Comparación
ISO 27001 frente a CIS Controls: el sistema de gestión cumple la línea base técnica
ISO/IEC 27001:2022 · CIS Controls v8.1 · datos 2026-10-27
Por Paul Gillet · Actualizado 2026-10-17
ISO/IEC 27001 y los CIS Critical Security Controls resuelven problemas distintos. ISO 27001 es un sistema de gestión certificable: le obliga a identificar riesgos, elegir controles y demostrar que los aplica. CIS Controls v8.1 es una línea base técnica priorizada: 18 controles y 153 salvaguardas, agrupados en Grupos de Implementación para que las organizaciones más pequeñas sepan por dónde empezar.
Al pasar de ISO 27001 a CIS, cada salvaguarda de CIS tiene correspondencia con algún elemento de ISO en nuestros datos, porque el Anexo A cubre las mismas áreas con un nivel más general: inventario de activos, accesos, registro de eventos, gestión de vulnerabilidades, software malicioso y copias de seguridad. Lo que CIS añade es especificidad, como herramientas automatizadas de descubrimiento, registro de la línea de comandos o antimalware basado en el comportamiento, así que una organización que ya trabaja con ISO debería usar CIS como lista de verificación para ver hasta qué profundidad llega cada control. La mayoría de los enlaces a CIS son Editorial de ControlMapping, porque la correspondencia publicada por el propio CIS solo cubre 49 salvaguardas.
Al pasar de CIS a ISO 27001, el trabajo nuevo es el sistema de gestión (alcance, objetivos, evaluación y tratamiento de riesgos, Declaración de Aplicabilidad, auditoría interna, revisión por la dirección) además de áreas que CIS deja fuera: seguridad física, inteligencia de amenazas, gestión de cambios y obligaciones legales como la privacidad.
De un vistazo
| ISO 27001 | CIS v8.1 | |
|---|---|---|
| Qué es | Norma de sistema de gestión certificable | Salvaguardas técnicas priorizadas |
| Certificación | Sí | No |
| Estructura | Cláusulas 4–10 y 93 controles del Anexo A | 18 controles, 153 salvaguardas, 3 Grupos de Implementación |
| Coste de uso | Norma vendida por ISO, más auditorías | Uso gratuito (CC BY-NC-ND) |
Conclusiones clave
- Utilice los IG1–IG2 de CIS como plan técnico de implementación dentro de un SGSI conforme a ISO 27001.
- De CIS a ISO: presupueste los capítulos del SGSI y la seguridad física.
- De ISO a CIS: espere pocos temas nuevos, pero configuraciones técnicas más profundas y específicas.
Descargar esta comparación (CSV) Abrir en análisis de brechas →
Tiene ISO 27001 → necesita CIS v8.1
153 req. 153 asignados · · 0 sin asignación Abrir en vista de brechas →De los 153 requisitos de CIS Controls v8.1, 153 se corresponden con algo en ISO 27001, 0 solo guardan una relación tangencial y 0 no tienen correspondencia en nuestros datos.
La tabla de correspondencias publicada por CIS cubre 49 de 153 salvaguardas; ControlMapping correlacionó el resto de forma editorial, con un motivo para cada una, así que revise esos vínculos antes de basarse en ellos.
Correspondencia (153)
| CIS v8.1 | Requisito | Coincidencia | ISO 27001 | Evidencia |
|---|---|---|---|---|
| 1. Inventory and Control of Enterprise Assets · 5 | ||||
| CIS 1.1 | Establish and Maintain Detailed Enterprise Asset Inventory | Correspondencia | A.5.9A.5.11A.7.14 | Mismo tema: Gestión de activos |
| CIS 1.2 | Address Unauthorized Assets | Editorial | A.5.9A.5.11A.7.14 | Mismo tema: Gestión de activos (selección editorial) |
| CIS 1.3 | Utilize an Active Discovery Tool | Editorial | A.5.9A.5.11A.7.14 | Mismo tema: Gestión de activos (selección editorial) |
| CIS 1.4 | Use Dynamic Host Configuration Protocol (DHCP) Logging to Update Enterprise Asset Inventory | Editorial | A.5.9A.5.11A.7.14 | Mismo tema: Gestión de activos (selección editorial) |
| CIS 1.5 | Use a Passive Asset Discovery Tool | Editorial | A.5.9A.5.11A.7.14 | Mismo tema: Gestión de activos (selección editorial) |
| 2. Inventory and Control of Software Assets · 7 | ||||
| CIS 2.1 | Establish and Maintain a Software Inventory | Correspondencia | A.5.9A.5.11A.7.14 | Mismo tema: Gestión de activos |
| CIS 2.2 | Ensure Authorized Software is Currently Supported | Correspondencia | A.8.8 | Mismo tema: Gestión de parches |
| CIS 2.3 | Address Unauthorized Software | Editorial | A.5.9A.5.11A.7.14 | Mismo tema: Gestión de activos (selección editorial) |
| CIS 2.4 | Utilize Automated Software Inventory Tools | Editorial | A.5.9A.5.11A.7.14 | Mismo tema: Gestión de activos (selección editorial) |
| CIS 2.5 | Allowlist Authorized Software | Correspondencia | A.8.19A.8.1A.8.7 | Mismo tema: Protección de endpoints |
| CIS 2.6 | Allowlist Authorized Libraries | Editorial | A.8.1A.8.7A.8.19 | Mismo tema: Protección de endpoints (selección editorial) |
| CIS 2.7 | Allowlist Authorized Scripts | Editorial | A.8.1A.8.7A.8.19 | Mismo tema: Protección de endpoints (selección editorial) |
| 3. Data Protection · 14 | ||||
| CIS 3.1 | Establish and Maintain a Data Management Process | Editorial | A.5.14A.8.10A.8.11 | Mismo tema: Protección de datos (selección editorial) |
| CIS 3.2 | Establish and Maintain a Data Inventory | Correspondencia | A.5.12A.5.13 | Mismo tema: Clasificación de datos |
| CIS 3.3 | Configure Data Access Control Lists | Correspondencia | A.5.15A.5.16A.5.18+1 | Mismo tema: Control de acceso |
