Os necessários fazem o site funcionar. Os outros medem quais páginas ajudam e quais anúncios trazem quem precisa da DM11. Você escolhe, e pode rever pelo rodapé.
CIS CONTROLS
Os controles estão organizados pelo que costuma parar ataque real primeiro, e não por tema nem pelo que rende slide. É a referência mais direta para quem precisa decidir onde colocar o próximo real, e é a base que a ISO 27001, o SOC 2 e o PCI DSS reaproveitam quando chegam depois.
Os CIS Controls são a referência que o mercado usa para medir o estado real da segurança de uma empresa, mantida pelo Center for Internet Security. A DM11 mede o seu estado atual, implanta na ordem que reduz risco mais rápido e arquiva a evidência. Se o destino for um certificado, essa evidência é o começo dele, e a página da norma escolhida explica o resto do caminho.
Quem conduz a implantação
ISO/IEC 27001 Lead Auditor certificado pela BSI
CISA, auditoria de sistemas de informação
Gestão de vulnerabilidades com Qualys Certified Specialist
17 anos de governança, riscos e conformidades
O QUE É
Os CIS Controls são um conjunto de controles de segurança publicado pelo Center for Internet Security, hoje na versão 8.1, de junho de 2024. São 18 controles e 153 salvaguardas, e a característica que os separa de todo o resto é a ordem: eles não estão listados por tema, estão listados pelo que costuma parar ataque real primeiro.
O CIS separa as salvaguardas em três grupos de implantação. O IG1 tem 56 e é definido como higiene cibernética essencial: o mínimo que qualquer empresa deveria ter contra os ataques mais comuns. O IG2 acrescenta 74 para operações mais complexas, e o IG3 mais 23 para quem enfrenta ataque sofisticado. Começar pelo IG1 vale para empresa de qualquer tamanho.
A revisão de 2024 incluiu a função de governança e alinhou a estrutura ao NIST CSF 2.0. A mudança reconhece uma coisa que quem implanta já sabia: salvaguarda sem dono não sobrevive ao terceiro mês. Antes disso, o framework dizia o que fazer sem dizer quem responde por manter aquilo funcionando.
Vale alinhar a expectativa cedo, porque isso muda o planejamento. O que o trabalho produz é um retrato medido do seu estado, com percentual de atendimento por controle e evidência por trás. Existe uma credencial chamada CIS Controls Accreditation, e ela se aplica ao prestador de serviço que implanta ou audita, não à empresa avaliada. Quando o seu cliente precisa de um documento emitido por terceiro, quem responde é a ISO 27001 ou o SOC 2, e o trabalho feito aqui entra inteiro nesse projeto.
As salvaguardas do CIS aparecem, com outros nomes, dentro da ISO 27001, do SOC 2 e do PCI DSS. Inventário de ativos, controle de acesso, registro, backup testado e gestão de vulnerabilidade são exigidos pelas três. A evidência produzida aqui é a mesma que o auditor vai pedir depois, e é por isso que o CIS costuma ser o primeiro ano de um projeto de certificação.
QUEM COSTUMA PRECISAR
Nenhuma delas envolve alguém exigindo um certificado. Quando existe exigência de certificado, o caminho é outro, e a página da norma pedida explica qual.
A empresa cresceu, a TI acompanhou como deu e ninguém nunca parou para olhar o conjunto. Não há exigência externa ainda, e há a percepção correta de que a sorte não é estratégia. O CIS responde a pergunta que essa empresa faz, que é por onde começar, e não qual norma seguir.
Aqui a ordem de prioridade é o produto. Com recurso limitado, a diferença entre gastar nas 56 salvaguardas do IG1 e gastar na ferramenta que o fornecedor apresentou na semana passada é grande, e só aparece quando alguém mede antes de comprar.
Uma empresa muito longe dos requisitos não deve abrir um projeto de certificação no primeiro dia: o custo da auditoria é o mesmo estando perto ou longe. Implantar o CIS antes encurta a distância com evidência que a auditoria vai aceitar depois.
