		NIST SP 800-53 Rev. 4 SC-8, SC-11, SC-12
	PR.DS-3: Eiendeler administreres formelt gjennom fjerning, overføringer og disponering	CIS CSC 1
		COBIT 5 BAI09.03
		ISA 62443-2-1:2009 4.3.3.3.9, 4.3.4.4.1
		ISA 62443-3-3:2013 SR 4.2
		ISO/IEC 27001:2013 A.8.2.3, A.8.3.1, A.8.3.2, A.8.3.3, A.11.2.5, A.11.2.7
		NIST SP 800-53 Rev. 4 CM-8, MP-6, PE-16
	PR.DS-4: Tilstrekkelig kapasitet for å sikre at tilgjengeligheten opprettholdes	CIS CSC 1, 2, 13
		COBIT 5 APO13.01, BAI04.04
		ISA 62443-3-3:2013 SR 7.1, SR 7.2
		ISO/IEC 27001:2013 A.12.1.3, A.17.2.1
		NIST SP 800-53 Rev. 4 AU-4, CP-2, SC-5
	PR.DS-5: Beskyttelse mot datalekkasjer er implementert	CIS CSC 13
		COBIT 5 APO01.06, DSS05.04, DSS05.07, DSS06.02
		ISA 62443-3-3:2013 SR 5.2
		ISO/IEC 27001:2013 A.6.1.2, A.7.1.1, A.7.1.2, A.7.3.1, A.8.2.2, A.8.2.3, A.9.1.1, A.9.1.2, A.9.2.3, A.9.4.1, A.9.4.4, A.9.4.5, A.10.1.1, A.11.1.4, A.11.1.5, A.11.2.1, A.13.1.1, A.13.1.3, A.13.2.1, A.13.2.3, A.13.2.4, A.14.1.2, A.14.1.3
		NIST SP 800-53 Rev. 4 AC-4, AC-5, AC-6, PE-19, PS-3, PS-6, SC-7, SC-8, SC-13, SC-31, SI-4
	PR.DS-6: Integritetskontrollmekanismer brukes til å verifisere programvare, fastvare og informasjonsintegritet	CIS CSC 2, 3
		COBIT 5 APO01.06, BAI06.01, DSS06.02
		ISA 62443-3-3:2013 SR 3.1, SR 3.3, SR 3.4, SR 3.8
		ISO/IEC 27001:2013 A.12.2.1, A.12.5.1, A.14.1.2, A.14.1.3, A.14.2.4
		NIST SP 800-53 Rev. 4 SC-16, SI-7
	PR.DS-7: Utviklings- og testmiljøet(e) er atskilt fra produksjonsmiljøet	CIS CSC 18, 20
		COBIT 5 BAI03.08, BAI07.04
		ISO/IEC 27001:2013 A.12.1.4
		NIST SP 800-53 Rev. 4 CM-2
	PR.DS-8: Integritetskontrollmekanismer brukes til å verifisere maskinvareintegritet	COBIT 5 BAI03.05
		ISA 62443-2-1:2009 4.3.4.4.4
		ISO/IEC 27001:2013 A.11.2.4
		NIST SP 800-53 Rev. 4 SA-10, SI-7
Informasjonsbeskyttelsesprose sser og -prosedyrer (PR.IP): Sikkerhetspolicyer (som tar for seg formål, omfang, roller, ansvar, ledelsesforpliktelse og koordinering mellom organisasjonsenheter), prosesser og prosedyrer vedlikeholdes og brukes til å administrere beskyttelse av informasjonssystemer og eiendeler.	PR.IP-1: En grunnlinjekonfigurasjon av informasjonsteknologi/industrielle kontrollsystemer opprettes og vedlikeholdes med sikkerhetsprinsipper (f.eks. konseptet med minst funksjonalitet)	CIS CSC 3, 9, 11