| CIS 3.4 | Enforce Data Retention | Editorial | A.5.14A.8.10A.8.11 | Mismo tema: Protección de datos (selección editorial) |
| CIS 3.5 | Securely Dispose of Data | Editorial | A.5.14A.8.10A.8.11 | Mismo tema: Protección de datos (selección editorial) |
| CIS 3.6 | Encrypt Data on End-User Devices | Editorial | A.8.24 | Mismo tema: Cifrado (selección editorial) |
| CIS 3.7 | Establish and Maintain a Data Classification Scheme | Correspondencia | A.5.12A.5.13 | Mismo tema: Clasificación de datos |
| CIS 3.8 | Document Data Flows | Editorial | A.5.12A.5.13 | Mismo tema: Clasificación de datos (selección editorial) |
| CIS 3.9 | Encrypt Data on Removable Media | Editorial | A.8.24 | Mismo tema: Cifrado (selección editorial) |
| CIS 3.10 | Encrypt Sensitive Data in Transit | Correspondencia | A.8.24 | Mismo tema: Cifrado |
| CIS 3.11 | Encrypt Sensitive Data at Rest | Correspondencia | A.5.14A.8.10A.8.11+1 | Mismo tema: Protección de datos |
| CIS 3.12 | Segment Data Processing and Storage Based on Sensitivity | Editorial | A.5.14A.8.10A.8.11 | Mismo tema: Protección de datos (selección editorial) |
| CIS 3.13 | Deploy a Data Loss Prevention Solution | Editorial | A.8.12 | Mismo tema: DLP (selección editorial) |
| CIS 3.14 | Log Sensitive Data Access | Editorial | A.8.15A.8.17 | Mismo tema: Registro y auditoría (selección editorial) |
| 4. Secure Configuration of Enterprise Assets and Software · 12 | ||||
| CIS 4.1 | Establish and Maintain a Secure Configuration Process | Correspondencia | A.8.9 | Mismo tema: Configuración segura |
| CIS 4.2 | Establish and Maintain a Secure Configuration Process for Network Infrastructure | Correspondencia | A.8.9 | Mismo tema: Configuración segura |
| CIS 4.3 | Configure Automatic Session Locking on Enterprise Assets | Editorial | A.8.9 | Mismo tema: Configuración segura (selección editorial) |
| CIS 4.4 | Implement and Manage a Firewall on Servers | Editorial | A.8.20A.8.21A.8.22 | Mismo tema: Cortafuegos / Segmentación de red (selección editorial) |
| CIS 4.5 | Implement and Manage a Firewall on End-User Devices | Editorial | A.8.20A.8.21A.8.22 | Mismo tema: Cortafuegos / Segmentación de red (selección editorial) |
| CIS 4.6 | Securely Manage Enterprise Assets and Software | Editorial | A.8.9 | Mismo tema: Configuración segura (selección editorial) |
| CIS 4.7 | Manage Default Accounts on Enterprise Assets and Software | Editorial | A.8.9 | Mismo tema: Configuración segura (selección editorial) |
| CIS 4.8 | Uninstall or Disable Unnecessary Services on Enterprise Assets and Software | Editorial | A.8.9 | Mismo tema: Configuración segura (selección editorial) |
| CIS 4.9 | Configure Trusted DNS Servers on Enterprise Assets | Editorial | A.8.20A.8.21 | Mismo tema: Seguridad DNS (selección editorial) |
| CIS 4.10 | Enforce Automatic Device Lockout on Portable End-User Devices | Editorial | A.6.7A.8.1 | Mismo tema: Seguridad móvil (selección editorial) |
| CIS 4.11 | Enforce Remote Wipe Capability on Portable End-User Devices | Editorial | A.6.7A.8.1 | Mismo tema: Seguridad móvil (selección editorial) |
| CIS 4.12 | Separate Enterprise Workspaces on Mobile End-User Devices | Editorial | A.6.7A.8.1 | Mismo tema: Seguridad móvil (selección editorial) |
| 5. Account Management · 6 | ||||
| CIS 5.1 | Establish and Maintain an Inventory of Accounts | Correspondencia | A.5.15A.5.16A.5.18+1 | Mismo tema: Control de acceso |
| CIS 5.2 | Use Unique Passwords | Editorial | A.5.15A.5.16A.5.18+1 | Mismo tema: Control de acceso (selección editorial) |
| CIS 5.3 | Disable Dormant Accounts | Editorial | A.5.15A.5.16A.5.18+1 | Mismo tema: Control de acceso (selección editorial) |
| CIS 5.4 | Restrict Administrator Privileges to Dedicated Administrator Accounts | Editorial | A.8.2A.8.18 | Mismo tema: Acceso privilegiado (selección editorial) |
| CIS 5.5 | Establish and Maintain an Inventory of Service Accounts | Editorial | A.5.15A.5.16A.5.18+1 | Mismo tema: Control de acceso (selección editorial) |
| CIS 5.6 | Centralize Account Management | Correspondencia | A.5.15A.5.16A.5.18+1 | Mismo tema: Control de acceso |
| 6. Access Control Management · 8 | ||||
| CIS 6.1 | Establish an Access Granting Process | Editorial | A.5.15A.5.16A.5.18+1 | Mismo tema: Control de acceso (selección editorial) |
| CIS 6.2 | Establish an Access Revoking Process | Editorial | A.5.15A.5.16A.5.18+1 | Mismo tema: Control de acceso (selección editorial) |
| CIS 6.3 | Require MFA for Externally-Exposed Applications | Editorial | A.8.5 | Mismo tema: Autenticación multifactor (selección editorial) |
| CIS 6.4 | Require MFA for Remote Network Access | Editorial | A.8.5 | Mismo tema: Autenticación multifactor (selección editorial) |
| CIS 6.5 | Require MFA for Administrative Access | Editorial | A.8.5 | Mismo tema: Autenticación multifactor (selección editorial) |
| CIS 6.6 | Establish and Maintain an Inventory of Authentication and Authorization Systems | Editorial | A.5.15A.5.16A.5.18+1 | Mismo tema: Control de acceso (selección editorial) |
| CIS 6.7 | Centralize Access Control | Correspondencia | A.5.15A.5.16A.5.18+1 | Mismo tema: Control de acceso |
| CIS 6.8 | Define and Maintain Role-Based Access Control | Correspondencia | A.5.15A.5.16A.5.18+3 | Mismo tema: Control de acceso, Confianza cero |
| 7. Continuous Vulnerability Management · 7 | ||||
