Os CIS Controls v8, mantidos pelo Center for Internet Security (CIS), são um conjunto prescritivo de 18 controles e 153 salvaguardas (safeguards) priorizados para defesa de cibersegurança. A versão 8, lançada em 2021, consolida controles relacionados a trabalho remoto, cloud e mobilidade.
Diferente do NIST CSF (que é descritivo e organiza outcomes), o CIS Controls é prescritivo — diz exatamente o que fazer, passo a passo. Os dois frameworks são complementares: NIST como linguagem de governance, CIS como manual de implementação.
Os 18 controles CIS v8
Os controles são apresentados em ordem de priorização recomendada pelo CIS. Os primeiros 6 cobrem cyber hygiene básica.
- Inventário e Controle de Ativos Corporativos (Inventory and Control of Enterprise Assets) — Inventário de hardware
- Inventário e Controle de Ativos de Software (Inventory and Control of Software Assets) — Inventário de software autorizado
- Proteção de Dados (Data Protection) — Classificação, criptografia e disposição segura
- Configuração Segura de Ativos e Software (Secure Configuration of Enterprise Assets and Software) — Hardening de OS, apps e devices
- Gerenciamento de Contas (Account Management) — Gestão de contas (incluindo serviço e admin)
- Gerenciamento de Controle de Acesso (Access Control Management) — Princípio do menor privilégio, MFA
- Gerenciamento Contínuo de Vulnerabilidades (Continuous Vulnerability Management) — Scan + patch management contínuo
- Gerenciamento de Registros de Auditoria (Audit Log Management) — Coleta, retenção e revisão de logs
- Proteções de E-mail e Navegador Web (Email and Web Browser Protections) — Filtros, DMARC, anti-phishing
- Defesas contra Malware (Malware Defenses) — EDR e anti-malware enterprise
- Recuperação de Dados (Data Recovery) — Backup testado, recovery validável
- Gerenciamento de Infraestrutura de Rede (Network Infrastructure Management) — Configuração segura de rede e segmentação
- Monitoramento e Defesa de Rede (Network Monitoring and Defense) — IDS/IPS, NDR, segmentação ativa
- Conscientização e Treinamento em Segurança (Security Awareness and Skills Training) — Treinamento contínuo, phishing simulado
- Gerenciamento de Fornecedores de Serviços (Service Provider Management) — Gestão de risco de fornecedores
- Segurança de Aplicativos (Application Software Security) — SDLC seguro, SAST/DAST
- Gerenciamento de Resposta a Incidentes (Incident Response Management) — Plano de resposta documentado e testado
- Teste de Invasão (Penetration Testing) — Pentest externo periódico, red team em IG3
Implementation Groups (IG1, IG2, IG3)
Os IGs definem subconjuntos das 153 safeguards por tamanho e maturidade da organização. Permitem que o framework seja praticável para uma padaria local e para uma multinacional sob regulação.
IG1 — Cyber hygiene essencial (56 safeguards)
O piso para qualquer organização. Cobre o básico: inventário, MFA, backup, treinamento. Aplicável a pequenas empresas com IT limitado, dados não-sensíveis e baixa exposição regulatória.
IG2 — Empresas com TI dedicado (130 safeguards = IG1 + 74)
Para empresas com equipe de segurança dedicada e dados sensíveis (financeiros, saúde, IP). Adiciona controles mais técnicos: SIEM, segmentação de rede, gestão de fornecedores, SAST/DAST.
IG3 — Atacantes sofisticados (153 safeguards = total)
Para organizações que enfrentam APTs ou regulação rigorosa (financeiro, defesa, infraestrutura crítica). Adiciona pentest avançado, red team, threat hunting e métricas operacionais sofisticadas.
CIS Controls vs NIST CSF
CIS Controls e NIST CSF não competem — se complementam. O NIST CSF organiza os outcomes desejados (o que medir), o CIS Controls prescreve as ações para alcançá-los (como fazer). O CIS publica mapping oficial entre os dois frameworks; plataformas modernas mantêm cross-referência ativa para que a organização avalie em um framework e reporte no outro.
Próximo passo
A CyberAtlas avalia maturidade em CIS Controls v8 com validação de evidências assistida por IA, mapping ativo para NIST CSF 2.0 e ISO 27001:2022, e plano de ação priorizado por risco.
Avalie sua maturidade CIS com a CyberAtlas, ou conheça os módulos da plataforma.