		COBIT 5 BAI10.01, BAI10.02, BAI10.03, BAI10.05
		ISA 62443-2-1:2009 4.3.4.3.2, 4.3.4.3.3
		ISA 62443-3-3:2013 SR 7.6
		ISO/IEC 27001:2013 A.12.1.2, A.12.5.1, A.12.6.2, A.14.2.2, A.14.2.3, A.14.2.4
		NIST SP 800-53 Rev. 4 CM-2, CM-3, CM-4, CM-5, CM-6, CM-7, CM-9, SA-10
	PR.IP-2: En livssyklus for systemutvikling for å administrere systemer er implementert	CIS CSC 18
		COBIT 5 APO13.01, BAI03.01, BAI03.02, BAI03.03
		ISA 62443-2-1:2009 4.3.4.3.3
		ISO/IEC 27001:2013 A.6.1.5, A.14.1.1, A.14.2.1, A.14.2.5
		NIST SP 800-53 Rev. 4 PL-8, SA-3, SA-4, SA-8, SA-10, SA-11, SA-12, SA-15, SA-17, SI-12, SI-13, SI-14, SI-16, SI-17
	PR.IP-3: Kontrollprosesser for konfigurasjonsendringer er på plass	CIS CSC 3, 11
		COBIT 5 BAI01.06, BAI06.01
		ISA 62443-2-1:2009 4.3.4.3.2, 4.3.4.3.3
		ISA 62443-3-3:2013 SR 7.6
		ISO/IEC 27001:2013 A.12.1.2, A.12.5.1, A.12.6.2, A.14.2.2, A.14.2.3, A.14.2.4
		NIST SP 800-53 Rev. 4 CM-3, CM-4, SA-10
	PR.IP-4: Sikkerhetskopier av informasjon utføres, vedlikeholdes og testes	CIS CSC 10
		COBIT 5 APO13.01, DSS01.01, DSS04.07
		ISA 62443-2-1:2009 4.3.4.3.9
		ISA 62443-3-3:2013 SR 7.3, SR 7.4
		ISO/IEC 27001:2013 A.12.3.1, A.17.1.2, A.17.1.3, A.18.1.3
		NIST SP 800-53 Rev. 4 CP-4, CP-6, CP-9
	PR.IP-5: Retningslinjer og forskrifter vedrørende det fysiske driftsmiljøet for organisasjonsmidler er oppfylt	COBIT 5 DSS01.04, DSS05.05
		ISA 62443-2-1:2009 4.3.3.3.1 4.3.3.3.2, 4.3.3.3.3, 4.3.3.3.5, 4.3.3.3.6
		ISO/IEC 27001:2013 A.11.1.4, A.11.2.1, A.11.2.2, A.11.2.3
		NIST SP 800-53 Rev. 4 PE-10, PE-12, PE-13, PE-14, PE-15, PE-18
	PR.IP-6: Data blir destruert i henhold til retningslinjer	COBIT 5 BAI09.03, DSS05.06
		ISA 62443-2-1:2009 4.3.4.4.4
		ISA 62443-3-3:2013 SR 4.2
		ISO/IEC 27001:2013 A.8.2.3, A.8.3.1, A.8.3.2, A.11.2.7
		NIST SP 800-53 Rev. 4 MP-6
	PR.IP-7: Beskyttelsesprosesser er forbedret	COBIT 5 APO11.06, APO12.06, DSS04.05
		ISA 62443-2-1:2009 4.4.3.1, 4.4.3.2, 4.4.3.3, 4.4.3.4, 4.4.3.5, 4.4.3.6, 4.4.3.7, 4.4.3.8
		ISO/IEC 27001:2013 A.16.1.6, Clause 9, Clause 10
		NIST SP 800-53 Rev. 4 CA-2, CA-7, CP-2, IR-8, PL-2, PM-6
	PR.IP-8: Effektiviteten til beskyttelsesteknologier er delt	COBIT 5 BAI08.04, DSS03.04
		ISO/IEC 27001:2013 A.16.1.6
