Comparação
ISO 27001 vs CIS Controls: sistema de gestão encontra a linha de base técnica
ISO/IEC 27001:2022 · CIS Controls v8.1 · dados de 2026-10-27
Por Paul Gillet · Atualizado em 2026-10-17
A ISO/IEC 27001 e os CIS Critical Security Controls resolvem problemas diferentes. A ISO 27001 é um sistema de gestão certificável: obriga você a identificar riscos, escolher controles e comprovar que os executa. O CIS Controls v8.1 é uma linha de base técnica priorizada: 18 controles e 153 salvaguardas, agrupados em Implementation Groups para que organizações menores saibam por onde começar.
Ao ir da ISO 27001 para o CIS, toda salvaguarda do CIS tem correspondência com algo na ISO em nossos dados, porque o Anexo A cobre as mesmas áreas em um nível mais alto: inventário de ativos, acesso, registro de logs, gestão de vulnerabilidades, malware e backups. O que o CIS acrescenta é especificidade, como ferramentas automatizadas de descoberta, registro de linha de comando ou antimalware baseado em comportamento. Por isso, uma organização que já usa a ISO deve tratar o CIS como uma lista de verificação sobre até que profundidade cada controle deve chegar. A maioria dos vínculos com o CIS é Editorial da ControlMapping, porque a correspondência publicada pelo próprio CIS cobre apenas 49 salvaguardas.
Ao ir do CIS para a ISO 27001, o trabalho novo está no sistema de gestão (escopo, objetivos, avaliação e tratamento de riscos, Declaração de Aplicabilidade, auditoria interna, análise crítica pela direção) e em áreas que o CIS deixa de fora: segurança física, inteligência de ameaças, gestão de mudanças e obrigações legais, como privacidade.
Em resumo
| ISO 27001 | CIS v8.1 | |
|---|---|---|
| O que é | Norma certificável de sistema de gestão | Salvaguardas técnicas priorizadas |
| Certificação | Sim | Não |
| Estrutura | Cláusulas 4–10 e 93 controles do Anexo A | 18 controles, 153 salvaguardas, 3 Implementation Groups |
| Custo de uso | Norma vendida pela ISO, além de auditorias | Gratuito para uso (CC BY-NC-ND) |
Principais conclusões
- Use os IG1–IG2 do CIS como plano técnico de implementação dentro de um SGSI ISO 27001.
- CIS → ISO: oriente o orçamento para as cláusulas do SGSI e para a segurança física.
- ISO → CIS: espere poucos tópicos novos, mas configurações técnicas mais profundas e específicas.
Descarregar esta comparação (CSV) Abrir em análise de lacunas →
Tem ISO 27001 → precisa de CIS v8.1
153 req. 153 mapeados · · 0 sem mapeamento Abrir na visão de lacunas →Dos 153 requisitos de CIS Controls v8.1, 153 mapeiam para algo em ISO 27001, 0 são apenas vagamente relacionados e 0 não têm mapeamento em nossos dados.
O crosswalk publicado pela própria CIS cobre 49 de 153 salvaguardas; a ControlMapping mapeou as restantes editorialmente, com um motivo para cada uma, por isso verifique esses vínculos antes de os usar.
Mapeado (153)
| CIS v8.1 | Requisito | Correspondência | ISO 27001 | Evidências |
|---|---|---|---|---|
| 1. Inventory and Control of Enterprise Assets · 5 | ||||
| CIS 1.1 | Establish and Maintain Detailed Enterprise Asset Inventory | Correspondência | A.5.9A.5.11A.7.14 | Mesmo tópico: Gestão de Ativos |
| CIS 1.2 | Address Unauthorized Assets | Editorial | A.5.9A.5.11A.7.14 | Mesmo tópico: Gestão de Ativos (escolha do editor) |
| CIS 1.3 | Utilize an Active Discovery Tool | Editorial | A.5.9A.5.11A.7.14 | Mesmo tópico: Gestão de Ativos (escolha do editor) |
| CIS 1.4 | Use Dynamic Host Configuration Protocol (DHCP) Logging to Update Enterprise Asset Inventory | Editorial | A.5.9A.5.11A.7.14 | Mesmo tópico: Gestão de Ativos (escolha do editor) |
| CIS 1.5 | Use a Passive Asset Discovery Tool | Editorial | A.5.9A.5.11A.7.14 | Mesmo tópico: Gestão de Ativos (escolha do editor) |
| 2. Inventory and Control of Software Assets · 7 | ||||
| CIS 2.1 | Establish and Maintain a Software Inventory | Correspondência | A.5.9A.5.11A.7.14 | Mesmo tópico: Gestão de Ativos |
| CIS 2.2 | Ensure Authorized Software is Currently Supported | Correspondência | A.8.8 | Mesmo tópico: Gestão de Patches |
| CIS 2.3 | Address Unauthorized Software | Editorial | A.5.9A.5.11A.7.14 | Mesmo tópico: Gestão de Ativos (escolha do editor) |
| CIS 2.4 | Utilize Automated Software Inventory Tools | Editorial | A.5.9A.5.11A.7.14 | Mesmo tópico: Gestão de Ativos (escolha do editor) |
| CIS 2.5 | Allowlist Authorized Software | Correspondência | A.8.19A.8.1A.8.7 | Mesmo tópico: Proteção de endpoints |
| CIS 2.6 | Allowlist Authorized Libraries | Editorial | A.8.1A.8.7A.8.19 | Mesmo tópico: Proteção de endpoints (escolha do editor) |
| CIS 2.7 | Allowlist Authorized Scripts | Editorial | A.8.1A.8.7A.8.19 | Mesmo tópico: Proteção de endpoints (escolha do editor) |
| 3. Data Protection · 14 | ||||
| CIS 3.1 | Establish and Maintain a Data Management Process | Editorial | A.5.14A.8.10A.8.11 | Mesmo tópico: Proteção de Dados (escolha do editor) |
| CIS 3.2 | Establish and Maintain a Data Inventory | Correspondência | A.5.12A.5.13 | Mesmo tópico: Classificação de Dados |
| CIS 3.3 | Configure Data Access Control Lists | Correspondência | A.5.15A.5.16A.5.18+1 | Mesmo tópico: Controle de acesso |
| CIS 3.4 | Enforce Data Retention | Editorial | A.5.14A.8.10A.8.11 | Mesmo tópico: Proteção de Dados (escolha do editor) |
