Guía de cumplimiento de CIS Controls v8
Los CIS Critical Security Controls proporcionan 18 salvaguardas priorizadas para proteger a las organizaciones de amenazas cibernéticas. Ya sea que esté implementando los esenciales de IG1 o las protecciones avanzadas de IG3, le ayudamos a construir defensas de ciberseguridad efectivas con acciones claras y evidencia.
¿Qué son los Controles CIS?
Los CIS Critical Security Controls (Controles CIS) son un conjunto priorizado de acciones desarrollado por el Center for Internet Security para proteger a las organizaciones de vectores de ataque cibernético conocidos. La versión 8 incluye 18 controles con 153 salvaguardas organizadas en tres Grupos de Implementación.
Por qué esto importa: Los Controles CIS se construyen a partir de patrones de ataque reales y estrategias de defensa. Son independientes de proveedores, accionables y ampliamente reconocidos por proveedores de seguros cibernéticos y auditores como evidencia de diligencia debida en seguridad.
Priorizado
Enfocado en defensas de mayor impacto primero
Accionable
Salvaguardas técnicas específicas para implementar
¿Quién debería implementar los Controles CIS?
Pequeñas y medianas empresas
Organizaciones que buscan higiene cibernética esencial con IG1
Organizaciones empresariales
Empresas con departamentos de TI implementando IG2 o IG3
Infraestructura crítica
Organizaciones que protegen servicios y sistemas esenciales
Industrias reguladas
Servicios financieros, salud cumpliendo requisitos de cumplimiento
Proveedores de servicios gestionados
MSP implementando Controles CIS para clientes
Agencias gubernamentales
Organizaciones del sector público asegurando datos sensibles
Cómo VerifyWise apoya el cumplimiento de los Controles CIS
Capacidades concretas que abordan la implementación en todas las salvaguardas
Inventario y gestión de activos
Mantenga inventarios completos de activos de hardware, software y datos con descubrimiento automatizado. La plataforma rastrea todos los dispositivos, aplicaciones e información sensible en su entorno, abordando los requisitos de los Controles CIS 1 y 2.
Aborda: Controles 1, 2: Inventario y control de activos empresariales
Gestión de vulnerabilidades y parches
Identifique, rastree y remedie vulnerabilidades de seguridad en los sistemas. La plataforma monitorea el estado de los parches, prioriza actualizaciones críticas y mantiene pistas de auditoría para la gestión de vulnerabilidades alineada con el Control 7.
Aborda: Control 7: Gestión continua de vulnerabilidades
Control de acceso y autenticación
Gestione cuentas de usuario, privilegios y políticas de autenticación. La plataforma aplica principios de menor privilegio, rastrea el ciclo de vida de cuentas y monitorea el acceso privilegiado en línea con los Controles 5 y 6.
Aborda: Controles 5, 6: Gestión de cuentas y control de acceso
Monitoreo de seguridad y registros
Recopile, analice y retenga registros de seguridad de sistemas críticos. La plataforma centraliza la gestión de registros, habilita la detección de amenazas y mantiene evidencia para la investigación de incidentes según los Controles 8 y 13.
Aborda: Controles 8, 13: Gestión de registros de auditoría y monitoreo de red
Respuesta a incidentes y recuperación
Gestione incidentes de seguridad con flujos de trabajo estructurados y procedimientos de recuperación. La plataforma documenta el manejo de incidentes, rastrea la remediación y habilita el análisis post-incidente alineado con el Control 17.
Aborda: Control 17: Gestión de respuesta a incidentes
Seguimiento de políticas y cumplimiento
Mantenga políticas de seguridad, estándares y evidencia de cumplimiento. La plataforma proporciona plantillas para políticas alineadas con CIS, rastrea la implementación de controles y genera informes para auditorías según el Control 1.
Aborda: Control 1: Gestión del programa y políticas de seguridad
Todas las actividades de seguridad se rastrean con marcas de tiempo, propietarios asignados y flujos de trabajo de aprobación. Esta pista de auditoría demuestra implementación sistemática de controles para revisiones de seguros cibernéticos y auditorías de cumplimiento.