HISTÓRIAS
Trocamos os nomes dos clientes com o mesmo sigilo que vai proteger a sua empresa depois. Os nomes mudam, o padrão dos problemas se repete. Quando o cliente autoriza, mostramos referências com nome numa conversa.
Indústria
Cada área tinha uma lista de equipamentos e nenhuma delas batia com a outra. Havia servidor ligado que ninguém sabia para que servia, e havia máquina de chão de fábrica com sistema operacional fora de suporte que não aparecia em lista nenhuma porque quem cuidava era a manutenção, não a TI.
Começamos pelo começo, que nos CIS Controls é literalmente o controle número um: inventário de ativos e de software. Levantamos o que existe de fato, com varredura e com conversa, e definimos dono para cada item. Só depois disso discutimos qualquer proteção.
O inventário encontrou bem mais equipamento do que a lista oficial mostrava, e a maior parte da diferença estava fora da TI. As duas salvaguardas mais baratas do projeto inteiro foram desligar o que não servia mais e isolar o que não podia ser atualizado.
Varejo e comércio eletrônico
A rotina de cópia funcionava sem falha havia anos, com relatório verde toda manhã. Ninguém nunca tinha restaurado nada em ambiente de teste, e a percepção da diretoria era de que o risco de indisponibilidade estava coberto porque o relatório dizia que sim.
Testamos a restauração de verdade, com prazo cronometrado, que é o que a salvaguarda pede e quase ninguém faz. Descobrimos que uma base crítica estava sendo copiada com o serviço em execução, sem consistência, e que a restauração completa levaria muito mais tempo do que a operação suportaria.
O relatório verde estava certo e inútil: a cópia existia e não voltava. Corrigido o método e cronometrada a restauração, a empresa passou a saber quanto tempo ficaria parada, que é a informação que a diretoria precisava para decidir quanto investir.
Serviços profissionais
Por praticidade, quase todos os usuários tinham privilégio administrativo na própria máquina, e três pessoas da TI usavam a mesma conta administrativa de domínio. Não havia registro de quem fazia o quê com ela, então qualquer investigação de incidente terminaria em empate.
Separamos conta de uso diário de conta administrativa, individualizamos os acessos privilegiados e ligamos o registro. Retiramos o privilégio local em ondas, começando pelas áreas de menor atrito, com processo definido para as exceções legítimas em vez de exceção informal.
A resistência esperada não veio: as exceções reais eram poucas e foram atendidas. O ganho maior foi o registro, porque a partir dali passou a existir resposta para a pergunta de quem fez o quê, que antes não tinha resposta possível.
AUTODIAGNÓSTICO
Vinte e uma perguntas sobre o que os CIS Controls medem. O resultado aparece inteiro na tela, com nota por frente e o grupo de implantação que o seu perfil pede. Não existe certificado de CIS Controls, aqui ou em lugar nenhum, e não pedimos e-mail para mostrar o resultado.
A leitura de cada área, nas três faixas de resultado. É o mesmo texto que chega por e-mail a quem se identifica, publicado aqui para quem quer entender o que a nota mede antes de responder.
Abaixo de 50
Uma nota baixa aqui significa que as outras notas deste diagnóstico valem menos do que parecem: você respondeu sobre um ambiente cuja extensão ninguém confirmou. O que costuma faltar não é ferramenta, é a reconciliação entre listas que já existem em lugares diferentes, a da TI, a do financeiro e a de quem compra, porque nenhuma delas sozinha está certa. O próximo passo cabe em duas semanas: uma varredura de rede, uma passada no extrato do cartão corporativo atrás de assinatura de nuvem, e uma coluna de dono ao lado de cada item. Só depois disso vale discutir compra de proteção, porque toda proteção comprada agora vai cobrir o que você já conhece.
