CIS Controls v8: o que a plataforma cobre

Os CIS Controls são um conjunto de práticas de segurança priorizadas, mantidas por uma organização sem fins lucrativos. Eles não certificam nada, e são provavelmente o framework mais útil do catálogo para quem está começando.

O motivo é simples: enquanto outras normas dizem gerencie o risco de acesso, os CIS Controls dizem o que fazer, em que ordem, e o que fazer primeiro.

Para quem serve

Para praticamente qualquer empresa, e especialmente para dois perfis:

Quem está começando e quer resultado antes de certificado. Se ninguém está pedindo norma ainda, mas você quer reduzir risco de verdade, este é o melhor ponto de partida do catálogo.

Quem já tem norma e quer saber se está protegido. É comum uma empresa estar certificada e ainda assim ter lacunas básicas. Os CIS Controls revelam isso rápido.

Ele também é o framework mais fácil de justificar internamente, porque cada item é concreto e mensurável.

A priorização é o diferencial

A característica mais valiosa: os controles são divididos em grupos de implementação, do mais básico ao mais avançado.

O primeiro grupo é higiene essencial: o que toda empresa deveria fazer, independentemente de porte ou setor. Os grupos seguintes acrescentam profundidade para organizações com mais recursos e mais exposição.

Isso resolve a pergunta que mais paralisa quem começa, por onde eu começo?, com uma resposta clara: pelo primeiro grupo, e só depois pelo resto.

Empresas pequenas que atendem bem o primeiro grupo estão em situação melhor que empresas grandes com certificado e higiene fraca.

🖼️ Imagem: CIS Controls na plataforma, com os controles e o progresso.

O que ele cobra, em linhas gerais

Os dezoito controles cobrem, entre outros temas:

• Inventário de dispositivos e de software, saber o que existe antes de proteger.
• Proteção de dados e configuração segura.
• Gestão de contas e de acesso privilegiado.
• Gestão contínua de vulnerabilidades.
• Registro e análise de logs.
• Proteção de e-mail, navegador e defesa contra código malicioso.
• Recuperação de dados e segurança de rede.
• Conscientização, resposta a incidentes e testes de segurança.

Repare que os dois primeiros são inventário. Não é acidente: a maior parte das falhas de segurança acontece em algo que ninguém sabia que existia.

Este é o framework mais automatizável do catálogo

Aqui está a razão prática para começar por ele na plataforma. Como os controles descrevem estado técnico verificável, uma parcela grande deles é comprovada pelas integrações, sem trabalho manual.

Na prática: conecte as integrações de nuvem, identidade e dispositivos, e uma parte considerável do framework se resolve sozinha. É a melhor demonstração do valor do monitoramento contínuo.

Por onde começar

1. Conecte as integrações primeiro. Aqui o retorno é imediato e alto.
2. Concentre-se no primeiro grupo de implementação. Ignore o resto até ele estar sólido.
3. Ataque os controles de inventário. Eles costumam revelar surpresas, e sustentam todos os outros.
4. Só então avance para os grupos mais exigentes.

A relação com as outras normas

Como os CIS Controls são práticos e as normas são formais, eles se complementam bem.

O caminho que costuma funcionar melhor: usar os CIS Controls para se proteger de verdade, e habilitar ISO 27001 ou SOC 2 quando o mercado pedir prova. Boa parte do trabalho técnico já estará feito, e o esforço restante será documental.

Também vale como diagnóstico: se você tem certificado e o primeiro grupo do CIS está incompleto, isso é informação importante.

O que costuma dar problema

• Ir direto aos controles avançados. Fica bonito no relatório e deixa o básico exposto.
• Inventário incompleto. É o controle mais chato e o mais consequente.
• Ignorar as integrações. Fazer manualmente o que a plataforma verifica sozinha é desperdício.
• Esperar um certificado. Não existe certificação de CIS Controls. O valor está na proteção, não no selo.

⚠️ Esta página descreve o propósito e a estrutura geral do conjunto de controles em linguagem própria, para orientar o uso da plataforma. Ela não reproduz o material normativo. As publicações da organização responsável são a referência oficial.