Las necesarias hacen funcionar el sitio. Las demás miden qué páginas ayudan y qué anuncios traen a quien necesita a DM11. Tú eliges, y puedes revisarlo desde el pie de página.
CIS CONTROLS
Los controles están organizados por lo que suele detener un ataque real primero, y no por tema ni por lo que luce en una presentación. Es la referencia más directa para quien necesita decidir dónde va el próximo peso, y es la base que ISO 27001, SOC 2 y PCI DSS reaprovechan cuando llegan después.
Los CIS Controls son la referencia que el mercado usa para medir el estado real de la seguridad de una empresa, mantenida por el Center for Internet Security. DM11 mide tu estado actual, implanta en el orden que reduce riesgo más rápido y archiva la evidencia. Si el destino es un certificado, esa evidencia es su comienzo, y la página de la norma elegida explica el resto del camino.
Quién conduce la implantación
ISO/IEC 27001 Lead Auditor certificado por BSI
CISA, auditoría de sistemas de información
Gestión de vulnerabilidades con Qualys Certified Specialist
17 años de gobernanza, riesgos y cumplimiento
QUÉ ES
Los CIS Controls son un conjunto de controles de seguridad publicado por el Center for Internet Security, hoy en la versión 8.1, de junio de 2024. Son 18 controles y 153 salvaguardas, y el rasgo que los separa de todo lo demás es el orden: no están listados por tema, están listados por lo que suele detener un ataque real primero.
CIS separa las salvaguardas en tres grupos de implantación. El IG1 tiene 56 y se define como higiene cibernética esencial: el mínimo que cualquier empresa debería tener contra los ataques más comunes. El IG2 suma 74 para operaciones más complejas, y el IG3 otras 23 para quien enfrenta ataques sofisticados. Empezar por el IG1 vale para empresas de cualquier tamaño.
La revisión de 2024 incluyó la función de gobernanza y alineó la estructura al NIST CSF 2.0. El cambio reconoce algo que quien implanta ya sabía: una salvaguarda sin dueño no sobrevive al tercer mes. Antes de eso, el framework decía qué hacer sin decir quién responde por mantener aquello funcionando.
Conviene alinear la expectativa temprano, porque cambia la planificación. Lo que el trabajo produce es un retrato medido de tu estado, con porcentaje de cumplimiento por control y evidencia detrás. Existe una credencial llamada CIS Controls Accreditation, y se aplica al prestador de servicio que implanta o audita, no a la empresa medida. Cuando tu cliente necesita un documento emitido por un tercero, quien responde es ISO 27001 o SOC 2, y el trabajo hecho aquí entra entero en ese proyecto.
Las salvaguardas de CIS aparecen, con otros nombres, dentro de ISO 27001, SOC 2 y PCI DSS. Inventario de activos, control de acceso, registro, respaldo probado y gestión de vulnerabilidades son exigidos por las tres. La evidencia producida aquí es la misma que el auditor va a pedir después, y por eso CIS suele ser el primer año de un proyecto de certificación.
QUIÉN SUELE NECESITARLO
Ninguna de ellas involucra a alguien exigiendo un certificado. Cuando hay exigencia de certificado, el camino es otro, y la página de la norma pedida explica cuál.
La empresa creció, la TI acompañó como pudo y nadie se detuvo nunca a mirar el conjunto. Todavía no hay exigencia externa, y sí la percepción correcta de que la suerte no es una estrategia. CIS responde la pregunta que esa empresa realmente hace, que es por dónde empezar, y no qué norma seguir.
Aquí el orden de prioridad es el producto. Con recursos limitados, la diferencia entre gastar en las 56 salvaguardas del IG1 y gastar en la herramienta que un proveedor presentó la semana pasada es grande, y solo aparece cuando alguien mide antes de comprar.
Una empresa muy lejos de los requisitos no debería abrir un proyecto de certificación el primer día: la auditoría cuesta lo mismo estando cerca o lejos. Implantar CIS antes acorta la distancia, con evidencia que la auditoría aceptará después.