De 50 a 79
Nesta faixa existe lista, e ela envelhece mais rápido do que alguém consegue atualizar. O sintoma típico é o item que entrou por fora da TI, o notebook de quem trabalha de casa, o equipamento que a manutenção comprou, o serviço em nuvem contratado por uma área, e é justamente esse conjunto que ninguém está atualizando nem configurando. O que fecha a lacuna é amarrar a lista a um gatilho automático, entrada na rede ou compra aprovada, em vez de depender de alguém avisar. Na configuração, o passo barato é escrever o padrão que os técnicos já repetem de memória, porque memória não sobrevive a férias nem a troca de fornecedor.
80 ou mais
Com o inventário em pé, o risco muda de lugar: passa a ser o item que entrou depois da última conferência e o padrão de configuração que existe no papel e nunca é conferido contra as máquinas reais. Vale medir uma coisa que quase ninguém mede, a diferença entre o que a lista diz e o que a varredura encontra, e acompanhar esse número mês a mês. Se a diferença cresce, o processo está furando na entrada, e é ali que se corrige, não na lista. Vale também conferir se a nuvem é inventariada com o mesmo cuidado da rede, porque o crescimento silencioso hoje é quase todo de lá.
Abaixo de 50
Esta é a nota que mais aparece em incidente real. Um ambiente sem segundo fator e sem separação de conta administrativa não exige talento de quem ataca: uma senha vazada em outro serviço basta. O que costuma faltar não é a decisão técnica, que é simples, é alguém com mandato para sustentar o atrito das primeiras semanas, porque tirar privilégio incomoda gente que trabalha há anos daquele jeito. O próximo passo, na ordem que dá menos briga: segundo fator no e-mail e no acesso remoto, depois conta administrativa individual para o time de TI, e só então a retirada do privilégio local, em ondas, começando pelas áreas de menor atrito. Conta de serviço e conta de fornecedor entram nessa varredura e costumam ser as esquecidas.
De 50 a 79
Parcial aqui quase sempre quer dizer o mesmo: o segundo fator foi ligado onde era fácil, e as exceções nunca foram listadas. A exceção que ninguém escreveu é a que continua aberta um ano depois, e é por ela que se entra. O trabalho é converter exceção informal em exceção com dono, motivo e data de revisão, o que também torna visível quantas ainda existem. Do lado das contas, o item que costuma faltar por inteiro é a revisão das que não são de pessoa: integração antiga, robô de relatório e usuário criado por um fornecedor que já saiu.
80 ou mais
Nesta faixa o controle existe e o que decide é a manutenção. Três coisas degradam sem aviso: a conta de serviço criada em caráter provisório, o acesso do fornecedor que continua ativo depois do fim do contrato e o administrador que ganhou privilégio para resolver um incidente e ficou com ele. Uma revisão trimestral que compare a lista de contas privilegiadas com a lista de quem hoje precisa delas resolve as três, e leva menos tempo do que parece. Registre quem revisou e o que foi removido: é esse registro que serve de evidência se você for para uma certificação depois.
Abaixo de 50
O que uma nota baixa aqui significa, em termos práticos, é que a empresa não sabe quanto tempo ficaria parada e não sabe se voltaria inteira. Backup que nunca foi restaurado é hipótese, e hipótese só é testada no pior dia possível. O que costuma faltar não é a cópia, é o teste e o isolamento: cópia acessível com as mesmas credenciais de administração da rede é apagada junto no dia do sequestro de dados. O próximo passo é escolher um sistema que importe, restaurar em ambiente separado, cronometrar e anotar o número. Esse número é a informação que a diretoria precisa para decidir quanto investir, e nenhum relatório verde de rotina entrega isso.
