SANS Critical Security Control (CIS Controls) adalah kumpulan kontrol keamanan yang

direkomendasikan untuk melindungi organisasi dari berbagai ancaman keamanan siber. Kontrol-
kontrol ini dikelompokkan ke dalam lima domain utama, yaitu:

 Identity and Access Management (IAM):

o Domain ini mencakup kontrol untuk mengelola identitas dan akses ke sistem dan
data organisasi.
 Device Security:
o Domain ini mencakup kontrol untuk mengamankan perangkat fisik dan virtual
yang digunakan oleh organisasi.
 Network Security:
o Domain ini mencakup kontrol untuk mengamankan jaringan organisasi dari
serangan.
 Application Security:
o Domain ini mencakup kontrol untuk mengamankan aplikasi dan perangkat lunak
yang digunakan oleh organisasi.
 Data Security:
o Domain ini mencakup kontrol untuk mengamankan data organisasi.

Berikut adalah penjelasan fungsi dari setiap kontrol keamanan yang ada pada SANS
Critical Security Control:

Domain Identity and Access Management (IAM)

1. Implement a least privilege access model:

Kontrol ini memastikan bahwa pengguna hanya memiliki akses ke sumber daya yang
mereka butuhkan untuk melakukan tugas mereka.

2. Restrict administrative privileges:

Kontrol ini membatasi akses ke akun administratif, sehingga hanya pengguna yang
berwenang yang dapat mengaksesnya.

3. Use multi-factor authentication (MFA):

Kontrol ini menambahkan lapisan keamanan tambahan dengan meminta pengguna untuk
memverifikasi identitas mereka dengan menggunakan metode lain selain kata sandi, seperti PIN
atau kode one-time.

4. Implement a robust password policy:

Kontrol ini menetapkan persyaratan yang kuat untuk kata sandi pengguna, seperti
panjang minimal, kompleksitas, dan frekuensi perubahan.
5. Implement a centralized identity management system:

Kontrol ini memungkinkan organisasi untuk mengelola identitas pengguna secara

terpusat, sehingga mempermudah untuk melacak dan mengelola akses.

Domain Device Security

1. Implement a patch management system:

Kontrol ini memastikan bahwa perangkat organisasi selalu diperbarui dengan patch
keamanan terbaru.

2. Implement a security configuration management (SCM) system:

Kontrol ini memungkinkan organisasi untuk mengelola konfigurasi perangkat secara

terpusat, sehingga mempermudah untuk menerapkan dan menjaga konfigurasi yang aman.

3. Implement host-based intrusion detection/prevention systems (HIDS/IPS):

Kontrol ini mendeteksi dan mencegah serangan pada perangkat organisasi.

4. Implement application whitelisting:

Kontrol ini hanya mengizinkan aplikasi yang disetujui untuk berjalan di perangkat
organisasi.

5. Implement data loss prevention (DLP):

Kontrol ini membantu mencegah kebocoran data dari perangkat organisasi.

Domain Network Security

1. Implement a firewall:

Kontrol ini melindungi jaringan organisasi dari serangan dari luar.

2. Implement intrusion detection/prevention systems (IDS/IPS):

Kontrol ini mendeteksi dan mencegah serangan pada jaringan organisasi.

3. Implement network segmentation:

Kontrol ini membagi jaringan organisasi menjadi segmen-segmen yang lebih kecil,
sehingga memperlambat penyebaran serangan.

4. Implement secure remote access:

Kontrol ini menyediakan akses jarak jauh yang aman ke jaringan organisasi.

5. Implement a web application firewall (WAF):

Kontrol ini melindungi aplikasi web organisasi dari serangan.

Domain Application Security

1. Implement secure coding practices:

Kontrol ini memastikan bahwa aplikasi organisasi ditulis dengan aman.

2. Implement application security testing (AST):

Kontrol ini menguji aplikasi organisasi untuk menemukan kerentanan keamanan.

3. Implement a vulnerability management program:

Kontrol ini mengidentifikasi dan mengelola kerentanan keamanan di aplikasi organisasi.

4. Implement a software configuration management (SCM) system:

Kontrol ini memungkinkan organisasi untuk mengelola konfigurasi aplikasi secara

terpusat, sehingga mempermudah untuk menerapkan dan menjaga konfigurasi yang aman.

5. Implement a DevSecOps program:

Kontrol ini menggabungkan keamanan ke dalam proses pengembangan dan operasi

aplikasi.
Domain Data Security

1. Implement data classification:

Kontrol ini mengklasifikasikan data organisasi berdasarkan sensitivitasnya.

2. Implement data encryption:

Kontrol ini mengenkripsi data organisasi untuk melindunginya dari akses tidak sah.

3. Implement data backup and recovery:

Kontrol ini memastikan bahwa organisasi dapat memulihkan datanya jika terjadi
bencana.

4. Implement a data loss prevention (DLP):

Kontrol ini membantu mencegah kebocoran data dari organisasi.

5. Implement a data retention policy:

Kontrol ini menetapkan berapa lama data organisasi harus disimpan.

Implementasi SANS Critical Security Control secara menyeluruh dapat membantu

organisasi untuk meningkatkan keamanan sibernya dan melindungi aset berharganya dari
berbagai ancaman.