Brecha de CIS Controls: por qué solo 49 de 153 salvaguardas tienen correspondencia publicada

Los CIS Critical Security Controls son muy apreciados por los profesionales porque indican exactamente qué hacer: inventariar sus activos con descubrimiento automatizado, poner en lista de permitidos el software y recopilar registros de auditoría de la línea de comandos. La versión 8.1 tiene 18 controles y 153 salvaguardas, priorizadas en tres Grupos de Implementación. Relacionarlas con otros marcos debería ser fácil, y CIS publicó en el catálogo OLIR de NIST una correspondencia con NIST CSF 2.0.

Esa correspondencia cubre 49 salvaguardas. Las otras 104 no tienen ningún vínculo publicado en ella.

Qué cubren las 49

Las salvaguardas de la presentación de CIS en OLIR se reparten entre los controles, con énfasis en las que apoyan más directamente un resultado de CSF. Muchas de las salvaguardas técnicas específicas (tipos concretos de registros, determinados ajustes de antimalware, análisis separados de activos internos y externos) no aparecen, probablemente porque CIS asignó cada una al nivel en el que existía un vínculo uno a uno claro. La asignación más completa de CIS está en su propio sitio web, tras un formulario de descarga, y su licencia (CC BY-NC-ND) limita cómo otros pueden reutilizarla.

Cómo tratamos las otras 104

En lugar de dejar sin asignar dos tercios de CIS, ControlMapping ubicó cada salvaguarda restante en el tema al que claramente pertenece (los análisis de vulnerabilidades en gestión de vulnerabilidades, las salvaguardas de registros de auditoría en registro, la formación del personal en concienciación), cada una etiquetada como editorial con una razón de una línea. El resultado:

De los 153 salvaguardas de CIS v8.1, 153 (100%) se corresponden con algo en NIST CSF 2.0, 0 solo guardan una relación tangencial y 0 no tienen correspondencia en nuestros datos. Abrir el informe de brechas →

Ahora cada salvaguarda de CIS se asigna a un tema definido por CSF. Pero la mayoría de esos vínculos son nuestro criterio, no el de CIS, y conviene tratarlos así.

Por qué "asignar" parece tan fácil en CIS

Las salvaguardas de CIS son estrechas y técnicas, así que casi cualquier marco amplio las toca a nivel de tema. El control de registro de ISO 27001 se relaciona con cada salvaguarda de registro de CIS, y los resultados de vulnerabilidades de NIST se relacionan con cada salvaguarda de análisis. Eso hace que CIS parezca casi totalmente cubierto por cualquier otro marco, como encontró nuestro análisis de punto de partida de marcos. En la práctica, la salvaguarda de CIS suele ser el requisito más exigente: ISO le pide que registre, mientras que CIS le dice qué registros.

La otra dirección

De los 106 subcategorías de NIST CSF 2.0, 59 (56%) se corresponden con algo en CIS v8.1, 9 solo guardan una relación tangencial y 38 no tienen correspondencia en nuestros datos. Abrir el informe de brechas →

Al pasar de CIS a CSF 2.0, las brechas son sobre todo de gobernanza: CIS v8.1 es una base operativa y dice poco sobre el contexto organizacional, la estrategia de riesgo o los programas de cadena de suministro, que constituyen la función Gobernar de CSF.

Puntos clave

• La correspondencia de acceso abierto de CIS con NIST CSF 2.0 cubre 49 de las 153 salvaguardas de CIS Controls v8.1; el resto se asigna aquí por criterio, cada una con una razón.
• Como las salvaguardas de CIS son estrechas y técnicas, casi cualquier marco más amplio parece cubrirlas. En la práctica, la salvaguarda de CIS suele ser el requisito más exigente.
• Al pasar de CIS a otros marcos, la principal brecha es la gobernanza: estrategia de riesgo, supervisión y programas de cadena de suministro.
• Utilice CIS como detalle de implementación bajo ISO 27001 o CSF, y obtenga la correspondencia completa de CIS si una auditoría necesita un vínculo autorizado.

Cómo usar CIS con otro marco

1. Utilice CIS como detalle de implementación bajo un marco más amplio: ISO 27001 o CSF dicen qué lograr, y CIS IG1 e IG2 dicen cómo.
2. Trate los vínculos editoriales como puntos de partida. Nuestras páginas de requisitos muestran qué vínculos de CIS están respaldados por correspondencia y cuáles son nuestros; CIS Controls v8.1 enumera las 153 salvaguardas con ambos.
3. Obtenga la correspondencia completa de CIS si necesita un vínculo CIS-CSF autorizado para una auditoría.

La comparativa NIST CSF vs CIS y la comparativa ISO 27001 vs CIS cubren ambas direcciones.

Preguntas

¿Publica CIS una asignación completa a NIST CSF 2.0?

CIS publica una asignación más completa en su propio sitio web, tras un formulario de descarga. La correspondencia de acceso abierto en el catálogo OLIR de NIST cubre 49 de las 153 salvaguardas de CIS Controls v8.1.

¿Son fiables los vínculos de CIS de ControlMapping?

Los 49 vínculos respaldados por correspondencia son de CIS. El resto es contenido editorial de ControlMapping, ubicado en temas con una razón indicada; compárelos con la asignación completa de CIS antes de confiar en ellos.

¿Qué son los Grupos de Implementación de CIS?

Tres niveles de salvaguardas de CIS: IG1 es higiene cibernética esencial para cualquier organización, IG2 añade salvaguardas para organizaciones con entornos más complejos e IG3 añade las destinadas a organizaciones que enfrentan ataques sofisticados.