Creados en 2008, los CIS control o controles de seguridad críticos CIS son un conjunto de estrategias capaces de enfrentar las debilidades de las organizaciones en términos del cumplimiento en Ciberseguridad y privacidad.
Desde entonces, su popularización y aplicación es cada vez mayor. Tanto, que, en la actualidad, los controles CIS constituyen uno de los elementos más importantes a la hora de disminuir las amenazas, tratar las vulnerabilidades y fortalecer la postura de seguridad de las empresas.
En este artículo profundizaremos sobre CIS control, abordaremos las mejores prácticas para implementarlos de forma segura en su organización y demostraremos por qué pueden ser sus mejores aliados cuando de afianzar la seguridad cibernética se trata.
Para definir qué es un CIS Control, primero debemos saber qué es el CIS.
CIS son las siglas del Center for Internet Security: una organización sin ánimos de lucro formada por los mejores expertos en el área de la Ciberseguridad (Cybersegurity).
Al hablar de CIS Controls, nos referimos a un grupo de estrategias de seguridad diseñadas para ayudar a las organizaciones a identificar, prevenir y responder eficazmente a los ciberataques maliciosos más comunes, como malware de rescate (ransomware), phishing, entre otros.
Al implementar los CIS de seguridad de manera efectiva, las organizaciones pueden reducir significativamente la posibilidad de sufrir brechas en redes y sistemas operativos. Es un método ideal para la protección de datos confidenciales y la disminución de la superficie de ataque.
Como estos controles de seguridad se actualizan cada cierto tiempo, los estándares CIS permiten a las empresas adaptarse al cumplimiento normativo de Ciberseguridad y privacidad vigente, como la ISO 27001.
En su última actualización (versión 8) se plantean 18 controles, que van desde el Inventario y Control de los Activos Empresariales hasta las Pruebas de Penetración.
Los benchmarks (igualmente creados por el CIS), son un grupo de recomendaciones de configuración para los programas y productos de los proveedores de servicio más populares del mundo, como Microsoft 365, Azure Linux, Amazon, Google, entre otros. Su objetivo es reforzar la Ciberseguridad de cada uno a través de su propio sistema.
Microsoft, por ejemplo, cuenta con sugerencias de configuración de seguridad para varias de sus plataformas y sistemas como:
Conozca ahora algunos beneficios implícitos en la CIS seguridad basada en los controles:
Aunque los beneficios de aplicar los estándares CIS son innegables, su implementación puede resultar compleja y extensa. Por suerte, existen varias prácticas que pueden simplificar este proceso. A continuación, le presentamos algunas de ellas:
Es crucial realizar una evaluación exhaustiva de los riesgos y desafíos de seguridad a los que ya se enfrenta la organización. De esta manera, será posible priorizar cuál de los CIS seguridad deben implementarse con mayor urgencia y cuáles pueden esperar un poco más.
Algunas preguntas que puede hacerse durante esta evaluación son:
Realizar un plan detallado en el que se especifiquen los objetivos que se esperan con la aplicación de los controles CIS será el punto de partida para una implementación efectiva. Esto ayudará a que las empresas puedan:
Otro aspecto es que las prioridades de Ciberseguridad pueden variar respecto a la realidad y regulaciones cada país, por lo que tener en cuenta el entorno en el que se desenvuelve la organización será igual de importante. Si está en CDMX, por ejemplo, es imprescindible conocer los datos de Ciberseguridad de México.
Si bien la mayor parte de la responsabilidad de la aplicación de estos controles recae en el equipo TI, es esencial que todo el personal (sin importar jerarquías o departamentos) esté alineado con los objetivos y directrices del nuevo sistema. Para conseguirlo, es necesario:
Contar con las herramientas adecuadas que favorezcan la seguridad marcará una enorme diferencia al evaluar los controles que cumplan o no con las expectativas.
En ese sentido, sistemas como Microsoft Entra ID (Azure Active Directory), Microsoft Defender, Microsoft Priva, entre otros, contribuirán a:
Sin duda, el CIS control y los benchmarks son aliados capaces de hacer frente a los riesgos implícitos en la digitalización. Al establecer las directrices y pautas idóneas para salvaguardar la información y prevenir los ataques externos e internos, estos estándares contribuyen a disminuir las brechas y mejoran la postura de seguridad de las empresas.
Por eso, a pesar de que su implementación no es obligatoria, sí es altamente recomendable para las empresas que priorizan su seguridad y las de sus clientes.
Desde luego, los servicios de Ciberseguridad de ne Digital también juegan un papel fundamental en este contexto, debido a que, con su capacidad de crear estrategias personalizadas y adaptadas a las necesidades de su empresa, le permitirán alcanzar altos niveles de seguridad en todas las áreas.
¿Quiere saber más sobre Ciberseguridad y cultura organizacional? Le invitamos a conocer sobre los controles normativos Sagrilaft y quiénes están obligados a cumplirlos.