HISTORIAS
Cambiamos los nombres de los clientes con el mismo sigilo que protegerá a tu empresa después. Los nombres cambian, el patrón de los problemas se repite. Cuando el cliente lo autoriza, damos referencias con nombre en una conversación.
Industria
Cada área tenía una lista de equipos y ninguna coincidía con otra. Había servidores encendidos que nadie sabía para qué servían, y máquinas de planta con sistemas operativos fuera de soporte que no aparecían en ninguna lista, porque de ellas se ocupaba mantenimiento y no la TI.
Empezamos por el principio, que en los CIS Controls es literalmente el control número uno: inventario de activos y de software. Levantamos lo que existe de hecho, con escaneo y con conversación, y definimos dueño para cada ítem. Recién después discutimos cualquier protección.
El inventario encontró bastante más equipamiento del que mostraba la lista oficial, y la mayor parte de la diferencia estaba fuera de la TI. Las dos salvaguardas más baratas de todo el proyecto fueron apagar lo que ya no servía y aislar lo que no se podía actualizar.
Comercio minorista y electrónico
La rutina de copia funcionaba sin fallar desde hacía años, con informe en verde cada mañana. Nadie había restaurado nunca nada en un ambiente de prueba, y la percepción de la dirección era que el riesgo de indisponibilidad estaba cubierto porque el informe lo decía.
Probamos la restauración de verdad, con reloj, que es lo que pide la salvaguarda y casi nadie hace. Descubrimos que una base crítica se copiaba con el servicio en ejecución, sin consistencia, y que la restauración completa llevaría mucho más tiempo del que la operación podía absorber.
El informe en verde era exacto e inútil: la copia existía y no volvía. Corregido el método y cronometrada la restauración, la empresa supo cuánto tiempo estaría parada, que era el dato que la dirección necesitaba para decidir cuánto invertir.
Servicios profesionales
Por practicidad, casi todos los usuarios tenían privilegio administrativo en su propia máquina, y tres personas de TI usaban la misma cuenta administrativa de dominio. No había registro de quién hacía qué con ella, así que cualquier investigación de incidente terminaría en empate.
Separamos la cuenta de uso diario de la administrativa, individualizamos los accesos privilegiados y encendimos el registro. Retiramos el privilegio local por olas, empezando por las áreas de menor fricción, con proceso definido para las excepciones legítimas en lugar de excepciones informales.
La resistencia esperada no llegó: las excepciones reales eran pocas y fueron atendidas. La ganancia mayor fue el registro, porque a partir de ahí pasó a existir respuesta para la pregunta de quién hizo qué, que antes no tenía respuesta posible.
AUTODIAGNÓSTICO
Veintiuna preguntas sobre lo que miden los CIS Controls. El resultado aparece completo en la pantalla, con la nota de cada frente y el grupo de implantación que pide tu perfil. No existe certificado de CIS Controls, ni aquí ni en ningún otro lado, y no pedimos correo electrónico para mostrar el resultado.
La lectura de cada área, en las tres franjas de resultado. Es el mismo texto que llega por correo a quien se identifica, publicado aquí para quien quiere entender qué mide la nota antes de responder.
Menos de 50
Una nota baja aquí significa que las otras notas de este diagnóstico valen menos de lo que parecen: respondiste sobre un entorno cuya extensión nadie confirmó. Lo que suele faltar no es una herramienta, es la reconciliación entre listas que ya existen en lugares distintos, la de la TI, la de finanzas y la de compras, porque ninguna de ellas por sí sola está correcta. El próximo paso cabe en dos semanas: un escaneo de red, una pasada por el resumen de la tarjeta corporativa en busca de suscripciones de nube, y una columna de dueño al lado de cada ítem. Recién después vale discutir la compra de protección, porque toda protección comprada ahora va a cubrir lo que ya conoces.