De 50 a 79
Parcial aqui costuma ser um de dois casos, e eles pedem coisas diferentes. Se a cópia já voltou alguma vez, mas por causa de um incidente e sem registro, falta transformar o acidente em rotina com data e tempo anotado. Se a cópia existe em outro servidor ou em nuvem com as mesmas credenciais de rede, falta o isolamento, e esse é o item que mais muda o desfecho de um sequestro de dados. No lado dos dados sensíveis, o padrão frequente é a pasta compartilhada que a empresa inteira enxerga há anos: levantar quem acessa hoje costuma ser mais rápido, e mais útil, do que tentar classificar tudo de uma vez.
80 ou mais
Com restauração testada e cópia isolada, o que resta é menos evidente e mais caro de descobrir tarde: o escopo. Costuma faltar na lista de restauração alguma coisa que ninguém classificou como sistema, a base do ERP contratado em nuvem, o repositório de código, a caixa de e-mail, a configuração do próprio ambiente. Vale fazer o exercício ao contrário uma vez: escolher um cenário de perda total de um serviço e listar o que seria preciso para voltar, em vez de conferir o que já está no backup. E vale revisar quem acessa os dados sensíveis com a mesma frequência com que se testa a restauração.
Abaixo de 50
Nota baixa aqui significa que o ataque comum não precisa de nada sofisticado: ele usa falha conhecida, com correção publicada, em programa que todo mundo tem. O que costuma faltar primeiro não é a varredura, é a atualização automática do que já dá para automatizar, sistema operacional, navegador e leitor de PDF, que sozinha tira da mesa a maior parte do risco desta frente. Depois vem a lista do que roda sem receber mais atualização do fabricante, que quase nunca existe e quase sempre inclui equipamento de rede antigo ou sistema que controla máquina. O próximo passo concreto é ligar a atualização automática onde não há motivo para não ligar, e escrever o motivo onde houver.
De 50 a 79
Parcial aqui quase sempre quer dizer que se encontra e não se fecha. Achar falha é a parte fácil e barata; o custo real está em perseguir a fila até o item sumir do relatório seguinte, e é isso que separa redução de risco de relatório arquivado. O que costuma faltar é prazo por gravidade acordado com quem opera, e alguém com a tarefa explícita de cobrar. Se a TI é terceirizada, esse acordo precisa estar no contrato: sem ele, a correção compete com o chamado do dia e perde sempre.
80 ou mais
Nesta faixa o processo funciona e o ponto cego costuma ser o que fica fora da varredura. Equipamento de rede, sistema de terceiro hospedado fora, aplicação que só o fornecedor toca e ambiente de nuvem raramente entram no mesmo ciclo do parque de máquinas, e o relatório fica bonito por omissão. Confira a cobertura antes de comemorar o percentual: quantos ativos do seu inventário aparecem na última varredura, e quais não aparecem e por quê. Para o que está fora de suporte, o que sustenta a nota é a decisão registrada de substituir, isolar ou aceitar com prazo, e não a lista em si.
Abaixo de 50
São duas perguntas, então a nota é grossa, e mesmo assim ela aponta para onde o ataque comum entra na prática: e-mail e estação de trabalho. O que costuma faltar não custa licença nova. Os registros SPF, DKIM e DMARC são configuração de domínio, e o DMARC em modo de observação não impede ninguém de escrever se passando pela sua empresa, apenas conta depois. Do lado da estação, o que muda o jogo é ter um ponto central que mostre o que foi bloqueado, com uma pessoa definida para olhar: o valor não está no bloqueio isolado, está em notar que uma máquina bloqueia a mesma coisa toda semana.
De 50 a 79
Com apenas duas perguntas, uma resposta parcial já derruba a nota, então vale ler qual das duas ficou para trás. Se foi o e-mail, o caso típico é DMARC publicado só observando, o que dá sensação de proteção sem proteção: a rota é subir para quarentena e depois para rejeição, medindo o que quebra a cada passo. Se foi a estação, o caso típico é proteção instalada em toda máquina, sem console e sem destinatário para o alerta, o que produz registro que ninguém lê. Em qualquer um dos dois, o próximo passo é nomear quem recebe o alerta e o que essa pessoa faz com ele.