| CIS 7.1 | Establish and Maintain a Vulnerability Management Process | Correspondencia | A.8.8 | Mismo tema: Gestión de vulnerabilidades |
| CIS 7.2 | Establish and Maintain a Remediation Process | Correspondencia | A.8.8 | Mismo tema: Gestión de vulnerabilidades |
| CIS 7.3 | Perform Automated Operating System Patch Management | Editorial | A.8.8 | Mismo tema: Gestión de parches (selección editorial) |
| CIS 7.4 | Perform Automated Application Patch Management | Editorial | A.8.8 | Mismo tema: Gestión de parches (selección editorial) |
| CIS 7.5 | Perform Automated Vulnerability Scans of Internal Enterprise Assets | Editorial | A.8.8 | Mismo tema: Gestión de vulnerabilidades (selección editorial) |
| CIS 7.6 | Perform Automated Vulnerability Scans of Externally-Exposed Enterprise Assets | Editorial | A.8.8 | Mismo tema: Gestión de vulnerabilidades (selección editorial) |
| CIS 7.7 | Remediate Detected Vulnerabilities | Editorial | A.8.8 | Mismo tema: Gestión de vulnerabilidades (selección editorial) |
| 8. Audit Log Management · 12 | ||||
| CIS 8.1 | Establish and Maintain an Audit Log Management Process | Editorial | A.8.15A.8.17 | Mismo tema: Registro y auditoría (selección editorial) |
| CIS 8.2 | Collect Audit Logs | Correspondencia | A.8.15A.8.17 | Mismo tema: Registro y auditoría |
| CIS 8.3 | Ensure Adequate Audit Log Storage | Editorial | A.8.15A.8.17 | Mismo tema: Registro y auditoría (selección editorial) |
| CIS 8.4 | Standardize Time Synchronization | Editorial | A.8.15A.8.17 | Mismo tema: Registro y auditoría (selección editorial) |
| CIS 8.5 | Collect Detailed Audit Logs | Editorial | A.8.15A.8.17 | Mismo tema: Registro y auditoría (selección editorial) |
| CIS 8.6 | Collect DNS Query Audit Logs | Editorial | A.8.20A.8.21 | Mismo tema: Seguridad DNS (selección editorial) |
| CIS 8.7 | Collect URL Request Audit Logs | Editorial | A.8.15A.8.17 | Mismo tema: Registro y auditoría (selección editorial) |
| CIS 8.8 | Collect Command-Line Audit Logs | Editorial | A.8.15A.8.17 | Mismo tema: Registro y auditoría (selección editorial) |
| CIS 8.9 | Centralize Audit Logs | Editorial | A.5.25A.8.16 | Mismo tema: SIEM / SOC (selección editorial) |
| CIS 8.10 | Retain Audit Logs | Editorial | A.8.15A.8.17 | Mismo tema: Registro y auditoría (selección editorial) |
| CIS 8.11 | Conduct Audit Log Reviews | Correspondencia | A.8.16 | Mismo tema: Detección de anomalías |
| CIS 8.12 | Collect Service Provider Logs | Editorial | A.8.15A.8.17 | Mismo tema: Registro y auditoría (selección editorial) |
| 9. Email and Web Browser Protections · 7 | ||||
| CIS 9.1 | Ensure Use of Only Fully Supported Browsers and Email Clients | Editorial | A.5.14 | Mismo tema: Seguridad del correo electrónico (selección editorial) |
| CIS 9.2 | Use DNS Filtering Services | Editorial | A.8.20A.8.21 | Mismo tema: Seguridad DNS (selección editorial) |
| CIS 9.3 | Maintain and Enforce Network-Based URL Filters | Editorial | A.8.26 | Mismo tema: Seguridad web (selección editorial) |
| CIS 9.4 | Restrict Unnecessary or Unauthorized Browser and Email Client Extensions | Editorial | A.5.14 | Mismo tema: Seguridad del correo electrónico (selección editorial) |
| CIS 9.5 | Implement DMARC | Editorial | A.5.14 | Mismo tema: Seguridad del correo electrónico (selección editorial) |
| CIS 9.6 | Block Unnecessary File Types | Editorial | A.5.14 | Mismo tema: Seguridad del correo electrónico (selección editorial) |
| CIS 9.7 | Deploy and Maintain Email Server Anti-Malware Protections | Editorial | A.5.14 | Mismo tema: Seguridad del correo electrónico (selección editorial) |
| 10. Malware Defenses · 7 | ||||
| CIS 10.1 | Deploy and Maintain Anti-Malware Software | Correspondencia | A.8.19A.8.1A.8.7 | Mismo tema: Protección de endpoints |
| CIS 10.2 | Configure Automatic Anti-Malware Signature Updates | Editorial | A.8.1A.8.7A.8.19 | Mismo tema: Protección de endpoints (selección editorial) |
| CIS 10.3 | Disable Autorun and Autoplay for Removable Media | Editorial | A.8.1A.8.7A.8.19 | Mismo tema: Protección de endpoints (selección editorial) |
| CIS 10.4 | Configure Automatic Anti-Malware Scanning of Removable Media | Editorial | A.8.1A.8.7A.8.19 | Mismo tema: Protección de endpoints (selección editorial) |
| CIS 10.5 | Enable Anti-Exploitation Features | Editorial | A.8.1A.8.7A.8.19 | Mismo tema: Protección de endpoints (selección editorial) |
| CIS 10.6 | Centrally Manage Anti-Malware Software | Editorial | A.8.1A.8.7A.8.19 | Mismo tema: Protección de endpoints (selección editorial) |
| CIS 10.7 | Use Behavior-Based Anti-Malware Software | Editorial | A.8.1A.8.7A.8.19 | Mismo tema: Protección de endpoints (selección editorial) |
| 11. Data Recovery · 5 | ||||
| CIS 11.1 | Establish and Maintain a Data Recovery Process | Editorial | A.5.29A.5.30A.8.14 | Mismo tema: Planificación de la recuperación, Recuperación ante desastres (selección editorial) |
| CIS 11.2 | Perform Automated Backups | Correspondencia | A.8.13 | Mismo tema: Copias de seguridad y recuperación |
| CIS 11.3 | Protect Recovery Data | Correspondencia | A.8.13 | Mismo tema: Copias de seguridad y recuperación |
| CIS 11.4 | Establish and Maintain an Isolated Instance of Recovery Data | Editorial | A.8.13 | Mismo tema: Copias de seguridad y recuperación (selección editorial) |