De 50 a 79
En este rango existe una lista, y envejece más rápido de lo que alguien logra actualizarla. El síntoma típico es el ítem que entró por fuera de la TI, la notebook de quien trabaja desde casa, el equipo que compró mantenimiento, el servicio en la nube contratado por un área, y es justamente ese conjunto el que nadie está actualizando ni configurando. Lo que cierra la brecha es atar la lista a un disparador automático, la entrada a la red o una compra aprobada, en lugar de depender de que alguien avise. En la configuración, el paso barato es escribir el estándar que los técnicos ya repiten de memoria, porque la memoria no sobrevive a las vacaciones ni al cambio de proveedor.
80 o más
Con el inventario en pie, el riesgo cambia de lugar: pasa a ser el ítem que entró después de la última revisión y el estándar de configuración que existe en el papel y nunca se contrasta con las máquinas reales. Vale medir algo que casi nadie mide, la diferencia entre lo que dice la lista y lo que encuentra el escaneo, y seguir ese número mes a mes. Si la diferencia crece, el proceso está fallando en la entrada, y ahí es donde se corrige, no en la lista. Vale también revisar si la nube se inventaría con el mismo cuidado que la red, porque el crecimiento silencioso hoy viene casi todo de ahí.
Menos de 50
Esta es la nota que más aparece en incidentes reales. Un entorno sin segundo factor y sin separación de cuenta administrativa no exige talento de quien ataca: basta una contraseña filtrada en otro servicio. Lo que suele faltar no es la decisión técnica, que es simple, es alguien con mandato para sostener la fricción de las primeras semanas, porque quitar privilegios incomoda a gente que trabaja así desde hace años. El próximo paso, en el orden que genera menos pelea: segundo factor en el correo y en el acceso remoto, después cuenta administrativa individual para el equipo de TI, y recién entonces el retiro del privilegio local, por olas, empezando por las áreas de menor fricción. Las cuentas de servicio y las de proveedor entran en ese barrido y suelen ser las olvidadas.
De 50 a 79
Parcial aquí casi siempre quiere decir lo mismo: el segundo factor se activó donde era fácil, y las excepciones nunca se listaron. La excepción que nadie escribió es la que sigue abierta un año después, y es por ahí que se entra. El trabajo es convertir la excepción informal en una excepción con dueño, motivo y fecha de revisión, lo que además hace visible cuántas quedan. Del lado de las cuentas, el ítem que suele faltar por completo es la revisión de las que no son de personas: una integración antigua, un robot de informes y un usuario creado por un proveedor que ya se fue.
80 o más
En este rango el control existe y lo que decide es el mantenimiento. Tres cosas se degradan sin aviso: la cuenta de servicio creada de manera provisoria, el acceso del proveedor que sigue activo después del fin del contrato y el administrador que recibió privilegio para resolver un incidente y se quedó con él. Una revisión trimestral que compare la lista de cuentas privilegiadas con la lista de quién las necesita hoy resuelve las tres, y lleva menos tiempo del que parece. Registra quién revisó y qué se quitó: ese registro es la evidencia si después vas hacia una certificación.
Menos de 50
Lo que una nota baja aquí significa, en términos prácticos, es que la empresa no sabe cuánto tiempo estaría parada ni sabe si volvería entera. Un respaldo que nunca se restauró es una hipótesis, y una hipótesis solo se prueba el peor día posible. Lo que suele faltar no es la copia, es la prueba y el aislamiento: una copia accesible con las mismas credenciales de administración de la red se borra junto con todo lo demás el día del secuestro de datos. El próximo paso es elegir un sistema que importe, restaurarlo en un ambiente separado, cronometrar y anotar el número. Ese número es la información que la dirección necesita para decidir cuánto invertir, y ningún informe en verde de la rutina lo entrega.