| CIS 3.5 | Securely Dispose of Data | Editorial | A.5.14A.8.10A.8.11 | Mesmo tópico: Proteção de Dados (escolha do editor) |
| CIS 3.6 | Encrypt Data on End-User Devices | Editorial | A.8.24 | Mesmo tópico: Criptografia (escolha do editor) |
| CIS 3.7 | Establish and Maintain a Data Classification Scheme | Correspondência | A.5.12A.5.13 | Mesmo tópico: Classificação de Dados |
| CIS 3.8 | Document Data Flows | Editorial | A.5.12A.5.13 | Mesmo tópico: Classificação de Dados (escolha do editor) |
| CIS 3.9 | Encrypt Data on Removable Media | Editorial | A.8.24 | Mesmo tópico: Criptografia (escolha do editor) |
| CIS 3.10 | Encrypt Sensitive Data in Transit | Correspondência | A.8.24 | Mesmo tópico: Criptografia |
| CIS 3.11 | Encrypt Sensitive Data at Rest | Correspondência | A.5.14A.8.10A.8.11+1 | Mesmo tópico: Proteção de Dados |
| CIS 3.12 | Segment Data Processing and Storage Based on Sensitivity | Editorial | A.5.14A.8.10A.8.11 | Mesmo tópico: Proteção de Dados (escolha do editor) |
| CIS 3.13 | Deploy a Data Loss Prevention Solution | Editorial | A.8.12 | Mesmo tópico: DLP (escolha do editor) |
| CIS 3.14 | Log Sensitive Data Access | Editorial | A.8.15A.8.17 | Mesmo tópico: Registro e Auditoria (escolha do editor) |
| 4. Secure Configuration of Enterprise Assets and Software · 12 | ||||
| CIS 4.1 | Establish and Maintain a Secure Configuration Process | Correspondência | A.8.9 | Mesmo tópico: Configuração Segura |
| CIS 4.2 | Establish and Maintain a Secure Configuration Process for Network Infrastructure | Correspondência | A.8.9 | Mesmo tópico: Configuração Segura |
| CIS 4.3 | Configure Automatic Session Locking on Enterprise Assets | Editorial | A.8.9 | Mesmo tópico: Configuração Segura (escolha do editor) |
| CIS 4.4 | Implement and Manage a Firewall on Servers | Editorial | A.8.20A.8.21A.8.22 | Mesmo tópico: Firewall / Segmentação de rede (escolha do editor) |
| CIS 4.5 | Implement and Manage a Firewall on End-User Devices | Editorial | A.8.20A.8.21A.8.22 | Mesmo tópico: Firewall / Segmentação de rede (escolha do editor) |
| CIS 4.6 | Securely Manage Enterprise Assets and Software | Editorial | A.8.9 | Mesmo tópico: Configuração Segura (escolha do editor) |
| CIS 4.7 | Manage Default Accounts on Enterprise Assets and Software | Editorial | A.8.9 | Mesmo tópico: Configuração Segura (escolha do editor) |
| CIS 4.8 | Uninstall or Disable Unnecessary Services on Enterprise Assets and Software | Editorial | A.8.9 | Mesmo tópico: Configuração Segura (escolha do editor) |
| CIS 4.9 | Configure Trusted DNS Servers on Enterprise Assets | Editorial | A.8.20A.8.21 | Mesmo tópico: Segurança de DNS (escolha do editor) |
| CIS 4.10 | Enforce Automatic Device Lockout on Portable End-User Devices | Editorial | A.6.7A.8.1 | Mesmo tópico: Segurança Móvel (escolha do editor) |
| CIS 4.11 | Enforce Remote Wipe Capability on Portable End-User Devices | Editorial | A.6.7A.8.1 | Mesmo tópico: Segurança Móvel (escolha do editor) |
| CIS 4.12 | Separate Enterprise Workspaces on Mobile End-User Devices | Editorial | A.6.7A.8.1 | Mesmo tópico: Segurança Móvel (escolha do editor) |
| 5. Account Management · 6 | ||||
| CIS 5.1 | Establish and Maintain an Inventory of Accounts | Correspondência | A.5.15A.5.16A.5.18+1 | Mesmo tópico: Controle de acesso |
| CIS 5.2 | Use Unique Passwords | Editorial | A.5.15A.5.16A.5.18+1 | Mesmo tópico: Controle de acesso (escolha do editor) |
| CIS 5.3 | Disable Dormant Accounts | Editorial | A.5.15A.5.16A.5.18+1 | Mesmo tópico: Controle de acesso (escolha do editor) |
| CIS 5.4 | Restrict Administrator Privileges to Dedicated Administrator Accounts | Editorial | A.8.2A.8.18 | Mesmo tópico: Acesso privilegiado (escolha do editor) |
| CIS 5.5 | Establish and Maintain an Inventory of Service Accounts | Editorial | A.5.15A.5.16A.5.18+1 | Mesmo tópico: Controle de acesso (escolha do editor) |
| CIS 5.6 | Centralize Account Management | Correspondência | A.5.15A.5.16A.5.18+1 | Mesmo tópico: Controle de acesso |
| 6. Access Control Management · 8 | ||||
| CIS 6.1 | Establish an Access Granting Process | Editorial | A.5.15A.5.16A.5.18+1 | Mesmo tópico: Controle de acesso (escolha do editor) |
| CIS 6.2 | Establish an Access Revoking Process | Editorial | A.5.15A.5.16A.5.18+1 | Mesmo tópico: Controle de acesso (escolha do editor) |
| CIS 6.3 | Require MFA for Externally-Exposed Applications | Editorial | A.8.5 | Mesmo tópico: Autenticação multifator (escolha do editor) |
| CIS 6.4 | Require MFA for Remote Network Access | Editorial | A.8.5 | Mesmo tópico: Autenticação multifator (escolha do editor) |
| CIS 6.5 | Require MFA for Administrative Access | Editorial | A.8.5 | Mesmo tópico: Autenticação multifator (escolha do editor) |
| CIS 6.6 | Establish and Maintain an Inventory of Authentication and Authorization Systems | Editorial | A.5.15A.5.16A.5.18+1 | Mesmo tópico: Controle de acesso (escolha do editor) |
| CIS 6.7 | Centralize Access Control | Correspondência | A.5.15A.5.16A.5.18+1 | Mesmo tópico: Controle de acesso |
| CIS 6.8 | Define and Maintain Role-Based Access Control | Correspondência | A.5.15A.5.16A.5.18+3 | Mesmo tópico: Controle de acesso, Confiança Zero |
| 7. Continuous Vulnerability Management · 7 | ||||