| CIS 11.5 | Test Data Recovery | Correspondencia | A.8.13 | Mismo tema: Copias de seguridad y recuperación |
| 12. Network Infrastructure Management · 8 | ||||
| CIS 12.1 | Ensure Network Infrastructure is Up-to-Date | Editorial | A.8.8 | Mismo tema: Gestión de parches (selección editorial) |
| CIS 12.2 | Establish and Maintain a Secure Network Architecture | Correspondencia | A.5.15A.8.5A.8.20+2 | Mismo tema: Confianza cero, Cortafuegos / Segmentación de red |
| CIS 12.3 | Securely Manage Network Infrastructure | Editorial | A.8.20A.8.21A.8.22 | Mismo tema: Cortafuegos / Segmentación de red (selección editorial) |
| CIS 12.4 | Establish and Maintain Architecture Diagram(s) | Editorial | A.8.20A.8.21A.8.22 | Mismo tema: Cortafuegos / Segmentación de red (selección editorial) |
| CIS 12.5 | Centralize Network Authentication, Authorization, and Auditing (AAA) | Editorial | A.5.15A.5.16A.5.18+1 | Mismo tema: Control de acceso (selección editorial) |
| CIS 12.6 | Use of Secure Network Management and Communication Protocols | Editorial | A.8.20A.8.21A.8.22 | Mismo tema: Cortafuegos / Segmentación de red (selección editorial) |
| CIS 12.7 | Ensure Remote Devices Utilize a VPN and are Connecting to an Enterprise's AAA Infrastructure | Editorial | A.5.15A.8.5A.8.22 | Mismo tema: Confianza cero (selección editorial) |
| CIS 12.8 | Establish and Maintain Dedicated Computing Resources for All Administrative Work | Editorial | A.8.2A.8.18 | Mismo tema: Acceso privilegiado (selección editorial) |
| 13. Network Monitoring and Defense · 11 | ||||
| CIS 13.1 | Centralize Security Event Alerting | Correspondencia | A.8.16A.5.25 | Mismo tema: Monitoreo cont., SIEM / SOC |
| CIS 13.2 | Deploy a Host-Based Intrusion Detection Solution | Editorial | A.8.16 | Mismo tema: Detección de intrusiones (selección editorial) |
| CIS 13.3 | Deploy a Network Intrusion Detection Solution | Editorial | A.8.16 | Mismo tema: Detección de intrusiones (selección editorial) |
| CIS 13.4 | Perform Traffic Filtering Between Network Segments | Editorial | A.8.20A.8.21A.8.22 | Mismo tema: Cortafuegos / Segmentación de red (selección editorial) |
| CIS 13.5 | Manage Access Control for Remote Assets | Editorial | A.5.15A.8.5A.8.22 | Mismo tema: Confianza cero (selección editorial) |
| CIS 13.6 | Collect Network Traffic Flow Logs | Editorial | A.8.16 | Mismo tema: Monitoreo cont. (selección editorial) |
| CIS 13.7 | Deploy a Host-Based Intrusion Prevention Solution | Editorial | A.8.16 | Mismo tema: Detección de intrusiones (selección editorial) |
| CIS 13.8 | Deploy a Network Intrusion Prevention Solution | Editorial | A.8.16 | Mismo tema: Detección de intrusiones (selección editorial) |
| CIS 13.9 | Deploy Port-Level Access Control | Editorial | A.8.20A.8.21A.8.22 | Mismo tema: Cortafuegos / Segmentación de red (selección editorial) |
| CIS 13.10 | Perform Application Layer Filtering | Editorial | A.8.20A.8.26 | Mismo tema: WAF, Seguridad web (selección editorial) |
| CIS 13.11 | Tune Security Event Alerting Thresholds | Editorial | A.5.25A.8.16 | Mismo tema: SIEM / SOC (selección editorial) |
| 14. Security Awareness and Skills Training · 9 | ||||
| CIS 14.1 | Establish and Maintain a Security Awareness Program | Correspondencia | A.6.3Clause 7.3 | Mismo tema: Concienciación y formación |
| CIS 14.2 | Train Workforce Members to Recognize Social Engineering Attacks | Editorial | A.6.3Clause 7.3 | Mismo tema: Concienciación y formación (selección editorial) |
| CIS 14.3 | Train Workforce Members on Authentication Best Practices | Editorial | A.6.3Clause 7.3 | Mismo tema: Concienciación y formación (selección editorial) |
| CIS 14.4 | Train Workforce on Data Handling Best Practices | Editorial | A.6.3Clause 7.3 | Mismo tema: Concienciación y formación (selección editorial) |
| CIS 14.5 | Train Workforce Members on Causes of Unintentional Data Exposure | Editorial | A.6.3Clause 7.3 | Mismo tema: Concienciación y formación (selección editorial) |
| CIS 14.6 | Train Workforce Members on Recognizing and Reporting Security Incidents | Editorial | A.6.3Clause 7.3 | Mismo tema: Concienciación y formación (selección editorial) |
| CIS 14.7 | Train Workforce on How to Identify and Report if Their Enterprise Assets are Missing Security Updates | Editorial | A.6.3Clause 7.3 | Mismo tema: Concienciación y formación (selección editorial) |
| CIS 14.8 | Train Workforce on the Dangers of Connecting to and Transmitting Enterprise Data Over Insecure Networks | Editorial | A.6.3Clause 7.3 | Mismo tema: Concienciación y formación (selección editorial) |
| CIS 14.9 | Conduct Role-Specific Security Awareness and Skills Training | Correspondencia | A.6.3Clause 7.3 | Mismo tema: Concienciación y formación |
| 15. Service Provider Management · 7 | ||||
| CIS 15.1 | Establish and Maintain an Inventory of Service Providers | Correspondencia | A.5.19A.5.20A.5.22+1 | Mismo tema: Gestión de riesgos de proveedores |
| CIS 15.2 | Establish and Maintain a Service Provider Management Policy | Correspondencia | A.5.19A.5.21 | Mismo tema: Riesgo de la cadena de suministro |
| CIS 15.3 | Classify Service Providers | Correspondencia | A.5.19A.5.20A.5.22 | Mismo tema: Gestión de riesgos de proveedores |
