A lo largo de los años, he utilizado una serie de diferentes fuentes de orientación de configuración de seguridad para un espectro de sistemas que incluyen, por ejemplo:
Dado que hay tantas fuentes diferentes, en un intento de eliminar el espacio de opciones, ¿tienen sentido las siguientes reglas?
-
Primero, siga las instrucciones del gobierno;
-
En segundo lugar, en ausencia de instrucciones del gobierno, siga las recomendaciones del fabricante;
-
Tercero, en ausencia de una recomendación del fabricante, siga la recomendación de las mejores prácticas (por ejemplo, CIS).
Pero dado que varias autoridades de mejores prácticas brindan consejos alternativos para el mismo sistema, ¿existen criterios para preferir una autoridad de mejores prácticas sobre otras (por ejemplo, CIS o Stig)?
PS No puedo calcular si la función de Aseguramiento de la información de la NSA sigue brindando este tipo de orientación, ¿siguen en el negocio de hacer esto?