		NIST SP 800-53 Rev. 4 AC-21, CA-7, SI-4
	PR.IP-9: Responsplaner (Incident Response and Business Continuity) og gjenopprettingsplaner (Incident Recovery and Disaster Recovery) er på plass og administreres	CIS CSC 19
		COBIT 5 APO12.06, DSS04.03
		ISA 62443-2-1:2009 4.3.2.5.3, 4.3.4.5.1
		ISO/IEC 27001:2013 A.16.1.1, A.17.1.1, A.17.1.2, A.17.1.3
		NIST SP 800-53 Rev. 4 CP-2, CP-7, CP-12, CP-13, IR-7, IR-8, IR-9, PE-17
	PR.IP-10: Respons- og gjenopprettingsplaner testes	CIS CSC 19, 20
		COBIT 5 DSS04.04
		ISA 62443-2-1:2009 4.3.2.5.7, 4.3.4.5.11
		ISA 62443-3-3:2013 SR 3.3
		ISO/IEC 27001:2013 A.17.1.3
		NIST SP 800-53 Rev. 4 CP-4, IR-3, PM-14
	PR.IP-11: Cybersikkerhet er inkludert i personalpraksis (f.eks. deprovisjonering, personellscreening)	CIS CSC 5, 16
		COBIT 5 APO07.01, APO07.02, APO07.03, APO07.04, APO07.05
		ISA 62443-2-1:2009 4.3.3.2.1, 4.3.3.2.2, 4.3.3.2.3
		ISO/IEC 27001:2013 A.7.1.1, A.7.1.2, A.7.2.1, A.7.2.2, A.7.2.3, A.7.3.1, A.8.1.4
		NIST SP 800-53 Rev. 4 PS-1, PS-2, PS-3, PS-4, PS-5, PS-6, PS-7, PS-8, SA-21
	PR.IP-12: En sårbarhetsplan er utviklet og implementert	CIS CSC 4, 18, 20
		COBIT 5 BAI03.10, DSS05.01, DSS05.02
		ISO/IEC 27001:2013 A.12.6.1, A.14.2.3, A.16.1.3, A.18.2.2, A.18.2.3
		NIST SP 800-53 Rev. 4 RA-3, RA-5, SI-2
Vedlikehold (PR.MA): Vedlikehold og reparasjoner av industrielle kontroll- og informasjonssystemkomponenter utføres i samsvar med retningslinjer og prosedyrer.	PR.MA-1: Vedlikehold og reparasjon av organisatoriske eiendeler utføres og logges, med godkjente og kontrollerte verktøy	COBIT 5 BAI03.10, BAI09.02, BAI09.03, DSS01.05
		ISA 62443-2-1:2009 4.3.3.3.7
		ISO/IEC 27001:2013 A.11.1.2, A.11.2.4, A.11.2.5, A.11.2.6
		NIST SP 800-53 Rev. 4 MA-2, MA-3, MA-5, MA-6
	PR.MA-2: Fjernvedlikehold av organisasjonsressurser godkjennes, logges og utføres på en måte som forhindrer uautorisert tilgang	CIS CSC 3, 5
		COBIT 5 DSS05.04
		ISA 62443-2-1:2009 4.3.3.6.5, 4.3.3.6.6, 4.3.3.6.7, 4.3.3.6.8
		ISO/IEC 27001:2013 A.11.2.4, A.15.1.1, A.15.2.1
		NIST SP 800-53 Rev. 4 MA-4
Beskyttelsesteknologi (PR.PT): Tekniske sikkerhetsløsninger administreres for å sikre sikkerheten og motstandskraften til systemer og eiendeler, i samsvar med relaterte retningslinjer, prosedyrer og avtaler.	PR.PT-1: Revisjons-/loggposter bestemmes, dokumenteres, implementeres og gjennomgås i samsvar med retningslinjer	CIS CSC 1, 3, 5, 6, 14, 15, 16