| CIS 15.4 | Ensure Service Provider Contracts Include Security Requirements | Editorial | A.5.19A.5.20A.5.22 | Mismo tema: Gestión de riesgos de proveedores (selección editorial) |
| CIS 15.5 | Assess Service Providers | Correspondencia | A.5.19A.5.20A.5.22 | Mismo tema: Gestión de riesgos de proveedores |
| CIS 15.6 | Monitor Service Providers | Correspondencia | A.5.19A.5.20A.5.22 | Mismo tema: Gestión de riesgos de proveedores |
| CIS 15.7 | Securely Decommission Service Providers | Editorial | A.5.19A.5.20A.5.22 | Mismo tema: Gestión de riesgos de proveedores (selección editorial) |
| 16. Application Software Security · 14 | ||||
| CIS 16.1 | Establish and Maintain a Secure Application Development Process | Correspondencia | A.8.25A.8.26A.8.28+1 | Mismo tema: Desarrollo seguro |
| CIS 16.2 | Establish and Maintain a Process to Accept and Address Software Vulnerabilities | Editorial | A.8.25A.8.26A.8.28+1 | Mismo tema: Desarrollo seguro (selección editorial) |
| CIS 16.3 | Perform Root Cause Analysis on Security Vulnerabilities | Editorial | A.8.25A.8.26A.8.28+1 | Mismo tema: Desarrollo seguro (selección editorial) |
| CIS 16.4 | Establish and Manage an Inventory of Third-Party Software Components | Editorial | A.5.9A.5.11A.7.14 | Mismo tema: Gestión de activos (selección editorial) |
| CIS 16.5 | Use Up-to-Date and Trusted Third-Party Software Components | Editorial | A.8.25A.8.26A.8.28+1 | Mismo tema: Desarrollo seguro (selección editorial) |
| CIS 16.6 | Establish and Maintain a Severity Rating System and Process for Application Vulnerabilities | Editorial | A.8.8 | Mismo tema: Gestión de vulnerabilidades (selección editorial) |
| CIS 16.7 | Use Standard Hardening Configuration Templates for Application Infrastructure | Editorial | A.8.9 | Mismo tema: Configuración segura (selección editorial) |
| CIS 16.8 | Separate Production and Non-Production Systems | Editorial | A.8.25A.8.26A.8.28+1 | Mismo tema: Desarrollo seguro (selección editorial) |
| CIS 16.9 | Train Developers in Application Security Concepts and Secure Coding | Editorial | A.8.25A.8.26A.8.28+1 | Mismo tema: Desarrollo seguro (selección editorial) |
| CIS 16.10 | Apply Secure Design Principles in Application Architectures | Editorial | A.8.5A.8.26 | Mismo tema: Seguridad de APIs, Seguridad web (selección editorial) |
| CIS 16.11 | Leverage Vetted Modules or Services for Application Security Components | Editorial | A.8.25A.8.26A.8.28+1 | Mismo tema: Desarrollo seguro (selección editorial) |
| CIS 16.12 | Implement Code-Level Security Checks | Editorial | A.8.5A.8.25A.8.26+2 | Mismo tema: Seguridad de APIs, Desarrollo seguro (selección editorial) |
| CIS 16.13 | Conduct Application Penetration Testing | Editorial | A.8.25A.8.26A.8.28+1 | Mismo tema: Desarrollo seguro (selección editorial) |
| CIS 16.14 | Conduct Threat Modeling | Editorial | A.8.25A.8.26A.8.28+1 | Mismo tema: Desarrollo seguro (selección editorial) |
| 17. Incident Response Management · 9 | ||||
| CIS 17.1 | Designate Personnel to Manage Incident Handling | Editorial | A.5.24A.5.25A.5.26 | Mismo tema: Respuesta a incidentes (selección editorial) |
| CIS 17.2 | Establish and Maintain Contact Information for Reporting Security Incidents | Correspondencia | Clause 7.4A.5.6 | Mismo tema: Comunicación |
| CIS 17.3 | Establish and Maintain an Enterprise Process for Reporting Incidents | Editorial | A.5.5A.6.8 | Mismo tema: Notificación (selección editorial) |
| CIS 17.4 | Establish and Maintain an Incident Response Process | Correspondencia | A.5.24A.5.25A.5.26 | Mismo tema: Respuesta a incidentes |
| CIS 17.5 | Assign Key Roles and Responsibilities | Editorial | A.5.24A.5.25A.5.26 | Mismo tema: Respuesta a incidentes (selección editorial) |
| CIS 17.6 | Define Mechanisms for Communicating During Incident Response | Correspondencia | A.5.26Clause 7.4A.5.6 | Mismo tema: Comunicaciones y restauración, Comunicación |
| CIS 17.7 | Conduct Routine Incident Response Exercises | Editorial | A.5.24A.5.25A.5.26 | Mismo tema: Respuesta a incidentes (selección editorial) |
| CIS 17.8 | Conduct Post-Incident Reviews | Editorial | A.5.27Clause 10.1 | Mismo tema: Lecciones aprendidas (selección editorial) |
| CIS 17.9 | Establish and Maintain Security Incident Thresholds | Editorial | A.5.24A.5.25A.5.26 | Mismo tema: Respuesta a incidentes (selección editorial) |
| 18. Penetration Testing · 5 | ||||
| CIS 18.1 | Establish and Maintain a Penetration Testing Program | Editorial | A.8.8 | Mismo tema: Gestión de vulnerabilidades (selección editorial) |
| CIS 18.2 | Perform Periodic External Penetration Tests | Editorial | A.8.8 | Mismo tema: Gestión de vulnerabilidades (selección editorial) |
| CIS 18.3 | Remediate Penetration Test Findings | Editorial | A.8.8 | Mismo tema: Gestión de vulnerabilidades (selección editorial) |
| CIS 18.4 | Validate Security Measures | Editorial | A.8.8 | Mismo tema: Gestión de vulnerabilidades (selección editorial) |
| CIS 18.5 | Perform Periodic Internal Penetration Tests | Editorial | A.8.8 | Mismo tema: Gestión de vulnerabilidades (selección editorial) |
Tiene CIS v8.1 → necesita ISO 27001
123 req. 53 asignados · · 32 sin asignación Abrir en vista de brechas →De los 123 requisitos de ISO/IEC 27001:2022, 53 se corresponden con algo en CIS v8.1, 38 solo guardan una relación tangencial y 32 no tienen correspondencia en nuestros datos.