De 50 a 79
Parcial aquí suele ser uno de dos casos, y cada uno pide cosas distintas. Si la copia ya volvió alguna vez, pero por causa de un incidente y sin registro, falta convertir el accidente en rutina con fecha y tiempo anotado. Si la copia existe en otro servidor o en la nube con las mismas credenciales de red, falta el aislamiento, y ese es el ítem que más cambia el desenlace de un secuestro de datos. Del lado de los datos sensibles, el patrón frecuente es la carpeta compartida que toda la empresa ve desde hace años: relevar quién accede hoy suele ser más rápido, y más útil, que intentar clasificar todo de una vez.
80 o más
Con la restauración probada y la copia aislada, lo que queda es menos evidente y más caro de descubrir tarde: el alcance. Suele faltar en la lista de restauración algo que nadie clasificó como sistema, la base del ERP contratado en la nube, el repositorio de código, el buzón de correo, la configuración del propio entorno. Vale hacer el ejercicio al revés una vez: elegir un escenario de pérdida total de un servicio y listar qué haría falta para volver, en lugar de revisar qué ya está en el respaldo. Y vale revisar quién accede a los datos sensibles con la misma frecuencia con que se prueba la restauración.
Menos de 50
Una nota baja aquí significa que el ataque común no necesita nada sofisticado: usa una falla conocida, con corrección publicada, en un programa que todo el mundo tiene. Lo que suele faltar primero no es el escaneo, es la actualización automática de lo que ya se puede automatizar, sistema operativo, navegador y lector de PDF, que por sí sola saca de la mesa la mayor parte del riesgo de este frente. Después viene la lista de lo que corre sin recibir más actualizaciones del fabricante, que casi nunca existe y casi siempre incluye equipamiento de red antiguo o un sistema que controla maquinaria. El próximo paso concreto es activar la actualización automática donde no hay motivo para no hacerlo, y escribir el motivo donde lo haya.
De 50 a 79
Parcial aquí casi siempre quiere decir que se encuentra y no se cierra. Encontrar una falla es la parte fácil y barata; el costo real está en perseguir la fila hasta que el ítem desaparezca del informe siguiente, y eso es lo que separa una reducción de riesgo de un informe archivado. Lo que suele faltar es un plazo por gravedad acordado con quien opera, y alguien con la tarea explícita de reclamarlo. Si la TI está tercerizada, ese acuerdo necesita estar en el contrato: sin él, la corrección compite con el ticket del día y pierde siempre.
80 o más
En este rango el proceso funciona y el punto ciego suele ser lo que queda fuera del escaneo. El equipamiento de red, el sistema de un tercero alojado afuera, la aplicación que solo toca el proveedor y el entorno de nube rara vez entran en el mismo ciclo que el parque de máquinas, y el informe queda bonito por omisión. Revisa la cobertura antes de festejar el porcentaje: cuántos activos de tu inventario aparecen en el último escaneo, y cuáles no aparecen y por qué. Para lo que está fuera de soporte, lo que sostiene la nota es la decisión registrada de sustituir, aislar o aceptar con plazo, y no la lista en sí.
Menos de 50
Son dos preguntas, así que la nota es gruesa, y aun así señala por dónde entra en la práctica el ataque común: el correo y la estación de trabajo. Lo que suele faltar no cuesta una licencia nueva. Los registros SPF, DKIM y DMARC son configuración de dominio, y el DMARC en modo de observación no impide que alguien escriba haciéndose pasar por tu empresa, solo lo cuenta después. Del lado de la estación, lo que cambia el juego es tener un punto central que muestre lo que se bloqueó, con una persona definida para mirarlo: el valor no está en el bloqueo aislado, está en notar que una máquina bloquea lo mismo todas las semanas.
De 50 a 79
Con apenas dos preguntas, una respuesta parcial ya baja la nota, así que vale leer cuál de las dos quedó atrás. Si fue el correo, el caso típico es DMARC publicado solo observando, lo que da sensación de protección sin protección: la ruta es subir a cuarentena y después a rechazo, midiendo qué se rompe en cada paso. Si fue la estación, el caso típico es protección instalada en todas las máquinas, sin consola y sin destinatario para la alerta, lo que produce registros que nadie lee. En cualquiera de los dos, el próximo paso es nombrar quién recibe la alerta y qué hace esa persona con ella.