| CIS 7.1 | Establish and Maintain a Vulnerability Management Process | Correspondência | A.8.8 | Mesmo tópico: Gestão de Vulnerabilidades |
| CIS 7.2 | Establish and Maintain a Remediation Process | Correspondência | A.8.8 | Mesmo tópico: Gestão de Vulnerabilidades |
| CIS 7.3 | Perform Automated Operating System Patch Management | Editorial | A.8.8 | Mesmo tópico: Gestão de Patches (escolha do editor) |
| CIS 7.4 | Perform Automated Application Patch Management | Editorial | A.8.8 | Mesmo tópico: Gestão de Patches (escolha do editor) |
| CIS 7.5 | Perform Automated Vulnerability Scans of Internal Enterprise Assets | Editorial | A.8.8 | Mesmo tópico: Gestão de Vulnerabilidades (escolha do editor) |
| CIS 7.6 | Perform Automated Vulnerability Scans of Externally-Exposed Enterprise Assets | Editorial | A.8.8 | Mesmo tópico: Gestão de Vulnerabilidades (escolha do editor) |
| CIS 7.7 | Remediate Detected Vulnerabilities | Editorial | A.8.8 | Mesmo tópico: Gestão de Vulnerabilidades (escolha do editor) |
| 8. Audit Log Management · 12 | ||||
| CIS 8.1 | Establish and Maintain an Audit Log Management Process | Editorial | A.8.15A.8.17 | Mesmo tópico: Registro e Auditoria (escolha do editor) |
| CIS 8.2 | Collect Audit Logs | Correspondência | A.8.15A.8.17 | Mesmo tópico: Registro e Auditoria |
| CIS 8.3 | Ensure Adequate Audit Log Storage | Editorial | A.8.15A.8.17 | Mesmo tópico: Registro e Auditoria (escolha do editor) |
| CIS 8.4 | Standardize Time Synchronization | Editorial | A.8.15A.8.17 | Mesmo tópico: Registro e Auditoria (escolha do editor) |
| CIS 8.5 | Collect Detailed Audit Logs | Editorial | A.8.15A.8.17 | Mesmo tópico: Registro e Auditoria (escolha do editor) |
| CIS 8.6 | Collect DNS Query Audit Logs | Editorial | A.8.20A.8.21 | Mesmo tópico: Segurança de DNS (escolha do editor) |
| CIS 8.7 | Collect URL Request Audit Logs | Editorial | A.8.15A.8.17 | Mesmo tópico: Registro e Auditoria (escolha do editor) |
| CIS 8.8 | Collect Command-Line Audit Logs | Editorial | A.8.15A.8.17 | Mesmo tópico: Registro e Auditoria (escolha do editor) |
| CIS 8.9 | Centralize Audit Logs | Editorial | A.5.25A.8.16 | Mesmo tópico: SIEM / SOC (escolha do editor) |
| CIS 8.10 | Retain Audit Logs | Editorial | A.8.15A.8.17 | Mesmo tópico: Registro e Auditoria (escolha do editor) |
| CIS 8.11 | Conduct Audit Log Reviews | Correspondência | A.8.16 | Mesmo tópico: Detecção de Anomalias |
| CIS 8.12 | Collect Service Provider Logs | Editorial | A.8.15A.8.17 | Mesmo tópico: Registro e Auditoria (escolha do editor) |
| 9. Email and Web Browser Protections · 7 | ||||
| CIS 9.1 | Ensure Use of Only Fully Supported Browsers and Email Clients | Editorial | A.5.14 | Mesmo tópico: Segurança de e-mail (escolha do editor) |
| CIS 9.2 | Use DNS Filtering Services | Editorial | A.8.20A.8.21 | Mesmo tópico: Segurança de DNS (escolha do editor) |
| CIS 9.3 | Maintain and Enforce Network-Based URL Filters | Editorial | A.8.26 | Mesmo tópico: Segurança Web (escolha do editor) |
| CIS 9.4 | Restrict Unnecessary or Unauthorized Browser and Email Client Extensions | Editorial | A.5.14 | Mesmo tópico: Segurança de e-mail (escolha do editor) |
| CIS 9.5 | Implement DMARC | Editorial | A.5.14 | Mesmo tópico: Segurança de e-mail (escolha do editor) |
| CIS 9.6 | Block Unnecessary File Types | Editorial | A.5.14 | Mesmo tópico: Segurança de e-mail (escolha do editor) |
| CIS 9.7 | Deploy and Maintain Email Server Anti-Malware Protections | Editorial | A.5.14 | Mesmo tópico: Segurança de e-mail (escolha do editor) |
| 10. Malware Defenses · 7 | ||||
| CIS 10.1 | Deploy and Maintain Anti-Malware Software | Correspondência | A.8.19A.8.1A.8.7 | Mesmo tópico: Proteção de endpoints |
| CIS 10.2 | Configure Automatic Anti-Malware Signature Updates | Editorial | A.8.1A.8.7A.8.19 | Mesmo tópico: Proteção de endpoints (escolha do editor) |
| CIS 10.3 | Disable Autorun and Autoplay for Removable Media | Editorial | A.8.1A.8.7A.8.19 | Mesmo tópico: Proteção de endpoints (escolha do editor) |
| CIS 10.4 | Configure Automatic Anti-Malware Scanning of Removable Media | Editorial | A.8.1A.8.7A.8.19 | Mesmo tópico: Proteção de endpoints (escolha do editor) |
| CIS 10.5 | Enable Anti-Exploitation Features | Editorial | A.8.1A.8.7A.8.19 | Mesmo tópico: Proteção de endpoints (escolha do editor) |
| CIS 10.6 | Centrally Manage Anti-Malware Software | Editorial | A.8.1A.8.7A.8.19 | Mesmo tópico: Proteção de endpoints (escolha do editor) |
| CIS 10.7 | Use Behavior-Based Anti-Malware Software | Editorial | A.8.1A.8.7A.8.19 | Mesmo tópico: Proteção de endpoints (escolha do editor) |
| 11. Data Recovery · 5 | ||||
| CIS 11.1 | Establish and Maintain a Data Recovery Process | Editorial | A.5.29A.5.30A.8.14 | Mesmo tópico: Planejamento de Recuperação, Recuperação de desastres (escolha do editor) |
| CIS 11.2 | Perform Automated Backups | Correspondência | A.8.13 | Mesmo tópico: Backup e recuperação |
| CIS 11.3 | Protect Recovery Data | Correspondência | A.8.13 | Mesmo tópico: Backup e recuperação |
| CIS 11.4 | Establish and Maintain an Isolated Instance of Recovery Data | Editorial | A.8.13 | Mesmo tópico: Backup e recuperação (escolha do editor) |
| CIS 11.5 | Test Data Recovery | Correspondência | A.8.13 | Mesmo tópico: Backup e recuperação |