		COBIT 5 APO11.04, BAI03.05, DSS05.04, DSS05.07, MEA02.01
		ISA 62443-2-1:2009 4.3.3.3.9, 4.3.3.5.8, 4.3.4.4.7, 4.4.2.1, 4.4.2.2, 4.4.2.4
		ISA 62443-3-3:2013 SR 2.8, SR 2.9, SR 2.10, SR 2.11, SR 2.12
		ISO/IEC 27001:2013 A.12.4.1, A.12.4.2, A.12.4.3, A.12.4.4, A.12.7.1
		NIST SP 800-53 Rev. 4 AU Family
	PR.PT-2: Flyttbare medier er beskyttet og bruken begrenset i henhold til retningslinjer	CIS CSC 8, 13
		COBIT 5 APO13.01, DSS05.02, DSS05.06
		ISA 62443-3-3:2013 SR 2.3
		ISO/IEC 27001:2013 A.8.2.1, A.8.2.2, A.8.2.3, A.8.3.1, A.8.3.3, A.11.2.9
		NIST SP 800-53 Rev. 4 MP-2, MP-3, MP-4, MP-5, MP-7, MP-8
	PR.PT-3: Prinsippet om minst mulig funksjonalitet er inkorporert ved å konfigurere systemer for å gi kun viktige funksjoner	CIS CSC 3, 11, 14
		COBIT 5 DSS05.02, DSS05.05, DSS06.06
		ISA 62443-2-1:2009 4.3.3.5.1, 4.3.3.5.2, 4.3.3.5.3, 4.3.3.5.4, 4.3.3.5.5, 4.3.3.5.6, 4.3.3.5.7, 4.3.3.5.8, 4.3.3.6.1, 4.3.3.6.2, 4.3.3.6.3, 4.3.3.6.4, 4.3.3.6.5, 4.3.3.6.6, 4.3.3.6.7, 4.3.3.6.8, 4.3.3.6.9, 4.3.3.7.1, 4.3.3.7.2, 4.3.3.7.3, 4.3.3.7.4
		ISA 62443-3-3:2013 SR 1.1, SR 1.2, SR 1.3, SR 1.4, SR 1.5, SR 1.6, SR 1.7, SR 1.8, SR 1.9, SR 1.10, SR 1.11, SR 1.12, SR 1.13, SR 2.1, SR 2.2, SR 2.3, SR 2.4, SR 2.5, SR 2.6, SR 2.7
		ISO/IEC 27001:2013 A.9.1.2
		NIST SP 800-53 Rev. 4 AC-3, CM-7
	PR.PT-4: Kommunikasjons- og kontrollnettverk er beskyttet	CIS CSC 8, 12, 15
		COBIT 5 DSS05.02, APO13.01
		ISA 62443-3-3:2013 SR 3.1, SR 3.5, SR 3.8, SR 4.1, SR 4.3, SR 5.1, SR 5.2, SR 5.3, SR 7.1, SR 7.6
		ISO/IEC 27001:2013 A.13.1.1, A.13.2.1, A.14.1.3
		NIST SP 800-53 Rev. 4 AC-4, AC-17, AC-18, CP-8, SC-7, SC-19, SC-20, SC-21, SC-22, SC-23, SC-24, SC-25, SC-29, SC-32, SC-36, SC-37, SC-38, SC-39, SC-40, SC-41, SC-43
	PR.PT-5: Mekanismer (f.eks. feilsikker, lastbalansering, hot swap) implementeres for å oppnå motstandskrav i normale og ugunstige situasjoner	COBIT 5 BAI04.01, BAI04.02, BAI04.03, BAI04.04, BAI04.05, DSS01.05
		ISA 62443-2-1:2009 4.3.2.5.2
		ISA 62443-3-3:2013 SR 7.1, SR 7.2
		ISO/IEC 27001:2013 A.17.1.2, A.17.2.1
		NIST SP 800-53 Rev. 4 CP-7, CP-8, CP-11, CP-13, PL-8, SA-14, SC-6