80 o más
El filtro y los registros en su lugar cubren la estafa genérica, y es honesto decir que no cubren la dirigida: un dominio parecido al tuyo, una cuenta legítima de proveedor comprometida y un pedido de cambio de cuenta bancaria pasan por cualquier filtro. En este rango la ganancia viene de dos cosas que están fuera de la herramienta: un camino fácil para que la persona avise cuando sospecha, y una regla de negocio que exija confirmación por otro canal antes de cambiar datos bancarios. Vale también probar si tu protección de estación reacciona a técnicas reales de ataque, y no solo a archivos maliciosos conocidos, porque ahí es donde aparece la diferencia entre productos.
Menos de 50
La consecuencia de una nota baja aquí solo aparece después del incidente, y ahí es definitiva: sin registros guardados fuera de la máquina, no hay cómo saber qué se accedió, por dónde entraron y cuándo empezó. Eso cambia el costo del incidente, porque sin esa respuesta la empresa se ve obligada a asumir el peor escenario frente al cliente, a la aseguradora y a la autoridad. Lo que falta suele ser más simple de lo que se imagina: enviar los registros de los sistemas principales fuera de ellos, definir por cuánto tiempo guardarlos y sincronizar el reloj de las máquinas, sin lo cual nada queda en orden. Del lado del plan, el primer paso es una página con quién activa a quién, con el teléfono del proveedor y del área legal adentro.
De 50 a 79
Parcial aquí suele ser un plan escrito que nunca se ejercitó, o registros que existen en cada máquina y desaparecen junto con ella. Un plan nunca ejercitado falla en los detalles que solo el ejercicio revela: el contacto desactualizado, la persona que estaba de vacaciones, la decisión que nadie tenía atribución para tomar a las dos de la mañana. El ejercicio vale más que cualquier mejora en el texto del plan, y una conversación de dos horas alrededor de un escenario ya produce la mayor parte del aprendizaje. En el registro, lo que falta en general es el plazo de guarda: un registro que gira en siete días no sirve, porque el intervalo entre la entrada y el momento en que se nota suele ser bastante mayor que eso.
80 o más
Registro centralizado y plan ejercitado dejan a la empresa en condiciones de responder. Lo que falta en este rango es el encadenamiento entre los dos: alguien necesita mirar el registro antes de que el incidente sea obvio. Vale definir tres o cuatro situaciones que generen alerta, con destinatario y plazo de respuesta acordados, en lugar de guardar todo a la espera de una investigación futura. Revisa también si el ejercicio más reciente cambió algo de hecho, un contacto, un guion, un acceso: un ejercicio que no cambia nada suele haber sido conducido para confirmar el plan, y no para probarlo.
Menos de 50
Las dos preguntas de este dominio tratan de quienes están fuera de tu control técnico, y por eso una nota baja aquí no se resuelve con una herramienta. Del lado de las personas, lo que suele faltar es continuidad: un video en la inducción y nada después no cambia el comportamiento, y sin registro de participación no hay cómo saber quién quedó afuera. Del lado de los proveedores, el paso inicial es la lista de quién accede a tus sistemas, que casi nunca existe hecha y suele sorprender por su tamaño. Quien cuida tu TI normalmente tiene el acceso más amplio de la casa, y eso no es una acusación: es el diseño natural del servicio que presta, y necesita estar escrito en algún lugar.
De 50 a 79
Parcial aquí suele significar contrato genérico con acceso compartido del lado del proveedor, o capacitación que ocurre sin medición del lado de las personas. En el proveedor, tres ítems resuelven la mayor parte: acceso nominal en lugar de cuenta compartida, plazo de vigencia que obligue a renovar y obligación contractual de avisar cuando sufra un incidente, que es la cláusula más olvidada de todas. En la capacitación, lo que cambia el resultado es usar ejemplos de tu propio sector y medir antes y después, porque sin medición no hay cómo saber si el programa sirve para algo. Ninguno de los dos frentes exige cambiar de proveedor ni contratar un programa caro.