| 12. Network Infrastructure Management · 8 | ||||
| CIS 12.1 | Ensure Network Infrastructure is Up-to-Date | Editorial | A.8.8 | Mesmo tópico: Gestão de Patches (escolha do editor) |
| CIS 12.2 | Establish and Maintain a Secure Network Architecture | Correspondência | A.5.15A.8.5A.8.20+2 | Mesmo tópico: Confiança Zero, Firewall / Segmentação de rede |
| CIS 12.3 | Securely Manage Network Infrastructure | Editorial | A.8.20A.8.21A.8.22 | Mesmo tópico: Firewall / Segmentação de rede (escolha do editor) |
| CIS 12.4 | Establish and Maintain Architecture Diagram(s) | Editorial | A.8.20A.8.21A.8.22 | Mesmo tópico: Firewall / Segmentação de rede (escolha do editor) |
| CIS 12.5 | Centralize Network Authentication, Authorization, and Auditing (AAA) | Editorial | A.5.15A.5.16A.5.18+1 | Mesmo tópico: Controle de acesso (escolha do editor) |
| CIS 12.6 | Use of Secure Network Management and Communication Protocols | Editorial | A.8.20A.8.21A.8.22 | Mesmo tópico: Firewall / Segmentação de rede (escolha do editor) |
| CIS 12.7 | Ensure Remote Devices Utilize a VPN and are Connecting to an Enterprise's AAA Infrastructure | Editorial | A.5.15A.8.5A.8.22 | Mesmo tópico: Confiança Zero (escolha do editor) |
| CIS 12.8 | Establish and Maintain Dedicated Computing Resources for All Administrative Work | Editorial | A.8.2A.8.18 | Mesmo tópico: Acesso privilegiado (escolha do editor) |
| 13. Network Monitoring and Defense · 11 | ||||
| CIS 13.1 | Centralize Security Event Alerting | Correspondência | A.8.16A.5.25 | Mesmo tópico: Monit. contínuo, SIEM / SOC |
| CIS 13.2 | Deploy a Host-Based Intrusion Detection Solution | Editorial | A.8.16 | Mesmo tópico: Detecção de intrusão (escolha do editor) |
| CIS 13.3 | Deploy a Network Intrusion Detection Solution | Editorial | A.8.16 | Mesmo tópico: Detecção de intrusão (escolha do editor) |
| CIS 13.4 | Perform Traffic Filtering Between Network Segments | Editorial | A.8.20A.8.21A.8.22 | Mesmo tópico: Firewall / Segmentação de rede (escolha do editor) |
| CIS 13.5 | Manage Access Control for Remote Assets | Editorial | A.5.15A.8.5A.8.22 | Mesmo tópico: Confiança Zero (escolha do editor) |
| CIS 13.6 | Collect Network Traffic Flow Logs | Editorial | A.8.16 | Mesmo tópico: Monit. contínuo (escolha do editor) |
| CIS 13.7 | Deploy a Host-Based Intrusion Prevention Solution | Editorial | A.8.16 | Mesmo tópico: Detecção de intrusão (escolha do editor) |
| CIS 13.8 | Deploy a Network Intrusion Prevention Solution | Editorial | A.8.16 | Mesmo tópico: Detecção de intrusão (escolha do editor) |
| CIS 13.9 | Deploy Port-Level Access Control | Editorial | A.8.20A.8.21A.8.22 | Mesmo tópico: Firewall / Segmentação de rede (escolha do editor) |
| CIS 13.10 | Perform Application Layer Filtering | Editorial | A.8.20A.8.26 | Mesmo tópico: WAF, Segurança Web (escolha do editor) |
| CIS 13.11 | Tune Security Event Alerting Thresholds | Editorial | A.5.25A.8.16 | Mesmo tópico: SIEM / SOC (escolha do editor) |
| 14. Security Awareness and Skills Training · 9 | ||||
| CIS 14.1 | Establish and Maintain a Security Awareness Program | Correspondência | A.6.3Clause 7.3 | Mesmo tópico: Conscientização e treinamento |
| CIS 14.2 | Train Workforce Members to Recognize Social Engineering Attacks | Editorial | A.6.3Clause 7.3 | Mesmo tópico: Conscientização e treinamento (escolha do editor) |
| CIS 14.3 | Train Workforce Members on Authentication Best Practices | Editorial | A.6.3Clause 7.3 | Mesmo tópico: Conscientização e treinamento (escolha do editor) |
| CIS 14.4 | Train Workforce on Data Handling Best Practices | Editorial | A.6.3Clause 7.3 | Mesmo tópico: Conscientização e treinamento (escolha do editor) |
| CIS 14.5 | Train Workforce Members on Causes of Unintentional Data Exposure | Editorial | A.6.3Clause 7.3 | Mesmo tópico: Conscientização e treinamento (escolha do editor) |
| CIS 14.6 | Train Workforce Members on Recognizing and Reporting Security Incidents | Editorial | A.6.3Clause 7.3 | Mesmo tópico: Conscientização e treinamento (escolha do editor) |
| CIS 14.7 | Train Workforce on How to Identify and Report if Their Enterprise Assets are Missing Security Updates | Editorial | A.6.3Clause 7.3 | Mesmo tópico: Conscientização e treinamento (escolha do editor) |
| CIS 14.8 | Train Workforce on the Dangers of Connecting to and Transmitting Enterprise Data Over Insecure Networks | Editorial | A.6.3Clause 7.3 | Mesmo tópico: Conscientização e treinamento (escolha do editor) |
| CIS 14.9 | Conduct Role-Specific Security Awareness and Skills Training | Correspondência | A.6.3Clause 7.3 | Mesmo tópico: Conscientização e treinamento |
| 15. Service Provider Management · 7 | ||||
| CIS 15.1 | Establish and Maintain an Inventory of Service Providers | Correspondência | A.5.19A.5.20A.5.22+1 | Mesmo tópico: Gestão de Risco de Fornecedores |
| CIS 15.2 | Establish and Maintain a Service Provider Management Policy | Correspondência | A.5.19A.5.21 | Mesmo tópico: Risco na cadeia de suprimentos |
| CIS 15.3 | Classify Service Providers | Correspondência | A.5.19A.5.20A.5.22 | Mesmo tópico: Gestão de Risco de Fornecedores |
| CIS 15.4 | Ensure Service Provider Contracts Include Security Requirements | Editorial | A.5.19A.5.20A.5.22 | Mesmo tópico: Gestão de Risco de Fornecedores (escolha do editor) |