80 ou mais
Filtro e registros no lugar cobrem o golpe genérico, e é honesto dizer que não cobrem o dirigido: domínio parecido com o seu, conta legítima de fornecedor comprometida e pedido de mudança de conta bancária passam por qualquer filtro. Nesta faixa o ganho vem de duas coisas que estão fora da ferramenta: um caminho fácil para a pessoa avisar quando desconfia, e uma regra de negócio que exija confirmação por outro canal antes de trocar dado bancário. Vale também testar se a sua proteção de estação reage a técnicas reais de ataque, e não apenas a arquivo malicioso conhecido, porque é aí que a diferença entre produtos aparece.
Abaixo de 50
A consequência de uma nota baixa aqui só aparece depois do incidente, e aí ela é definitiva: sem registro guardado fora da máquina, não há como saber o que foi acessado, por onde entraram e quando começou. Isso muda o custo do incidente, porque sem essa resposta a empresa é obrigada a assumir o pior cenário diante de cliente, de seguradora e de autoridade. O que falta costuma ser mais simples do que se imagina: enviar os registros dos sistemas principais para fora deles, definir por quanto tempo guardar e sincronizar o relógio das máquinas, sem o que nada fica em ordem. Do lado do plano, o primeiro passo é uma página com quem aciona quem, com telefone de fornecedor e de jurídico dentro dela.
De 50 a 79
Parcial aqui costuma ser um plano escrito que nunca foi exercitado, ou registro que existe em cada máquina e desaparece junto com ela. Plano nunca exercitado falha nos detalhes que só o exercício revela: o contato desatualizado, a pessoa que estava de férias, a decisão que ninguém tinha alçada para tomar às duas da manhã. O exercício vale mais do que qualquer melhoria no texto do plano, e uma conversa de duas horas em volta de um cenário já produz a maior parte do aprendizado. No registro, o que falta em geral é prazo de guarda: registro que gira em sete dias não serve, porque o intervalo entre invadir e ser notado costuma ser bem maior que isso.
80 ou mais
Registro centralizado e plano exercitado deixam a empresa em condição de responder. O que falta nesta faixa é o encadeamento entre os dois: alguém precisa olhar o registro antes de o incidente ficar óbvio. Vale definir três ou quatro situações que geram alerta, com destinatário e prazo de resposta combinados, em vez de guardar tudo à espera de uma investigação futura. Confira também se o exercício mais recente mudou alguma coisa de fato, um contato, um roteiro, um acesso: exercício que não muda nada costuma ter sido conduzido para confirmar o plano, e não para testá-lo.
Abaixo de 50
As duas perguntas deste domínio tratam de quem está fora do seu controle técnico, e é por isso que uma nota baixa aqui não se resolve com ferramenta. Do lado das pessoas, o que costuma faltar é continuidade: um vídeo na integração e nada depois não muda comportamento, e sem registro de participação não há como saber quem ficou de fora. Do lado dos fornecedores, o passo inicial é a lista de quem acessa os seus sistemas, que quase nunca existe pronta e costuma surpreender pelo tamanho. Quem cuida da sua TI normalmente tem o acesso mais amplo da casa, e isso não é acusação: é o desenho natural do serviço que ele presta, e precisa estar escrito em algum lugar.
De 50 a 79
Parcial aqui costuma significar contrato genérico com acesso compartilhado do lado do fornecedor, ou treinamento que acontece sem medição do lado das pessoas. No fornecedor, três itens resolvem a maior parte: acesso nominal em vez de conta compartilhada, prazo de validade que obrigue a renovar e obrigação contratual de avisar quando ele sofrer um incidente, que é a cláusula mais esquecida de todas. No treinamento, o que muda resultado é usar exemplos do seu setor e medir antes e depois, porque sem medição não há como saber se o programa serve para alguma coisa. Nenhuma das duas frentes exige trocar de fornecedor nem contratar programa caro.