80 o más
En este rango lo que sostiene la nota es la revisión, y suele caer primero del lado del proveedor: un contrato firmado hace tres años con una cláusula que nadie releyó, y un acceso concedido para un proyecto que ya terminó. La salida de un proveedor es la prueba equivalente a la desvinculación de una persona, y es el hallazgo silencioso más común cuando alguien finalmente revisa. Del lado de las personas, el próximo nivel no es más capacitación, es medir el comportamiento en una situación real. Y vale tratar a quien cae como alguien que necesita apoyo, y no como culpable, porque un programa punitivo hace que la persona esconda el clic en lugar de avisar, que es lo opuesto de lo que necesitas.
CÓMO LO CONDUCIMOS
La medición vale por lo que cuesta en honestidad. Evaluar una salvaguarda aquí es binario, cumple o no cumple, con evidencia adjunta, porque una nota subjetiva sube sola y convierte el informe en un documento que agrada y no sirve para decidir nada.
Los dos primeros controles son inventario de activos y de software, y el orden no es accidental: no se protege lo que no se sabe que existe. Relevamos equipos, sistemas, servicios en la nube y accesos de terceros, con dueño definido para cada ítem.
Inventario de activos y de software, con dueño por ítem
Servicios en la nube y accesos de terceros mapeados
Lista de lo que está fuera de soporte o sin dueño
Grupo de implantación objetivo acordado con la dirección
Hito de entregaInventario cerrado y reconciliado con lo que la TI tenía registrado.
Evaluamos salvaguarda por salvaguarda, empezando por las 56 del IG1, con evidencia exigida para cada respuesta positiva. El resultado es un número, y el número existe para moverse después, no para adornar una presentación.
Medición por salvaguarda, con evidencia adjunta
Porcentaje de cumplimiento por control y por grupo
Brechas ordenadas por riesgo y por esfuerzo
Estimación de lo rápido y barato, separado de lo que exige inversión
Hito de entregaEstado actual medido y aprobado por la dirección, sin respuesta positiva sin evidencia.
Implantamos con tu equipo, siguiendo el orden que produjo la medición y no el orden de la numeración. Cada salvaguarda recibe responsable, fecha y la definición de qué servirá de prueba de que funciona, que es lo que la diferencia de una tarea marcada como concluida.
Plan con responsable y fecha por salvaguarda
Implantación junto a tu equipo o a tu proveedor de TI
Evidencia definida y archivada para cada salvaguarda cerrada
Ajuste del contrato de TI donde la operación está tercerizada
Hito de entregaSalvaguardas de mayor riesgo cerradas y con evidencia archivada.
Medimos de nuevo con el mismo método, para que el número sea comparable. Donde hay intención de certificar después, organizamos la evidencia ya en el formato que pedirá la norma elegida, de modo que el trabajo hecho aquí entre en el proyecto siguiente en lugar de rehacerse.
Nueva medición comparable a la primera
Informe de evolución para la dirección, sin jerga
Evidencia organizada en el formato de la norma pretendida
Rutina de mantenimiento definida, con quién revisa y cuándo
Hito de entregaEvolución demostrada con el mismo método de la medición inicial.
CUÁNTO TIEMPO LLEVA
No publicamos plazo estándar, porque plazo publicado se convierte en promesa. La medición inicial suele ser la parte corta, y la implantación es la que varía. Estos son los tres factores que más mueven el reloj, y la primera conversación ya muestra en cuál está tu empresa.
Una empresa con inventario actualizado empieza a medir en la primera semana. Una empresa sin inventario pasa buena parte del inicio descubriendo qué tiene, y ese descubrimiento casi siempre entrega más equipamiento del que mostraba la lista oficial.
Cerrar el IG1 es un proyecto con fin visible. Seguir al IG2 suma 74 salvaguardas orientadas a operaciones más complejas, y el IG3 es para quien enfrenta ataques dirigidos. La mayoría de las empresas gana más cerrando el IG1 entero que abriendo frentes en los tres.