| CIS 15.5 | Assess Service Providers | Correspondência | A.5.19A.5.20A.5.22 | Mesmo tópico: Gestão de Risco de Fornecedores |
| CIS 15.6 | Monitor Service Providers | Correspondência | A.5.19A.5.20A.5.22 | Mesmo tópico: Gestão de Risco de Fornecedores |
| CIS 15.7 | Securely Decommission Service Providers | Editorial | A.5.19A.5.20A.5.22 | Mesmo tópico: Gestão de Risco de Fornecedores (escolha do editor) |
| 16. Application Software Security · 14 | ||||
| CIS 16.1 | Establish and Maintain a Secure Application Development Process | Correspondência | A.8.25A.8.26A.8.28+1 | Mesmo tópico: Desenvolvimento Seguro |
| CIS 16.2 | Establish and Maintain a Process to Accept and Address Software Vulnerabilities | Editorial | A.8.25A.8.26A.8.28+1 | Mesmo tópico: Desenvolvimento Seguro (escolha do editor) |
| CIS 16.3 | Perform Root Cause Analysis on Security Vulnerabilities | Editorial | A.8.25A.8.26A.8.28+1 | Mesmo tópico: Desenvolvimento Seguro (escolha do editor) |
| CIS 16.4 | Establish and Manage an Inventory of Third-Party Software Components | Editorial | A.5.9A.5.11A.7.14 | Mesmo tópico: Gestão de Ativos (escolha do editor) |
| CIS 16.5 | Use Up-to-Date and Trusted Third-Party Software Components | Editorial | A.8.25A.8.26A.8.28+1 | Mesmo tópico: Desenvolvimento Seguro (escolha do editor) |
| CIS 16.6 | Establish and Maintain a Severity Rating System and Process for Application Vulnerabilities | Editorial | A.8.8 | Mesmo tópico: Gestão de Vulnerabilidades (escolha do editor) |
| CIS 16.7 | Use Standard Hardening Configuration Templates for Application Infrastructure | Editorial | A.8.9 | Mesmo tópico: Configuração Segura (escolha do editor) |
| CIS 16.8 | Separate Production and Non-Production Systems | Editorial | A.8.25A.8.26A.8.28+1 | Mesmo tópico: Desenvolvimento Seguro (escolha do editor) |
| CIS 16.9 | Train Developers in Application Security Concepts and Secure Coding | Editorial | A.8.25A.8.26A.8.28+1 | Mesmo tópico: Desenvolvimento Seguro (escolha do editor) |
| CIS 16.10 | Apply Secure Design Principles in Application Architectures | Editorial | A.8.5A.8.26 | Mesmo tópico: Segurança de APIs, Segurança Web (escolha do editor) |
| CIS 16.11 | Leverage Vetted Modules or Services for Application Security Components | Editorial | A.8.25A.8.26A.8.28+1 | Mesmo tópico: Desenvolvimento Seguro (escolha do editor) |
| CIS 16.12 | Implement Code-Level Security Checks | Editorial | A.8.5A.8.25A.8.26+2 | Mesmo tópico: Segurança de APIs, Desenvolvimento Seguro (escolha do editor) |
| CIS 16.13 | Conduct Application Penetration Testing | Editorial | A.8.25A.8.26A.8.28+1 | Mesmo tópico: Desenvolvimento Seguro (escolha do editor) |
| CIS 16.14 | Conduct Threat Modeling | Editorial | A.8.25A.8.26A.8.28+1 | Mesmo tópico: Desenvolvimento Seguro (escolha do editor) |
| 17. Incident Response Management · 9 | ||||
| CIS 17.1 | Designate Personnel to Manage Incident Handling | Editorial | A.5.24A.5.25A.5.26 | Mesmo tópico: Resposta a Incidentes (escolha do editor) |
| CIS 17.2 | Establish and Maintain Contact Information for Reporting Security Incidents | Correspondência | Clause 7.4A.5.6 | Mesmo tópico: Comunicação |
| CIS 17.3 | Establish and Maintain an Enterprise Process for Reporting Incidents | Editorial | A.5.5A.6.8 | Mesmo tópico: Notificação (escolha do editor) |
| CIS 17.4 | Establish and Maintain an Incident Response Process | Correspondência | A.5.24A.5.25A.5.26 | Mesmo tópico: Resposta a Incidentes |
| CIS 17.5 | Assign Key Roles and Responsibilities | Editorial | A.5.24A.5.25A.5.26 | Mesmo tópico: Resposta a Incidentes (escolha do editor) |
| CIS 17.6 | Define Mechanisms for Communicating During Incident Response | Correspondência | A.5.26Clause 7.4A.5.6 | Mesmo tópico: Comunicação e restauração, Comunicação |
| CIS 17.7 | Conduct Routine Incident Response Exercises | Editorial | A.5.24A.5.25A.5.26 | Mesmo tópico: Resposta a Incidentes (escolha do editor) |
| CIS 17.8 | Conduct Post-Incident Reviews | Editorial | A.5.27Clause 10.1 | Mesmo tópico: Lições Aprendidas (escolha do editor) |
| CIS 17.9 | Establish and Maintain Security Incident Thresholds | Editorial | A.5.24A.5.25A.5.26 | Mesmo tópico: Resposta a Incidentes (escolha do editor) |
| 18. Penetration Testing · 5 | ||||
| CIS 18.1 | Establish and Maintain a Penetration Testing Program | Editorial | A.8.8 | Mesmo tópico: Gestão de Vulnerabilidades (escolha do editor) |
| CIS 18.2 | Perform Periodic External Penetration Tests | Editorial | A.8.8 | Mesmo tópico: Gestão de Vulnerabilidades (escolha do editor) |
| CIS 18.3 | Remediate Penetration Test Findings | Editorial | A.8.8 | Mesmo tópico: Gestão de Vulnerabilidades (escolha do editor) |
| CIS 18.4 | Validate Security Measures | Editorial | A.8.8 | Mesmo tópico: Gestão de Vulnerabilidades (escolha do editor) |
| CIS 18.5 | Perform Periodic Internal Penetration Tests | Editorial | A.8.8 | Mesmo tópico: Gestão de Vulnerabilidades (escolha do editor) |
Tem CIS v8.1 → precisa de ISO 27001
123 req. 53 mapeados · · 32 sem mapeamento Abrir na visão de lacunas →Dos 123 requisitos de ISO/IEC 27001:2022, 53 mapeiam para algo em CIS v8.1, 38 são apenas vagamente relacionados e 32 não têm mapeamento em nossos dados.