80 ou mais
Nesta faixa o que sustenta a nota é a revisão, e ela costuma cair primeiro do lado do fornecedor: contrato assinado há três anos com cláusula que ninguém releu, e acesso concedido para um projeto que já terminou. A saída de um fornecedor é o teste equivalente ao desligamento de uma pessoa, e é o achado silencioso mais comum quando alguém finalmente confere. Do lado das pessoas, o próximo nível não é mais treinamento, é medir comportamento em situação real. E vale tratar quem cai como alguém que precisa de apoio, e não como culpado, porque programa punitivo faz a pessoa esconder o clique em vez de avisar, que é o oposto do que você precisa.
COMO CONDUZIMOS
A medição vale pelo que ela custa em honestidade. Avaliação de salvaguarda aqui é binária, atende ou não atende, com evidência anexada, porque nota subjetiva sobe sozinha e transforma o relatório num documento que agrada e não serve para decidir nada.
Os dois primeiros controles são inventário de ativos e de software, e a ordem não é acidental: não se protege o que não se sabe que existe. Levantamos equipamentos, sistemas, serviços em nuvem e acessos de terceiros, com dono definido para cada item.
Inventário de ativos e de software, com dono por item
Serviços em nuvem e acessos de terceiros mapeados
Lista do que está fora de suporte ou sem dono
Grupo de implantação alvo definido com a diretoria
Marco de entregaInventário fechado e reconciliado com o que a TI tinha em registro.
Avaliamos salvaguarda a salvaguarda, começando pelas 56 do IG1, com evidência exigida para cada resposta positiva. O resultado é um número, e o número existe para se mexer depois, não para enfeitar apresentação.
Medição por salvaguarda, com evidência anexada
Percentual de atendimento por controle e por grupo
Lacunas ordenadas por risco e por esforço
Estimativa do que é rápido e barato, separado do que exige investimento
Marco de entregaEstado atual medido e aprovado pela diretoria, sem resposta positiva sem evidência.
Implantamos com seu time, seguindo a ordem que a medição produziu e não a ordem da numeração. Cada salvaguarda ganha responsável, data e a definição do que vai servir de prova de que ela funciona, que é o que a diferencia de uma tarefa marcada como concluída.
Plano com responsável e data por salvaguarda
Implantação junto ao seu time ou ao seu fornecedor de TI
Evidência definida e arquivada para cada salvaguarda fechada
Ajuste do contrato de TI onde a operação é terceirizada
Marco de entregaSalvaguardas de maior risco fechadas e com evidência arquivada.
Medimos de novo com o mesmo método, para o número ser comparável. Onde existe intenção de certificar depois, organizamos a evidência já no formato que a norma escolhida vai pedir, de modo que o trabalho feito aqui entre no projeto seguinte em vez de ser refeito.
Nova medição comparável à primeira
Relatório de evolução para a diretoria, sem jargão
Evidência organizada no formato da norma pretendida
Rotina de manutenção definida, com quem revisa e quando
Marco de entregaEvolução demonstrada com o mesmo método da medição inicial.
QUANTO TEMPO LEVA
Não publicamos prazo padrão, porque prazo publicado vira promessa. A medição inicial costuma ser a parte curta, e a implantação é a parte que varia. Estes são os três fatores que mais mexem no relógio, e a primeira conversa já mostra em qual deles a sua empresa está.
Empresa com inventário atualizado começa a medir na primeira semana. Empresa sem inventário passa boa parte do início descobrindo o que tem, e essa descoberta quase sempre entrega mais equipamento do que a lista oficial mostrava.
Fechar o IG1 é um projeto com fim visível. Seguir para o IG2 acrescenta 74 salvaguardas voltadas a operação mais complexa, e o IG3 é para quem enfrenta ataque dirigido. A maior parte das empresas ganha mais fechando o IG1 inteiro do que abrindo frentes nos três.