Con equipo interno, la implantación avanza al ritmo de su agenda. Con TI tercerizada, buena parte de las salvaguardas depende del proveedor, y algunas exigen cambiar el contrato. Esa conversación empieza temprano en el proyecto, porque suele ser la más lenta.
PREGUNTAS FRECUENTES
Las dudas que aparecen en casi toda primera reunión, respondidas sin rodeos.
No para tu empresa. El Center for Internet Security mantiene una credencial llamada CIS Controls Accreditation, pero se aplica al prestador de servicio que implanta o audita los controles, y no a la empresa medida. Si lo que necesitas es un documento para enviar a un cliente, CIS solo no lo resuelve, y vale mirar ISO 27001 o SOC 2. Lo que CIS entrega es tu estado real medido, que suele ser lo que falta para decidir el resto.
El documento es público y gratuito de verdad, y recomendamos descargarlo. Lo que cuesta no es el texto. Cuesta medir sin engañarse, y la autoevaluación es donde eso se rompe: todo equipo se puntúa por encima de lo real, no por mala fe, sino porque quien construyó el control conoce su intención y deja de notar la brecha. Cuesta también priorizar 153 salvaguardas contra tu realidad, e implantar mientras el equipo sigue sosteniendo la operación. Si tu empresa tiene gente disponible para hacerlo internamente, hazlo, y cuenta con nosotros solo para la medición.
Son documentos distintos y la confusión es común. Los Controls dicen qué necesita hacer la organización, a nivel de proceso: inventariar, controlar acceso, registrar, probar respaldos. Los Benchmarks son guías de configuración segura para tecnologías específicas, parámetro por parámetro, para un sistema operativo, una base de datos o un servicio en la nube. Los dos se completan: el Control dice endurecer la configuración, el Benchmark dice cómo.
Sirve, y es uno de los mejores usos de CIS. Buena parte de las salvaguardas corresponde a controles del Anexo A de ISO 27001, y la evidencia producida aquí es aceptada allá. Lo que CIS no es, y ninguna lectura honesta finge que sea, es un sistema de gestión: no tiene las cláusulas de contexto, liderazgo, auditoría interna y revisión por la dirección que la certificación exige. Acorta el camino técnico, no sustituye el proyecto de certificación.
Un informe de medición, con el porcentaje de cumplimiento por control y la evidencia detrás, no un certificado. Vale confirmar qué pidió el cliente de hecho: la mayoría de las veces quiere saber si tienes higiene básica de seguridad, y un informe medido con método responde mejor que un cuestionario contestado de memoria. Cuando de verdad quiere un certificado, va a decir ISO 27001 o SOC 2, y ahí la conversación es otra.
Sí, y esa es la definición del propio CIS: el IG1 es higiene cibernética esencial para cualquier empresa, y el IG2 y el IG3 se construyen encima de él, no al lado. El error clásico es saltar a salvaguardas avanzadas con lo básico abierto, porque lo avanzado es más interesante de presentar. El ataque común sigue entrando por lo básico, y una empresa grande tiene más superficie para que entre.
La medición contra las salvaguardas del primer grupo da el retrato del estado actual y el orden de qué hacer primero. Es el comienzo más barato que existe, y sirve tanto para quien solo quiere dejar de ser blanco fácil como para quien va a certificar después.
Center for Internet Security · versão 8.1, de junho de 2024 · consultado el
NIST, instituto nacional de padrões e tecnologia dos Estados Unidos · NIST CSWP 29, publicado em 26/02/2024 · consultado el
Esta página es informativa y describe cómo la DM11 lee y aplica las fuentes anteriores. No reproduce el texto de las normas, no sustituye la lectura del documento oficial y no sustituye una auditoría, una certificación, una evaluación independiente ni el asesoramiento jurídico. Donde la norma exige evaluación formal, quien la conduce es un organismo, auditoría o evaluador acreditado, siempre separado de quien preparó.