CIS Controls: Guia Prático dos Controles Críticos de Segurança

Os CIS Controls são um conjunto priorizado de práticas de cibersegurança mantidas pelo Center for Internet Security. Na versão v8.1, são 18 controles agrupados em cerca de 150 salvaguardas, organizados de forma que uma empresa consiga saber exatamente por onde começar — algo raro em frameworks de segurança. Se o NIST CSF diz "o que" alcançar, os CIS Controls dizem "como" e "em que ordem".

A lógica por trás dos CIS Controls

Os CIS Controls nascem de dados: são revisados por uma comunidade global que analisa incidentes reais e mede quais controles bloqueiam a maior parte dos ataques observados. Por isso a lista é priorizada: os primeiros controles derrubam a maioria dos vetores comuns (phishing, credenciais fracas, ativos desconhecidos). Isso torna o framework especialmente útil para empresas que precisam de resultado rápido, sem entrar direto em um SGSI completo.

Os Implementation Groups (IG1, IG2, IG3)

O grande diferencial dos CIS Controls é a divisão em Implementation Groups, que traduzem "porte e risco" em um recorte prático:

• IG1 — Cyber Hygiene Essencial: base mínima que qualquer empresa deve ter. São ~56 salvaguardas focadas em higiene cibernética: inventário, MFA, patching, backup, conscientização. É o piso.
• IG2 — Organização com dados sensíveis: empresas que lidam com dados regulados ou têm equipe de TI/segurança dedicada. Adiciona controles de segmentação, log centralizado, gestão de vulnerabilidades mais madura.
• IG3 — Organização com risco elevado: alvos de ataque sofisticado (financeiro, saúde, crítico). Adiciona threat intel, pentest recorrente, red team, resposta a incidentes avançada.

Exemplos de controles críticos

• Controle 1 — Inventário de ativos empresariais: você só protege o que sabe que existe.
• Controle 3 — Proteção de dados: classificação, criptografia, controle de fluxo.
• Controle 5 — Gestão de contas: contas privilegiadas, ciclo de vida, revisões periódicas.
• Controle 6 — Controle de acesso: MFA, princípio do menor privilégio.
• Controle 8 — Gestão de logs: coleta, centralização e retenção adequadas.
• Controle 14 — Conscientização e treinamento: fator humano ainda é o vetor mais explorado.

Por onde começar

Comece pelo IG1, sempre. É o mínimo defensável e cobre a maior parte dos ataques oportunistas. Um caminho pragmático:

1. Faça um diagnóstico rápido de maturidade para saber onde você está.
2. Feche as salvaguardas do IG1 (inventário, MFA, backup, patching, conscientização).
3. Só então avance para IG2/IG3 conforme o perfil de risco da empresa.

CIS Controls, NIST CSF e ISO 27001

Os três se complementam. O NIST CSF é o mapa estratégico ("o que alcançar"). A ISO 27001 é o sistema de gestão certificável. Os CIS Controls são a lista tática priorizada dos controles a implementar. É comum ter os três em jogo: CSF na governança, CIS na execução técnica e ISO 27001 na certificação. Compare os três na página de Frameworks.

Operando com vCISO

Empresas médias raramente têm um CISO em tempo integral para conduzir a implementação. O vCISO da Tripla assume essa cadeira e usa o Autoritas para manter o mapa de salvaguardas, evidências e indicadores dos CIS Controls sempre atualizado — no modelo Consulting as a Software. Assim, IG1 vira realidade em semanas, não em anos.