Com time interno, a implantação anda no ritmo da agenda dele. Com TI terceirizada, boa parte das salvaguardas depende do fornecedor, e algumas exigem mudança de contrato. Essa conversa começa cedo no projeto, porque ela costuma ser a mais demorada.
PERGUNTAS FREQUENTES
As dúvidas que aparecem em quase toda primeira reunião, respondidas sem rodeio.
Não para a sua empresa. O Center for Internet Security mantém uma credencial chamada CIS Controls Accreditation, mas ela se aplica ao prestador de serviço que implanta ou audita os controles, e não à empresa avaliada. Se o que você precisa é um documento para enviar a um cliente, o CIS sozinho não resolve, e vale olhar a ISO 27001 ou o SOC 2. O que o CIS entrega é o estado real medido, que costuma ser o que falta para decidir o resto.
O documento é público e gratuito mesmo, e recomendamos baixar. O que custa não é o texto. Custa medir sem se enganar, e autoavaliação é onde isso quebra: todo time se pontua acima do real, não por má-fé, mas porque quem construiu o controle sabe a intenção dele e não repara na lacuna. Custa também priorizar 153 salvaguardas contra a sua realidade, e implantar enquanto o time continua tocando a operação. Se a sua empresa tem folga de gente para fazer isso internamente, faça, e conte conosco só na medição.
São documentos diferentes e a confusão é comum. Os Controls dizem o que a organização precisa fazer, em nível de processo: inventariar, controlar acesso, registrar, testar backup. Os Benchmarks são guias de configuração segura para tecnologias específicas, com parâmetro a parâmetro para um sistema operacional, um banco de dados ou um serviço de nuvem. Os dois se completam: o Control diz para endurecer a configuração, o Benchmark diz como.
Serve, e é um dos melhores usos do CIS. Boa parte das salvaguardas corresponde a controles do Anexo A da ISO 27001, e a evidência produzida aqui é aceita lá. O que o CIS não é, e nenhuma leitura honesta finge que seja, é um sistema de gestão: ele não tem as cláusulas de contexto, liderança, auditoria interna e análise crítica que a certificação exige. Ele encurta o caminho técnico, não substitui o projeto de certificação.
Um relatório de medição, com o percentual de atendimento por controle e a evidência por trás, não um certificado. Vale conferir o que o cliente pediu de fato: na maior parte das vezes ele quer saber se você tem higiene básica de segurança, e um relatório medido com método responde melhor do que um questionário respondido de memória. Quando ele quer mesmo um certificado, ele vai dizer ISO 27001 ou SOC 2, e aí a conversa é outra.
Sim, e essa é a definição do próprio CIS: o IG1 é higiene cibernética essencial para qualquer empresa, e o IG2 e o IG3 são construídos em cima dele, não ao lado. O erro clássico é pular para salvaguardas avançadas com o básico aberto, porque o avançado é mais interessante de apresentar. Ataque comum continua entrando pelo básico, e empresa grande tem mais superfície para ele entrar.
A medição contra as salvaguardas do primeiro grupo dá o retrato do estado atual e a ordem do que fazer primeiro. É o começo mais barato que existe, e serve tanto para quem só quer parar de ser alvo fácil quanto para quem vai certificar depois.
Center for Internet Security · versão 8.1, de junho de 2024 · consultado em
NIST, instituto nacional de padrões e tecnologia dos Estados Unidos · NIST CSWP 29, publicado em 26/02/2024 · consultado em
Esta página é informativa e descreve como a DM11 lê e aplica as fontes acima. Ela não reproduz o texto das normas, não substitui a leitura do documento oficial e não substitui auditoria, certificação, avaliação independente ou aconselhamento jurídico. Onde a norma exige avaliação formal, quem conduz é um organismo, auditoria ou avaliador credenciado, sempre separado de quem preparou.