Cobertura completa de salvaguardas de CIS Controls v8
VerifyWise proporciona herramientas dedicadas para las 153 salvaguardas en tres Grupos de Implementación
Controles CIS
Salvaguardas con herramientas dedicadas
Grupos de Implementación
Higiene cibernética esencial para todas las organizaciones
Organizaciones con personal y recursos de TI
Organizaciones con equipos de seguridad dedicados
Construido para Controles CIS desde cero
Seguimiento de inventario de activos
Descubrimiento y gestión automatizados para Controles 1-2
Gestión de vulnerabilidades
Escaneo continuo y seguimiento de parches para Control 7
Preparación para seguros
Paquetes de evidencia para solicitudes de seguros cibernéticos
Mapeo multi-marco
Correlación con NIST CSF, ISO 27001 y SOC 2
18 CIS Critical Security Controls
Salvaguardas priorizadas para defenderse contra vectores de ataque cibernético conocidos
Control 1
Inventario y control de activos empresariales
Gestionar activamente todos los activos empresariales conectados a la infraestructura, asegurando que solo dispositivos autorizados puedan acceder a la red.
- Establecer y mantener inventario de activos
- Abordar activos no autorizados
- Utilizar herramientas de gestión de activos
- Asegurar direccionamiento adecuado de activos
Control 2
Inventario y control de activos de software
Gestionar activamente todo el software en la red para que solo software autorizado esté instalado y pueda ejecutarse.
- Establecer y mantener inventario de software
- Abordar software no autorizado
- Utilizar herramientas de inventario de software
- Usar listas blancas y negras
Control 3
Protección de datos
Desarrollar procesos y controles técnicos para identificar, clasificar, manejar de forma segura, retener y eliminar datos.
- Establecer proceso de gestión de datos
- Clasificar datos sensibles
- Cifrar datos en reposo y en tránsito
- Aplicar políticas de retención de datos
Control 4
Configuración segura de activos y software empresariales
Establecer y mantener configuraciones seguras para activos y software empresariales.
- Establecer proceso de configuración segura
- Mantener estándares de configuración
- Desplegar herramientas de gestión de configuración
- Implementar monitoreo automatizado de configuración
Control 5
Gestión de cuentas
Usar procesos y herramientas para asignar y gestionar la autorización de credenciales para cuentas de usuario, incluyendo cuentas de administrador.
- Establecer proceso de concesión de acceso
- Mantener inventario de cuentas
- Deshabilitar cuentas inactivas
- Restringir privilegios de administrador
Control 6
Gestión de control de acceso
Usar procesos y herramientas para crear, asignar, gestionar y revocar credenciales de acceso y privilegios para cuentas de usuario, administrador y servicio.
- Establecer proceso de revisión de acceso
- Centralizar control de acceso
- Requerir autenticación multifactor
- Definir y mantener control de acceso basado en roles
Control 7
Gestión continua de vulnerabilidades
Desarrollar un plan para evaluar y rastrear continuamente vulnerabilidades en todos los activos empresariales dentro de la infraestructura.
- Establecer proceso de gestión de vulnerabilidades
- Realizar escaneo automatizado de vulnerabilidades
- Remediar vulnerabilidades detectadas
- Gestionar ciclo de vida de remediación de vulnerabilidades
Control 8
Gestión de registros de auditoría
Recopilar, alertar, revisar y retener registros de auditoría de eventos que podrían ayudar a detectar, comprender o recuperarse de un ataque.
- Establecer proceso de gestión de registros de auditoría
- Recopilar registros de auditoría
- Asegurar almacenamiento adecuado de registros
- Estandarizar sincronización de tiempo
Control 9
Protecciones de correo electrónico y navegador web
Mejorar las protecciones y detecciones de amenazas de vectores de correo electrónico y web, ya que son oportunidades para que los atacantes manipulen el comportamiento humano.
- Asegurar el uso solo de navegadores y clientes de correo soportados
- Usar servicios de filtrado DNS
- Mantener y aplicar políticas de seguridad de correo
- Bloquear tipos de archivos innecesarios
Control 10
Defensas contra malware
Prevenir o controlar la instalación, propagación y ejecución de aplicaciones, código o scripts maliciosos en activos empresariales.
- Desplegar software anti-malware
- Configurar actualizaciones automáticas anti-malware
- Habilitar funciones anti-explotación
- Deshabilitar autoejecución y reproducción automática
Control 11
Recuperación de datos
Establecer y mantener prácticas de recuperación de datos suficientes para restaurar activos empresariales en ámbito a un estado previo al incidente y confiable.
- Establecer proceso de recuperación de datos
- Realizar copias de seguridad automatizadas
- Proteger datos de recuperación
- Probar recuperación de datos regularmente
Control 12
Gestión de infraestructura de red
Establecer, implementar y gestionar activamente la configuración de seguridad de la infraestructura de red, incluyendo controles de seguridad de red.