Probablemente trabajo nuevo: requisitos de ISO 27001 sin correspondencia con CIS v8.1 (32)
| ISO 27001 | Requisito | Coincidencia | CIS v8.1 | Evidencia |
|---|---|---|---|---|
| A.5 Organizational controls · 6 | ||||
| A.5.7 | Threat intelligence | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| A.5.32 | Intellectual property rights | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| A.5.34 | Privacy and protection of PII | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| A.5.35 | Independent review of information security | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| A.5.36 | Compliance with policies, rules and standards for information security | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| A.5.37 | Documented operating procedures | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| A.7 Physical controls · 8 | ||||
| A.7.1 | Physical security perimeters | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| A.7.2 | Physical entry | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| A.7.3 | Securing offices, rooms and facilities | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| A.7.5 | Protecting against physical and environmental threats | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| A.7.6 | Working in secure areas | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| A.7.8 | Equipment siting and protection | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| A.7.11 | Supporting utilities | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| A.7.12 | Cabling security | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| A.8 Technological controls · 3 | ||||
| A.8.30 | Outsourced development | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| A.8.32 | Change management | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| A.8.34 | Protection of information systems during audit testing | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| ISMS clauses 4–10 · 15 | ||||
| Clause 4.1 | Understanding the organization and its context | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| Clause 4.3 | Determining the scope of the ISMS | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| Clause 4.4 | Information security management system | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| Clause 5.1 | Leadership and commitment | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| Clause 6.2 | Information security objectives and planning to achieve them | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| Clause 6.3 | Planning of changes | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| Clause 7.1 | Resources | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| Clause 7.5.1 | General | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| Clause 7.5.2 | Creating and updating | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| Clause 7.5.3 | Control of documented information | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| Clause 8.2 | Information security risk assessment | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| Clause 8.3 | Information security risk treatment | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| Clause 9.2.1 | General | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| Clause 9.2.2 | Internal audit programme | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
| Clause 10.2 | Nonconformity and corrective action | Sin correspondencia en nuestros datos | — | Sin correspondencia con CIS v8.1 en nuestros datos. |
Revise estos: solo relacionados de forma tenue (un resultado común de CSF, no una correspondencia) (38)
| ISO 27001 | Requisito | Coincidencia | CIS v8.1 | Evidencia |
|---|---|---|---|---|
| A.5 Organizational controls · 10 | ||||
| A.5.1 | Policies for information security | CIS 3.3CIS 3.11CIS 5.1+5 | Solo comparte subcategorías de CSF PR.AA-05, PR.DS-01: relacionado, no es una correspondencia | |
| A.5.2 | Information security roles and responsibilities | CIS 14.9CIS 15.4CIS 14.2+5 | Solo comparte subcategorías de CSF GV.RR-02, PR.AT-02, GV.SC-02: relacionado, no es una correspondencia | |
| A.5.3 | Segregation of duties | CIS 3.3CIS 3.10CIS 3.11+5 | Solo comparte subcategorías de CSF PR.AA-05, PR.DS-02, PR.DS-01: relacionado, no es una correspondencia | |
| A.5.4 | Management responsibilities | CIS 14.1CIS 15.4 | Solo comparte subcategorías de CSF GV.RR-01, GV.SC-02: relacionado, no es una correspondencia | |
| A.5.8 | Information security in project management | CIS 1.1CIS 3.5CIS 1.2+5 | Solo comparte subcategorías de CSF ID.AM-08: relacionado, no es una correspondencia | |
| A.5.10 | Acceptable use of information and other associated assets | CIS 3.10CIS 3.11CIS 3.1+5 | Solo comparte subcategorías de CSF PR.DS-02, PR.DS-01, PR.DS-10: relacionado, no es una correspondencia | |
| A.5.17 | Authentication information | CIS 3.3CIS 5.1CIS 6.8+5 | Solo comparte subcategorías de CSF PR.AA-05: relacionado, no es una correspondencia | |
| A.5.28 | Collection of evidence | CIS 17.4CIS 17.1CIS 17.5+2 | Solo comparte subcategorías de CSF RS.MA-01, RS.MA-02: relacionado, no es una correspondencia | |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | CIS 15.4CIS 15.5CIS 15.6+1 | Solo comparte subcategorías de CSF GV.SC-05, GV.SC-06, GV.SC-07: relacionado, no es una correspondencia | |
| A.5.33 | Protection of records | CIS 3.11CIS 3.1CIS 3.4+5 | Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia | |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | CIS 3.10CIS 3.11CIS 6.1+5 | Solo comparte subcategorías de CSF PR.DS-02, PR.DS-01, GV.RR-04: relacionado, no es una correspondencia | |
| A.6.2 | Terms and conditions of employment | CIS 3.10CIS 3.11CIS 6.1+5 | Solo comparte subcategorías de CSF PR.DS-02, PR.DS-01, GV.RR-04: relacionado, no es una correspondencia | |
| A.6.4 | Disciplinary process | CIS 6.1CIS 6.2 | Solo comparte subcategorías de CSF GV.RR-04: relacionado, no es una correspondencia | |
| A.6.5 | Responsibilities after termination or change of employment | CIS 3.10CIS 3.11CIS 6.1+5 | Solo comparte subcategorías de CSF PR.DS-02, PR.DS-01, GV.RR-04: relacionado, no es una correspondencia | |
