CIS CONTROLS
Os controles estão organizados pelo que costuma parar ataque real primeiro, e não por tema nem pelo que rende slide. É a referência mais direta para quem precisa decidir onde colocar o próximo real, e é a base que a ISO 27001, o SOC 2 e o PCI DSS reaproveitam quando chegam depois.
Os CIS Controls são uma referência técnica de uso livre, mantida pelo Center for Internet Security. A DM11 mede o seu estado atual, implanta na ordem que reduz risco mais rápido e arquiva a evidência. Se o destino for um certificado, essa evidência é o começo dele, e a página da norma escolhida explica o resto do caminho.
Quem conduz a implantação
ISO/IEC 27001 Lead Auditor certificado pela BSI
CISA, auditoria de sistemas de informação
Gestão de vulnerabilidades com Qualys Certified Specialist
17 anos de governança, riscos e conformidades
O QUE É
Os CIS Controls são um conjunto de controles de segurança publicado pelo Center for Internet Security, hoje na versão 8.1, de junho de 2024. São 18 controles e 153 salvaguardas, e a característica que os separa de todo o resto é a ordem: eles não estão listados por tema, estão listados pelo que costuma parar ataque real primeiro.
O CIS separa as salvaguardas em três grupos de implantação. O IG1 tem 56 e é definido como higiene cibernética essencial: o mínimo que qualquer empresa deveria ter contra os ataques mais comuns. O IG2 acrescenta 74 para operações mais complexas, e o IG3 mais 23 para quem enfrenta ataque sofisticado. Começar pelo IG1 vale para empresa de qualquer tamanho.
A revisão de 2024 incluiu a função de governança e alinhou a estrutura ao NIST CSF 2.0. A mudança reconhece uma coisa que quem implanta já sabia: salvaguarda sem dono não sobrevive ao terceiro mês. Antes disso, o framework dizia o que fazer sem dizer quem responde por manter aquilo funcionando.
Vale alinhar a expectativa cedo, porque isso muda o planejamento. O que o trabalho produz é um retrato medido do seu estado, com percentual de atendimento por controle e evidência por trás. Existe uma credencial chamada CIS Controls Accreditation, e ela se aplica ao prestador de serviço que implanta ou audita, não à empresa avaliada. Quando o seu cliente precisa de um documento emitido por terceiro, quem responde é a ISO 27001 ou o SOC 2, e o trabalho feito aqui entra inteiro nesse projeto.
As salvaguardas do CIS aparecem, com outros nomes, dentro da ISO 27001, do SOC 2 e do PCI DSS. Inventário de ativos, controle de acesso, registro, backup testado e gestão de vulnerabilidade são exigidos pelas três. A evidência produzida aqui é a mesma que o auditor vai pedir depois, e é por isso que o CIS costuma ser o primeiro ano de um projeto de certificação.
QUEM COSTUMA PRECISAR
Nenhuma delas envolve alguém exigindo um certificado. Quando existe exigência de certificado, o caminho é outro, e a página da norma pedida explica qual.
A empresa cresceu, a TI acompanhou como deu e ninguém nunca parou para olhar o conjunto. Não há exigência externa ainda, e há a percepção correta de que a sorte não é estratégia. O CIS responde a pergunta que essa empresa faz, que é por onde começar, e não qual norma seguir.
Aqui a ordem de prioridade é o produto. Com recurso limitado, a diferença entre gastar nas 56 salvaguardas do IG1 e gastar na ferramenta que o fornecedor apresentou na semana passada é grande, e só aparece quando alguém mede antes de comprar.
Uma empresa muito longe dos requisitos não deve abrir um projeto de certificação no primeiro dia: o custo da auditoria é o mesmo estando perto ou longe. Implantar o CIS antes encurta a distância com evidência que a auditoria vai aceitar depois.
HISTÓRIAS
Trocamos os nomes dos clientes com o mesmo sigilo que vai proteger a sua empresa depois. Os nomes mudam, o padrão dos problemas se repete. Quando o cliente autoriza, mostramos referências com nome numa conversa.
Indústria
Cada área tinha uma lista de equipamentos e nenhuma delas batia com a outra. Havia servidor ligado que ninguém sabia para que servia, e havia máquina de chão de fábrica com sistema operacional fora de suporte que não aparecia em lista nenhuma porque quem cuidava era a manutenção, não a TI.
Começamos pelo começo, que nos CIS Controls é literalmente o controle número um: inventário de ativos e de software. Levantamos o que existe de fato, com varredura e com conversa, e definimos dono para cada item. Só depois disso discutimos qualquer proteção.
O inventário encontrou bem mais equipamento do que a lista oficial mostrava, e a maior parte da diferença estava fora da TI. As duas salvaguardas mais baratas do projeto inteiro foram desligar o que não servia mais e isolar o que não podia ser atualizado.
Varejo e comércio eletrônico
A rotina de cópia funcionava sem falha havia anos, com relatório verde toda manhã. Ninguém nunca tinha restaurado nada em ambiente de teste, e a percepção da diretoria era de que o risco de indisponibilidade estava coberto porque o relatório dizia que sim.
Testamos a restauração de verdade, com prazo cronometrado, que é o que a salvaguarda pede e quase ninguém faz. Descobrimos que uma base crítica estava sendo copiada com o serviço em execução, sem consistência, e que a restauração completa levaria muito mais tempo do que a operação suportaria.