- Asegurar que la infraestructura de red esté actualizada
- Establecer y mantener arquitectura de red segura
- Gestionar la infraestructura de red de forma segura
- Desplegar IDS basado en red
Control 13
Monitoreo y defensa de red
Operar procesos y herramientas para establecer y mantener monitoreo integral de red y defensa contra amenazas de seguridad.
- Centralizar alertas de eventos de seguridad
- Desplegar IDS basado en host
- Realizar filtrado de tráfico entre segmentos de red
- Gestionar control de acceso para activos remotos
Control 14
Capacitación y habilidades de conciencia de seguridad
Establecer y mantener un programa de conciencia de seguridad para influir en el comportamiento de la fuerza laboral para que sea consciente de la seguridad.
- Establecer programa de conciencia de seguridad
- Capacitar a la fuerza laboral en autenticación segura
- Capacitar a la fuerza laboral en manejo de datos
- Capacitar a los miembros en identificación de ataques de ingeniería social
Control 15
Gestión de proveedores de servicios
Desarrollar un proceso para evaluar proveedores de servicios que manejan datos sensibles o son responsables de plataformas de TI críticas de una empresa.
- Establecer proceso de gestión de proveedores de servicios
- Mantener inventario de proveedores de servicios
- Clasificar proveedores de servicios
- Revisar y actualizar contratos de proveedores
Control 16
Seguridad de software de aplicaciones
Gestionar el ciclo de vida de seguridad del software desarrollado internamente, alojado o adquirido para prevenir, detectar y remediar debilidades de seguridad.
- Establecer programa de seguridad de software de aplicaciones
- Establecer prácticas de codificación segura
- Realizar análisis de causa raíz
- Separar sistemas de producción y no producción
Control 17
Gestión de respuesta a incidentes
Establecer un programa para desarrollar y mantener una capacidad de respuesta a incidentes para descubrir, contener y recuperarse de ataques.
- Designar personal para gestionar incidentes
- Establecer proceso de respuesta a incidentes
- Realizar ejercicios rutinarios de respuesta a incidentes
- Establecer y mantener información de contacto para reportar incidentes
Control 18
Pruebas de penetración
Probar la efectividad y resiliencia de los activos empresariales identificando y explotando debilidades en los controles.
- Establecer programa de pruebas de penetración
- Realizar pruebas de penetración externas periódicas
- Remediar hallazgos de pruebas de penetración
- Validar controles de seguridad
Grupos de Implementación explicados
Elija las salvaguardas adecuadas para los recursos y perfil de riesgo de su organización
Grupo de Implementación 1 (IG1)
56 salvaguardas
Higiene cibernética esencial para todas las organizaciones
Audiencia objetivo
Organizaciones pequeñas a medianas con experiencia y recursos limitados de ciberseguridad
Características
- Recursos limitados de TI y seguridad
- Controles de seguridad base
- Medidas de protección esenciales
- Base para madurez de seguridad
Incluye
Controles 1-11, 14, 17
Grupo de Implementación 2 (IG2)
131 salvaguardas
Organizaciones con personal y recursos de TI
Audiencia objetivo
Organizaciones que gestionan múltiples departamentos, sistemas o ubicaciones con recursos de TI dedicados
Características
- Personal de TI dedicado
- Complejidad de seguridad moderada
- Capacidades de monitoreo mejoradas
- Enfoque basado en riesgos
Incluye
Todos los controles IG1 + Controles 12, 13, 15, 16
Grupo de Implementación 3 (IG3)
153 salvaguardas
Organizaciones con equipos de seguridad dedicados
Audiencia objetivo
Organizaciones con experiencia significativa en ciberseguridad, protegiendo datos sensibles o infraestructura crítica
Características
- Equipo de seguridad dedicado
- Protección avanzada contra amenazas
- Programa de seguridad integral
- Enfoque en cumplimiento regulatorio
Incluye
Todos los controles IG1 + IG2 + Control 18
CIS Controls v8 vs v7.1
Mejoras clave y cambios en la última versión
| Aspecto | v7.1 | v8 | Cambio |
|---|---|---|---|
Total de controles | 20 Controles | 18 Controles (consolidados) | Simplificado |
Salvaguardas | 171 Sub-Controles | 153 Salvaguardas | Refinado y priorizado |
Grupos de Implementación | 3 IGs (IG1, IG2, IG3) | 3 IGs mantenidos | Orientación clarificada |
Tipos de activos | Enfoque en TI tradicional | Incluye nube, móvil, IoT | Cobertura modernizada |
Protección de datos | Control 13 | Control 3 (prioridad elevada) | Mayor énfasis |
Cadena de suministro | Orientación limitada | Control 15 (mejorado) | Alcance ampliado |
Enfoque de amenazas | Amenazas generales | Ransomware y ataques modernos | Prioridades actualizadas |
Métricas | Medición básica | Orientación de medición mejorada | Seguimiento mejorado |
Consejo de migración: Las organizaciones en v7.1 deben priorizar controles actualizados como el Control 3 (Protección de Datos), Control 15 (Gestión de Proveedores de Servicios) e inventario de activos modernizado para entornos de nube y móviles.