Provável trabalho novo: requisitos de ISO 27001 sem mapeamento para CIS v8.1 (32)
| ISO 27001 | Requisito | Correspondência | CIS v8.1 | Evidências |
|---|---|---|---|---|
| A.5 Organizational controls · 6 | ||||
| A.5.7 | Threat intelligence | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| A.5.32 | Intellectual property rights | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| A.5.34 | Privacy and protection of PII | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| A.5.35 | Independent review of information security | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| A.5.36 | Compliance with policies, rules and standards for information security | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| A.5.37 | Documented operating procedures | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| A.7 Physical controls · 8 | ||||
| A.7.1 | Physical security perimeters | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| A.7.2 | Physical entry | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| A.7.3 | Securing offices, rooms and facilities | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| A.7.5 | Protecting against physical and environmental threats | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| A.7.6 | Working in secure areas | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| A.7.8 | Equipment siting and protection | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| A.7.11 | Supporting utilities | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| A.7.12 | Cabling security | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| A.8 Technological controls · 3 | ||||
| A.8.30 | Outsourced development | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| A.8.32 | Change management | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| A.8.34 | Protection of information systems during audit testing | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| ISMS clauses 4–10 · 15 | ||||
| Clause 4.1 | Understanding the organization and its context | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| Clause 4.3 | Determining the scope of the ISMS | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| Clause 4.4 | Information security management system | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| Clause 5.1 | Leadership and commitment | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| Clause 6.2 | Information security objectives and planning to achieve them | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| Clause 6.3 | Planning of changes | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| Clause 7.1 | Resources | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| Clause 7.5.1 | General | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| Clause 7.5.2 | Creating and updating | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| Clause 7.5.3 | Control of documented information | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| Clause 8.2 | Information security risk assessment | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| Clause 8.3 | Information security risk treatment | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| Clause 9.2.1 | General | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| Clause 9.2.2 | Internal audit programme | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
| Clause 10.2 | Nonconformity and corrective action | Sem mapeamento em nossos dados | — | Sem mapeamento para CIS v8.1 em nossos dados. |
Verifique estes: apenas vagamente relacionados (um resultado CSF comum, não um mapeamento) (38)
| ISO 27001 | Requisito | Correspondência | CIS v8.1 | Evidências |
|---|---|---|---|---|
| A.5 Organizational controls · 10 | ||||
| A.5.1 | Policies for information security | CIS 3.3CIS 3.11CIS 5.1+5 | Compartilha apenas CSF PR.AA-05, PR.DS-01: relacionado, não um mapeamento | |
| A.5.2 | Information security roles and responsibilities | CIS 14.9CIS 15.4CIS 14.2+5 | Compartilha apenas CSF GV.RR-02, PR.AT-02, GV.SC-02: relacionado, não um mapeamento | |
| A.5.3 | Segregation of duties | CIS 3.3CIS 3.10CIS 3.11+5 | Compartilha apenas CSF PR.AA-05, PR.DS-02, PR.DS-01: relacionado, não um mapeamento | |
| A.5.4 | Management responsibilities | CIS 14.1CIS 15.4 | Compartilha apenas CSF GV.RR-01, GV.SC-02: relacionado, não um mapeamento | |
| A.5.8 | Information security in project management | CIS 1.1CIS 3.5CIS 1.2+5 | Compartilha apenas CSF ID.AM-08: relacionado, não um mapeamento | |
| A.5.10 | Acceptable use of information and other associated assets | CIS 3.10CIS 3.11CIS 3.1+5 | Compartilha apenas CSF PR.DS-02, PR.DS-01, PR.DS-10: relacionado, não um mapeamento | |
| A.5.17 | Authentication information | CIS 3.3CIS 5.1CIS 6.8+5 | Compartilha apenas CSF PR.AA-05: relacionado, não um mapeamento | |
| A.5.28 | Collection of evidence | CIS 17.4CIS 17.1CIS 17.5+2 | Compartilha apenas CSF RS.MA-01, RS.MA-02: relacionado, não um mapeamento | |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | CIS 15.4CIS 15.5CIS 15.6+1 | Compartilha apenas CSF GV.SC-05, GV.SC-06, GV.SC-07: relacionado, não um mapeamento | |