| A.6.6 | Confidentiality or non-disclosure agreements | CIS 6.1CIS 6.2 | Solo comparte subcategorías de CSF GV.RR-04: relacionado, no es una correspondencia | |
| A.7 Physical controls · 5 | ||||
| A.7.4 | Physical security monitoring | CIS 10.7CIS 13.6 | Solo comparte subcategorías de CSF DE.CM-03: relacionado, no es una correspondencia | |
| A.7.7 | Clear desk and clear screen | CIS 3.11CIS 3.1CIS 3.4+5 | Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia | |
| A.7.9 | Security of assets off-premises | CIS 3.11CIS 3.1CIS 3.4+5 | Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia | |
| A.7.10 | Storage media | CIS 3.5CIS 1.1CIS 3.11+5 | Solo comparte subcategorías de CSF ID.AM-08, PR.DS-01: relacionado, no es una correspondencia | |
| A.7.13 | Equipment maintenance | CIS 1.1CIS 3.5CIS 1.2+5 | Solo comparte subcategorías de CSF ID.AM-08: relacionado, no es una correspondencia | |
| A.8 Technological controls · 6 | ||||
| A.8.4 | Access to source code | CIS 3.3CIS 3.10CIS 3.11+5 | Solo comparte subcategorías de CSF PR.AA-05, PR.DS-02, PR.DS-01: relacionado, no es una correspondencia | |
| A.8.6 | Capacity management | CIS 10.1CIS 2.6CIS 2.7+5 | Solo comparte subcategorías de CSF DE.CM-09: relacionado, no es una correspondencia | |
| A.8.23 | Web filtering | CIS 3.12CIS 12.2CIS 4.4+5 | Solo comparte subcategorías de CSF PR.IR-01: relacionado, no es una correspondencia | |
| A.8.27 | Secure system architecture and engineering principles | CIS 11.1 | Solo comparte subcategorías de CSF PR.IR-03: relacionado, no es una correspondencia | |
| A.8.31 | Separation of development, test and production environments | CIS 16.1CIS 9.3CIS 13.10+5 | Solo comparte subcategorías de CSF PR.PS-06: relacionado, no es una correspondencia | |
| A.8.33 | Test information | CIS 3.11CIS 3.1CIS 3.4+5 | Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia | |
| ISMS clauses 4–10 · 12 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | CIS 15.4CIS 3.10CIS 3.11+5 | Solo comparte subcategorías de CSF GV.SC-05, GV.SC-06, PR.DS-02, PR.DS-01: relacionado, no es una correspondencia | |
| Clause 5.2 | Policy | CIS 3.10CIS 3.11CIS 3.1+5 | Solo comparte subcategorías de CSF PR.DS-02, PR.DS-01, PR.DS-10: relacionado, no es una correspondencia | |
| Clause 5.3 | Organizational roles, responsibilities and authorities | CIS 15.4 | Solo comparte subcategorías de CSF GV.SC-02: relacionado, no es una correspondencia | |
| Clause 6.1.1 | General | CIS 15.7CIS 15.6CIS 15.1+3 | Solo comparte subcategorías de CSF GV.SC-04, GV.SC-07, GV.SC-10, GV.SC-09: relacionado, no es una correspondencia | |
| Clause 6.1.2 | Information security risk assessment | CIS 15.7CIS 15.6CIS 7.2+5 | Solo comparte subcategorías de CSF GV.SC-04, GV.SC-07, GV.SC-10, GV.SC-09…: relacionado, no es una correspondencia | |
| Clause 6.1.3 | Information security risk treatment | CIS 15.7CIS 15.1CIS 15.3+2 | Solo comparte subcategorías de CSF GV.SC-04, GV.SC-07, GV.SC-10: relacionado, no es una correspondencia | |
| Clause 7.2 | Competence | CIS 14.1CIS 14.9 | Solo comparte subcategorías de CSF GV.RR-01, GV.RR-02: relacionado, no es una correspondencia | |
| Clause 8.1 | Operational planning and control | CIS 15.2 | Solo comparte subcategorías de CSF GV.SC-01: relacionado, no es una correspondencia | |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | CIS 10.7CIS 13.6 | Solo comparte subcategorías de CSF DE.CM-03: relacionado, no es una correspondencia | |
| Clause 9.3.1 | General | CIS 4.1CIS 4.2CIS 4.3+5 | Solo comparte subcategorías de CSF PR.PS-01: relacionado, no es una correspondencia | |
| Clause 9.3.2 | Management review inputs | CIS 4.1CIS 4.2CIS 4.3+5 | Solo comparte subcategorías de CSF PR.PS-01: relacionado, no es una correspondencia | |
| Clause 9.3.3 | Management review results | CIS 4.1CIS 4.2CIS 4.3+5 | Solo comparte subcategorías de CSF PR.PS-01: relacionado, no es una correspondencia | |
Correspondencia (53)
| ISO 27001 | Requisito | Coincidencia | CIS v8.1 | Evidencia |
|---|---|---|---|---|
| A.5 Organizational controls · 21 | ||||
| A.5.5 | Contact with authorities | Editorial | CIS 17.3 | Mismo tema: Notificación (selección editorial) |
| A.5.6 | Contact with special interest groups | Editorial | CIS 17.2CIS 17.6 | Mismo tema: Comunicación (selección editorial) |
| A.5.9 | Inventory of information and other associated assets | Correspondencia | CIS 1.1CIS 2.1CIS 1.2+6 | Mismo tema: Gestión de activos |
| A.5.11 | Return of assets | Correspondencia | CIS 1.1CIS 2.1CIS 1.2+6 | Mismo tema: Gestión de activos |
| A.5.12 | Classification of information | Correspondencia | CIS 3.2CIS 3.7CIS 3.8 | Mismo tema: Clasificación de datos |
| A.5.13 | Labelling of information | Correspondencia | CIS 3.2CIS 3.7CIS 3.8 | Mismo tema: Clasificación de datos |
| A.5.14 | Information transfer | Correspondencia | CIS 3.11CIS 3.1CIS 3.4+7 | Mismo tema: Protección de datos |
| A.5.15 | Access control | Correspondencia | CIS 3.3CIS 5.1CIS 5.6+12 | Mismo tema: Control de acceso |
| A.5.16 | Identity management | Correspondencia | CIS 3.3CIS 5.1CIS 5.6+9 | Mismo tema: Control de acceso |
| A.5.18 | Access rights | Correspondencia | CIS 3.3CIS 5.1CIS 5.6+9 | Mismo tema: Control de acceso |
| A.5.19 | Information security in supplier relationships | Correspondencia | CIS 15.1CIS 15.2CIS 15.3+4 | Mismo tema: Gestión de riesgos de proveedores, Riesgo de la cadena de suministro |
| A.5.20 | Addressing information security within supplier agreements | Correspondencia | CIS 15.1CIS 15.3CIS 15.5+3 | Mismo tema: Gestión de riesgos de proveedores |
| A.5.21 | Managing information security in the ICT supply chain | Correspondencia | CIS 15.2 | Mismo tema: Riesgo de la cadena de suministro |
| A.5.22 | Monitoring, review and change management of supplier services | Correspondencia | CIS 15.1CIS 15.3CIS 15.5+3 | Mismo tema: Gestión de riesgos de proveedores |
| A.5.23 | Information security for use of cloud services | Correspondencia | CIS 15.1 | Mismo tema: Seguridad en la nube |
| A.5.24 | Information security incident management planning and preparation | Correspondencia | CIS 17.4CIS 17.1CIS 17.5+2 | Mismo tema: Respuesta a incidentes |