Ver guía completa de migración v8Hoja de ruta de implementación de 36 semanas
Un camino práctico hacia la adopción de los Controles CIS con hitos claros
Base
- Determinar el Grupo de Implementación apropiado (IG1, IG2 o IG3)
- Establecer inventario de activos para hardware y software
- Definir configuraciones y estándares seguros
- Implementar políticas básicas de control de acceso
Controles principales
- Desplegar escaneo de vulnerabilidades y gestión de parches
- Implementar registro de auditorías y monitoreo
- Establecer protección y cifrado de datos
- Configurar protecciones de correo electrónico y navegador web
Protección avanzada
- Desplegar segmentación y monitoreo de red
- Implementar procedimientos de respuesta a incidentes
- Establecer programa de capacitación de conciencia de seguridad
- Configurar defensas contra malware y sistemas de respaldo
Madurez y optimización
- Realizar pruebas de penetración (IG3)
- Revisar y optimizar gestión de proveedores de servicios
- Mejorar prácticas de seguridad de aplicaciones
- Establecer ciclo de mejora continua
Integración de CIS Benchmarks
Complemente los Controles CIS con orientación de configuración específica para su stack tecnológico
Mientras que los Controles CIS definen qué proteger (18 controles de seguridad), los CIS Benchmarks proporcionan guías de configuración detalladas sobre cómo asegurar sistemas específicos. Juntos, entregan cobertura integral de ciberseguridad desde la estrategia hasta la implementación.
Controles CIS
Mejores prácticas y salvaguardas de seguridad de alto nivel
CIS Benchmarks
Configuraciones detalladas para tecnologías específicas
Sistemas operativos
Benchmarks de configuración segura para sistemas Windows, Linux, macOS y Unix
Ejemplos
- • Windows Server
- • Ubuntu Linux
- • macOS
- • Red Hat Enterprise Linux
Plataformas en la nube
Directrices de configuración de seguridad para los principales proveedores de servicios en la nube
Ejemplos
- • AWS Foundations
- • Microsoft Azure
- • Google Cloud Platform
- • Oracle Cloud
Dispositivos de red
Estándares de hardening para componentes de infraestructura de red
Ejemplos
- • Cisco IOS
- • Palo Alto Networks
- • Fortinet FortiGate
- • Juniper Networks
Bases de datos
Benchmarks de seguridad para sistemas de gestión de bases de datos
Ejemplos
- • Microsoft SQL Server
- • Oracle Database
- • MySQL
- • PostgreSQL
Aplicaciones
Estándares de configuración para aplicaciones empresariales
Ejemplos
- • Microsoft 365
- • Google Workspace
- • Docker
- • Kubernetes
Dispositivos móviles
Líneas base de seguridad para sistemas operativos móviles
Ejemplos
- • Apple iOS
- • Google Android
- • Mobile Device Management
Repositorio completo de políticas de seguridad
Acceda a plantillas de políticas de seguridad listas para usar alineadas con los Controles CIS, NIST CSF y requisitos de ISO 27001
Gestión de activos
- • Política de inventario de activos
- • Gestión de activos de hardware
- • Gestión de activos de software
- • Política de clasificación de datos
- • Estándares de configuración segura
- • Política de gestión de cambios
- + 4 políticas más
Acceso y protección
- • Política de gestión de cuentas
- • Política de control de acceso
- • Autenticación multifactor
- • Política de protección de datos
- • Estándares de cifrado
- • Gestión de vulnerabilidades
- + 5 políticas más
Monitoreo y respuesta
- • Gestión de registros de auditoría
- • Política de monitoreo de seguridad
- • Plan de respuesta a incidentes
- • Política de defensa contra malware
- • Respaldo y recuperación de datos
- • Capacitación de conciencia de seguridad
- + 3 políticas más
Preguntas frecuentes
Preguntas comunes sobre la implementación de los Controles CIS
¿Listo para implementar los Controles CIS?
Inicie su camino de ciberseguridad con nuestra evaluación guiada y herramientas de implementación.