| A.5.33 | Protection of records | CIS 3.11CIS 3.1CIS 3.4+5 | Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento | |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | CIS 3.10CIS 3.11CIS 6.1+5 | Compartilha apenas CSF PR.DS-02, PR.DS-01, GV.RR-04: relacionado, não um mapeamento | |
| A.6.2 | Terms and conditions of employment | CIS 3.10CIS 3.11CIS 6.1+5 | Compartilha apenas CSF PR.DS-02, PR.DS-01, GV.RR-04: relacionado, não um mapeamento | |
| A.6.4 | Disciplinary process | CIS 6.1CIS 6.2 | Compartilha apenas CSF GV.RR-04: relacionado, não um mapeamento | |
| A.6.5 | Responsibilities after termination or change of employment | CIS 3.10CIS 3.11CIS 6.1+5 | Compartilha apenas CSF PR.DS-02, PR.DS-01, GV.RR-04: relacionado, não um mapeamento | |
| A.6.6 | Confidentiality or non-disclosure agreements | CIS 6.1CIS 6.2 | Compartilha apenas CSF GV.RR-04: relacionado, não um mapeamento | |
| A.7 Physical controls · 5 | ||||
| A.7.4 | Physical security monitoring | CIS 10.7CIS 13.6 | Compartilha apenas CSF DE.CM-03: relacionado, não um mapeamento | |
| A.7.7 | Clear desk and clear screen | CIS 3.11CIS 3.1CIS 3.4+5 | Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento | |
| A.7.9 | Security of assets off-premises | CIS 3.11CIS 3.1CIS 3.4+5 | Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento | |
| A.7.10 | Storage media | CIS 3.5CIS 1.1CIS 3.11+5 | Compartilha apenas CSF ID.AM-08, PR.DS-01: relacionado, não um mapeamento | |
| A.7.13 | Equipment maintenance | CIS 1.1CIS 3.5CIS 1.2+5 | Compartilha apenas CSF ID.AM-08: relacionado, não um mapeamento | |
| A.8 Technological controls · 6 | ||||
| A.8.4 | Access to source code | CIS 3.3CIS 3.10CIS 3.11+5 | Compartilha apenas CSF PR.AA-05, PR.DS-02, PR.DS-01: relacionado, não um mapeamento | |
| A.8.6 | Capacity management | CIS 10.1CIS 2.6CIS 2.7+5 | Compartilha apenas CSF DE.CM-09: relacionado, não um mapeamento | |
| A.8.23 | Web filtering | CIS 3.12CIS 12.2CIS 4.4+5 | Compartilha apenas CSF PR.IR-01: relacionado, não um mapeamento | |
| A.8.27 | Secure system architecture and engineering principles | CIS 11.1 | Compartilha apenas CSF PR.IR-03: relacionado, não um mapeamento | |
| A.8.31 | Separation of development, test and production environments | CIS 16.1CIS 9.3CIS 13.10+5 | Compartilha apenas CSF PR.PS-06: relacionado, não um mapeamento | |
| A.8.33 | Test information | CIS 3.11CIS 3.1CIS 3.4+5 | Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento | |
| ISMS clauses 4–10 · 12 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | CIS 15.4CIS 3.10CIS 3.11+5 | Compartilha apenas CSF GV.SC-05, GV.SC-06, PR.DS-02, PR.DS-01: relacionado, não um mapeamento | |
| Clause 5.2 | Policy | CIS 3.10CIS 3.11CIS 3.1+5 | Compartilha apenas CSF PR.DS-02, PR.DS-01, PR.DS-10: relacionado, não um mapeamento | |
| Clause 5.3 | Organizational roles, responsibilities and authorities | CIS 15.4 | Compartilha apenas CSF GV.SC-02: relacionado, não um mapeamento | |
| Clause 6.1.1 | General | CIS 15.7CIS 15.6CIS 15.1+3 | Compartilha apenas CSF GV.SC-04, GV.SC-07, GV.SC-10, GV.SC-09: relacionado, não um mapeamento | |
| Clause 6.1.2 | Information security risk assessment | CIS 15.7CIS 15.6CIS 7.2+5 | Compartilha apenas CSF GV.SC-04, GV.SC-07, GV.SC-10, GV.SC-09…: relacionado, não um mapeamento | |
| Clause 6.1.3 | Information security risk treatment | CIS 15.7CIS 15.1CIS 15.3+2 | Compartilha apenas CSF GV.SC-04, GV.SC-07, GV.SC-10: relacionado, não um mapeamento | |
| Clause 7.2 | Competence | CIS 14.1CIS 14.9 | Compartilha apenas CSF GV.RR-01, GV.RR-02: relacionado, não um mapeamento | |
| Clause 8.1 | Operational planning and control | CIS 15.2 | Compartilha apenas CSF GV.SC-01: relacionado, não um mapeamento | |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | CIS 10.7CIS 13.6 | Compartilha apenas CSF DE.CM-03: relacionado, não um mapeamento | |
| Clause 9.3.1 | General | CIS 4.1CIS 4.2CIS 4.3+5 | Compartilha apenas CSF PR.PS-01: relacionado, não um mapeamento | |
| Clause 9.3.2 | Management review inputs | CIS 4.1CIS 4.2CIS 4.3+5 | Compartilha apenas CSF PR.PS-01: relacionado, não um mapeamento | |
| Clause 9.3.3 | Management review results | CIS 4.1CIS 4.2CIS 4.3+5 | Compartilha apenas CSF PR.PS-01: relacionado, não um mapeamento | |
Mapeado (53)
| ISO 27001 | Requisito | Correspondência | CIS v8.1 | Evidências |
|---|---|---|---|---|
| A.5 Organizational controls · 21 | ||||
| A.5.5 | Contact with authorities | Editorial | CIS 17.3 | Mesmo tópico: Notificação (escolha do editor) |
| A.5.6 | Contact with special interest groups | Editorial | CIS 17.2CIS 17.6 | Mesmo tópico: Comunicação (escolha do editor) |
| A.5.9 | Inventory of information and other associated assets | Correspondência | CIS 1.1CIS 2.1CIS 1.2+6 | Mesmo tópico: Gestão de Ativos |
| A.5.11 | Return of assets | Correspondência | CIS 1.1CIS 2.1CIS 1.2+6 | Mesmo tópico: Gestão de Ativos |
| A.5.12 | Classification of information | Correspondência | CIS 3.2CIS 3.7CIS 3.8 | Mesmo tópico: Classificação de Dados |
| A.5.13 | Labelling of information | Correspondência | CIS 3.2CIS 3.7CIS 3.8 | Mesmo tópico: Classificação de Dados |