O relatório verde estava certo e inútil: a cópia existia e não voltava. Corrigido o método e cronometrada a restauração, a empresa passou a saber quanto tempo ficaria parada, que é a informação que a diretoria precisava para decidir quanto investir.
Serviços profissionais
Por praticidade, quase todos os usuários tinham privilégio administrativo na própria máquina, e três pessoas da TI usavam a mesma conta administrativa de domínio. Não havia registro de quem fazia o quê com ela, então qualquer investigação de incidente terminaria em empate.
Separamos conta de uso diário de conta administrativa, individualizamos os acessos privilegiados e ligamos o registro. Retiramos o privilégio local em ondas, começando pelas áreas de menor atrito, com processo definido para as exceções legítimas em vez de exceção informal.
A resistência esperada não veio: as exceções reais eram poucas e foram atendidas. O ganho maior foi o registro, porque a partir dali passou a existir resposta para a pergunta de quem fez o quê, que antes não tinha resposta possível.
COMO CONDUZIMOS
A medição vale pelo que ela custa em honestidade. Avaliação de salvaguarda aqui é binária, atende ou não atende, com evidência anexada, porque nota subjetiva sobe sozinha e transforma o relatório num documento que agrada e não serve para decidir nada.
Os dois primeiros controles são inventário de ativos e de software, e a ordem não é acidental: não se protege o que não se sabe que existe. Levantamos equipamentos, sistemas, serviços em nuvem e acessos de terceiros, com dono definido para cada item.
Inventário de ativos e de software, com dono por item
Serviços em nuvem e acessos de terceiros mapeados
Lista do que está fora de suporte ou sem dono
Grupo de implantação alvo definido com a diretoria
Marco de entregaInventário fechado e reconciliado com o que a TI tinha em registro.
Avaliamos salvaguarda a salvaguarda, começando pelas 56 do IG1, com evidência exigida para cada resposta positiva. O resultado é um número, e o número existe para se mexer depois, não para enfeitar apresentação.
Medição por salvaguarda, com evidência anexada
Percentual de atendimento por controle e por grupo
Lacunas ordenadas por risco e por esforço
Estimativa do que é rápido e barato, separado do que exige investimento
Marco de entregaEstado atual medido e aprovado pela diretoria, sem resposta positiva sem evidência.
Implantamos com seu time, seguindo a ordem que a medição produziu e não a ordem da numeração. Cada salvaguarda ganha responsável, data e a definição do que vai servir de prova de que ela funciona, que é o que a diferencia de uma tarefa marcada como concluída.
Plano com responsável e data por salvaguarda
Implantação junto ao seu time ou ao seu fornecedor de TI
Evidência definida e arquivada para cada salvaguarda fechada
Ajuste do contrato de TI onde a operação é terceirizada
Marco de entregaSalvaguardas de maior risco fechadas e com evidência arquivada.
Medimos de novo com o mesmo método, para o número ser comparável. Onde existe intenção de certificar depois, organizamos a evidência já no formato que a norma escolhida vai pedir, de modo que o trabalho feito aqui entre no projeto seguinte em vez de ser refeito.
Nova medição comparável à primeira
Relatório de evolução para a diretoria, sem jargão
Evidência organizada no formato da norma pretendida
Rotina de manutenção definida, com quem revisa e quando
Marco de entregaEvolução demonstrada com o mesmo método da medição inicial.
QUANTO TEMPO LEVA
Não publicamos prazo padrão, porque prazo publicado vira promessa. A medição inicial costuma ser a parte curta, e a implantação é a parte que varia. Estes são os três fatores que mais mexem no relógio, e a primeira conversa já mostra em qual deles a sua empresa está.
Empresa com inventário atualizado começa a medir na primeira semana. Empresa sem inventário passa boa parte do início descobrindo o que tem, e essa descoberta quase sempre entrega mais equipamento do que a lista oficial mostrava.
Fechar o IG1 é um projeto com fim visível. Seguir para o IG2 acrescenta 74 salvaguardas voltadas a operação mais complexa, e o IG3 é para quem enfrenta ataque dirigido. A maior parte das empresas ganha mais fechando o IG1 inteiro do que abrindo frentes nos três.
Com time interno, a implantação anda no ritmo da agenda dele. Com TI terceirizada, boa parte das salvaguardas depende do fornecedor, e algumas exigem mudança de contrato. Essa conversa começa cedo no projeto, porque ela costuma ser a mais demorada.
PERGUNTAS FREQUENTES
As dúvidas que aparecem em quase toda primeira reunião, respondidas sem rodeio.
Não para a sua empresa. O Center for Internet Security mantém uma credencial chamada CIS Controls Accreditation, mas ela se aplica ao prestador de serviço que implanta ou audita os controles, e não à empresa avaliada. Se o que você precisa é um documento para enviar a um cliente, o CIS sozinho não resolve, e vale olhar a ISO 27001 ou o SOC 2. O que o CIS entrega é o estado real medido, que costuma ser o que falta para decidir o resto.
A medição contra as salvaguardas do primeiro grupo dá o retrato do estado atual e a ordem do que fazer primeiro. É o começo mais barato que existe, e serve tanto para quem só quer parar de ser alvo fácil quanto para quem vai certificar depois.