Qué son los CIS Controls
El Center for Internet Security publica dieciocho Controls, cada uno dividido en salvaguardas: acciones concretas como mantener un inventario de dispositivos, configurarlos de forma segura, gestionar vulnerabilidades, controlar los derechos de administrador, conservar registros de auditoría, proteger el correo electrónico y los navegadores, defenderse del malware, recuperar datos, formar al personal, gestionar a los proveedores de servicios, probar las aplicaciones, responder a incidentes y realizar pruebas de penetración. La versión 8.1, de 2024, alineó las salvaguardas con el NIST Cybersecurity Framework 2.0 y añadió la gobernanza como función.
Las salvaguardas se reparten en tres Implementation Groups. IG1 es la base que toda organización debería cumplir. IG2 añade lo que necesita una organización con datos sensibles y personal de TI propio. IG3 es para organizaciones que se enfrentan a atacantes decididos.
Qué pregunta un cuestionario basado en CIS
Los clientes que usan los CIS Controls, a menudo del sector público, de la sanidad y empresas estadounidenses, hacen preguntas que parecen una lista de comprobación: si mantiene un inventario de todos los dispositivos y el software de la empresa, con qué rapidez se aplican los parches críticos, si se exige autenticación multifactor para el acceso remoto y de administración, si se conservan registros de auditoría y durante cuánto tiempo, si las copias de seguridad están aisladas y probadas, qué Implementation Group cumple. Las preguntas son concretas, y también lo son las respuestas que esperan.
Responder como proveedor
Responda a cada salvaguarda con qué se hace, cómo y con qué frecuencia, y dónde está la evidencia. «Parches críticos en un plazo de 14 días, controlados en el escáner de vulnerabilidades, excepciones aprobadas por el CTO» responde a una pregunta sobre parches. Si se autoevalúa frente a los Controls, indique qué Implementation Group cumple y adjunte la evaluación; el CIS publica una herramienta gratuita para ello. Cuando una salvaguarda corresponde a su proveedor de alojamiento, como los servidores físicos, dígalo y cite su certificación.
Las respuestas técnicas se solapan con casi cualquier otro cuestionario. Los mismos hechos sobre parches, acceso, registros y copias de seguridad responden a ISO 27001, SOC 2 y el SIG, así que guárdelos en un solo lugar.
En Responsemate
La respuesta de cada salvaguarda está una sola vez en la base de conocimiento, con la evidencia y su fecha de caducidad adjuntas, y cada cuestionario se redacta a partir de ella con las fuentes visibles en la fila. Conocimiento en Responsemate.
Preguntas que hacen las personas
¿Podemos certificarnos en los CIS Controls?
No. No existe una certificación CIS. Los clientes preguntan qué Implementation Group cumple y piden evidencia de las salvaguardas, y algunos auditores evalúan los controles como parte de otros trabajos.
¿A qué Implementation Group debería aspirar un proveedor SaaS pequeño?
Como mínimo el Implementation Group 1, lo que el Center for Internet Security llama higiene cibernética esencial. La mayoría de los clientes que usan los CIS Controls esperan que un proveedor SaaS cumpla IG1 por completo y parte de IG2.