| A.5.25 | Assessment and decision on information security events | Correspondencia | CIS 17.4CIS 8.9CIS 13.1+5 | Mismo tema: Respuesta a incidentes, SIEM / SOC |
| A.5.26 | Response to information security incidents | Correspondencia | CIS 17.4CIS 17.6CIS 17.1+3 | Mismo tema: Respuesta a incidentes, Comunicaciones y restauración |
| A.5.27 | Learning from information security incidents | Editorial | CIS 17.8 | Mismo tema: Lecciones aprendidas (selección editorial) |
| A.5.29 | Information security during disruption | Editorial | CIS 11.1 | Mismo tema: Planificación de la recuperación (selección editorial) |
| A.5.30 | ICT readiness for business continuity | Editorial | CIS 11.1 | Mismo tema: Planificación de la recuperación, Recuperación ante desastres (selección editorial) |
| A.6 People controls · 3 | ||||
| A.6.3 | Information security awareness, education and training | Correspondencia | CIS 14.1CIS 14.9CIS 14.2+6 | Mismo tema: Concienciación y formación |
| A.6.7 | Remote working | Editorial | CIS 4.10CIS 4.11CIS 4.12 | Mismo tema: Seguridad móvil (selección editorial) |
| A.6.8 | Information security event reporting | Editorial | CIS 17.3 | Mismo tema: Notificación (selección editorial) |
| A.7 Physical controls · 1 | ||||
| A.7.14 | Secure disposal or re-use of equipment | Correspondencia | CIS 1.1CIS 2.1CIS 1.2+6 | Mismo tema: Gestión de activos |
| A.8 Technological controls · 25 | ||||
| A.8.1 | User endpoint devices | Editorial | CIS 2.5CIS 2.6CIS 2.7+10 | Mismo tema: Protección de endpoints (selección editorial) |
| A.8.2 | Privileged access rights | Editorial | CIS 5.4CIS 12.8 | Mismo tema: Acceso privilegiado (selección editorial) |
| A.8.3 | Information access restriction | Correspondencia | CIS 3.3CIS 5.1CIS 5.6+9 | Mismo tema: Control de acceso |
| A.8.5 | Secure authentication | Correspondencia | CIS 6.8CIS 12.2CIS 6.3+6 | Mismo tema: Confianza cero, Autenticación multifactor |
| A.8.7 | Protection against malware | Editorial | CIS 2.5CIS 2.6CIS 2.7+7 | Mismo tema: Protección de endpoints (selección editorial) |
| A.8.8 | Management of technical vulnerabilities | Correspondencia | CIS 2.2CIS 7.1CIS 7.2+12 | Mismo tema: Gestión de parches, Gestión de vulnerabilidades |
| A.8.9 | Configuration management | Correspondencia | CIS 4.1CIS 4.2CIS 4.3+4 | Mismo tema: Configuración segura |
| A.8.10 | Information deletion | Correspondencia | CIS 3.11CIS 3.1CIS 3.4+2 | Mismo tema: Protección de datos |
| A.8.11 | Data masking | Correspondencia | CIS 3.11CIS 3.1CIS 3.4+2 | Mismo tema: Protección de datos |
| A.8.12 | Data leakage prevention | Editorial | CIS 3.13 | Mismo tema: DLP (selección editorial) |
| A.8.13 | Information backup | Correspondencia | CIS 11.2CIS 11.3CIS 11.5+1 | Mismo tema: Copias de seguridad y recuperación |
| A.8.14 | Redundancy of information processing facilities | Editorial | CIS 11.1 | Mismo tema: Recuperación ante desastres (selección editorial) |
| A.8.15 | Logging | Correspondencia | CIS 8.2CIS 3.14CIS 8.1+7 | Mismo tema: Registro y auditoría |
| A.8.16 | Monitoring activities | Correspondencia | CIS 8.11CIS 13.1CIS 8.9+6 | Mismo tema: Detección de anomalías, Monitoreo cont., SIEM / SOC |
| A.8.17 | Clock synchronization | Correspondencia | CIS 8.2CIS 3.14CIS 8.1+7 | Mismo tema: Registro y auditoría |
| A.8.18 | Use of privileged utility programs | Editorial | CIS 5.4CIS 12.8 | Mismo tema: Acceso privilegiado (selección editorial) |
| A.8.19 | Installation of software on operational systems | Correspondencia | CIS 2.5CIS 10.1CIS 2.6+7 | Mismo tema: Protección de endpoints |
| A.8.20 | Networks security | Correspondencia | CIS 12.2CIS 4.4CIS 4.5+9 | Mismo tema: Cortafuegos / Segmentación de red |
| A.8.21 | Security of network services | Correspondencia | CIS 12.2CIS 4.4CIS 4.5+8 | Mismo tema: Cortafuegos / Segmentación de red |
| A.8.22 | Segregation of networks | Correspondencia | CIS 6.8CIS 12.2CIS 4.4+8 | Mismo tema: Confianza cero, Cortafuegos / Segmentación de red |
| A.8.24 | Use of cryptography | Correspondencia | CIS 3.10CIS 3.11CIS 3.6+1 | Mismo tema: Cifrado |
| A.8.25 | Secure development life cycle | Correspondencia | CIS 16.1CIS 16.2CIS 16.3+7 | Mismo tema: Desarrollo seguro |
| A.8.26 | Application security requirements | Correspondencia | CIS 16.1CIS 9.3CIS 13.10+10 | Mismo tema: Desarrollo seguro, Seguridad web |
| A.8.28 | Secure coding | Correspondencia | CIS 16.1CIS 16.2CIS 16.3+7 | Mismo tema: Desarrollo seguro |
| A.8.29 | Security testing in development and acceptance | Correspondencia | CIS 16.1CIS 16.2CIS 16.3+7 | Mismo tema: Desarrollo seguro |
| ISMS clauses 4–10 · 3 | ||||
| Clause 7.3 | Awareness | Correspondencia | CIS 14.1CIS 14.9CIS 14.2+6 | Mismo tema: Concienciación y formación |
| Clause 7.4 | Communication | Correspondencia | CIS 17.2CIS 17.6 | Mismo tema: Comunicación, Comunicaciones y restauración |
| Clause 10.1 | Continual improvement | Editorial | CIS 17.8 | Mismo tema: Lecciones aprendidas (selección editorial) |
Por tema
Ambos cubren (38):
Concienciación y formaciónRiesgo de la cadena de suministroGestión de activosClasificación de datosGestión de vulnerabilidadesControl de accesoAutenticación multifactorCifradoProtección de datosCopias de seguridad y recuperaciónAcceso privilegiadoCortafuegos / Segmentación de redProtección de endpointsGestión de parchesConfiguración seguraDesarrollo seguroSeguridad del correo electrónicoSeguridad webConfianza ceroSeguridad móvilSeguridad en la nubeSeguridad DNSWAFDLPMonitoreo cont.Registro y auditoríaDetección de intrusionesDetección de anomalíasSIEM / SOCRespuesta a incidentesComunicaciónNotificaciónPlanificación de la recuperaciónLecciones aprendidasComunicaciones y restauraciónRecuperación ante desastresSeguridad de APIsGestión de riesgos de proveedores
Solo ISO 27001 (12):
Preguntas
¿Pueden los CIS Controls sustituir a ISO 27001?
Solo si nadie necesita un certificado. CIS ofrece una orientación técnica sólida, pero no un sistema de gestión ni certificación.
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Con correspondencia = incluido junto en un tema de ControlMapping, o vinculado directamente. Los crosswalks no demuestran cumplimiento. Metodología · Descargar los datos · Notificar un error.