| A.5.14 | Information transfer | Correspondência | CIS 3.11CIS 3.1CIS 3.4+7 | Mesmo tópico: Proteção de Dados |
| A.5.15 | Access control | Correspondência | CIS 3.3CIS 5.1CIS 5.6+12 | Mesmo tópico: Controle de acesso |
| A.5.16 | Identity management | Correspondência | CIS 3.3CIS 5.1CIS 5.6+9 | Mesmo tópico: Controle de acesso |
| A.5.18 | Access rights | Correspondência | CIS 3.3CIS 5.1CIS 5.6+9 | Mesmo tópico: Controle de acesso |
| A.5.19 | Information security in supplier relationships | Correspondência | CIS 15.1CIS 15.2CIS 15.3+4 | Mesmo tópico: Gestão de Risco de Fornecedores, Risco na cadeia de suprimentos |
| A.5.20 | Addressing information security within supplier agreements | Correspondência | CIS 15.1CIS 15.3CIS 15.5+3 | Mesmo tópico: Gestão de Risco de Fornecedores |
| A.5.21 | Managing information security in the ICT supply chain | Correspondência | CIS 15.2 | Mesmo tópico: Risco na cadeia de suprimentos |
| A.5.22 | Monitoring, review and change management of supplier services | Correspondência | CIS 15.1CIS 15.3CIS 15.5+3 | Mesmo tópico: Gestão de Risco de Fornecedores |
| A.5.23 | Information security for use of cloud services | Correspondência | CIS 15.1 | Mesmo tópico: Segurança em Nuvem |
| A.5.24 | Information security incident management planning and preparation | Correspondência | CIS 17.4CIS 17.1CIS 17.5+2 | Mesmo tópico: Resposta a Incidentes |
| A.5.25 | Assessment and decision on information security events | Correspondência | CIS 17.4CIS 8.9CIS 13.1+5 | Mesmo tópico: Resposta a Incidentes, SIEM / SOC |
| A.5.26 | Response to information security incidents | Correspondência | CIS 17.4CIS 17.6CIS 17.1+3 | Mesmo tópico: Resposta a Incidentes, Comunicação e restauração |
| A.5.27 | Learning from information security incidents | Editorial | CIS 17.8 | Mesmo tópico: Lições Aprendidas (escolha do editor) |
| A.5.29 | Information security during disruption | Editorial | CIS 11.1 | Mesmo tópico: Planejamento de Recuperação (escolha do editor) |
| A.5.30 | ICT readiness for business continuity | Editorial | CIS 11.1 | Mesmo tópico: Planejamento de Recuperação, Recuperação de desastres (escolha do editor) |
| A.6 People controls · 3 | ||||
| A.6.3 | Information security awareness, education and training | Correspondência | CIS 14.1CIS 14.9CIS 14.2+6 | Mesmo tópico: Conscientização e treinamento |
| A.6.7 | Remote working | Editorial | CIS 4.10CIS 4.11CIS 4.12 | Mesmo tópico: Segurança Móvel (escolha do editor) |
| A.6.8 | Information security event reporting | Editorial | CIS 17.3 | Mesmo tópico: Notificação (escolha do editor) |
| A.7 Physical controls · 1 | ||||
| A.7.14 | Secure disposal or re-use of equipment | Correspondência | CIS 1.1CIS 2.1CIS 1.2+6 | Mesmo tópico: Gestão de Ativos |
| A.8 Technological controls · 25 | ||||
| A.8.1 | User endpoint devices | Editorial | CIS 2.5CIS 2.6CIS 2.7+10 | Mesmo tópico: Proteção de endpoints (escolha do editor) |
| A.8.2 | Privileged access rights | Editorial | CIS 5.4CIS 12.8 | Mesmo tópico: Acesso privilegiado (escolha do editor) |
| A.8.3 | Information access restriction | Correspondência | CIS 3.3CIS 5.1CIS 5.6+9 | Mesmo tópico: Controle de acesso |
| A.8.5 | Secure authentication | Correspondência | CIS 6.8CIS 12.2CIS 6.3+6 | Mesmo tópico: Confiança Zero, Autenticação multifator |
| A.8.7 | Protection against malware | Editorial | CIS 2.5CIS 2.6CIS 2.7+7 | Mesmo tópico: Proteção de endpoints (escolha do editor) |
| A.8.8 | Management of technical vulnerabilities | Correspondência | CIS 2.2CIS 7.1CIS 7.2+12 | Mesmo tópico: Gestão de Patches, Gestão de Vulnerabilidades |
| A.8.9 | Configuration management | Correspondência | CIS 4.1CIS 4.2CIS 4.3+4 | Mesmo tópico: Configuração Segura |
| A.8.10 | Information deletion | Correspondência | CIS 3.11CIS 3.1CIS 3.4+2 | Mesmo tópico: Proteção de Dados |
| A.8.11 | Data masking | Correspondência | CIS 3.11CIS 3.1CIS 3.4+2 | Mesmo tópico: Proteção de Dados |
| A.8.12 | Data leakage prevention | Editorial | CIS 3.13 | Mesmo tópico: DLP (escolha do editor) |
| A.8.13 | Information backup | Correspondência | CIS 11.2CIS 11.3CIS 11.5+1 | Mesmo tópico: Backup e recuperação |
| A.8.14 | Redundancy of information processing facilities | Editorial | CIS 11.1 | Mesmo tópico: Recuperação de desastres (escolha do editor) |
| A.8.15 | Logging | Correspondência | CIS 8.2CIS 3.14CIS 8.1+7 | Mesmo tópico: Registro e Auditoria |
| A.8.16 | Monitoring activities | Correspondência | CIS 8.11CIS 13.1CIS 8.9+6 | Mesmo tópico: Detecção de Anomalias, Monit. contínuo, SIEM / SOC |
| A.8.17 | Clock synchronization | Correspondência | CIS 8.2CIS 3.14CIS 8.1+7 | Mesmo tópico: Registro e Auditoria |
| A.8.18 | Use of privileged utility programs | Editorial | CIS 5.4CIS 12.8 | Mesmo tópico: Acesso privilegiado (escolha do editor) |
| A.8.19 | Installation of software on operational systems | Correspondência | CIS 2.5CIS 10.1CIS 2.6+7 | Mesmo tópico: Proteção de endpoints |
| A.8.20 | Networks security | Correspondência | CIS 12.2CIS 4.4CIS 4.5+9 | Mesmo tópico: Firewall / Segmentação de rede |
| A.8.21 | Security of network services | Correspondência | CIS 12.2CIS 4.4CIS 4.5+8 | Mesmo tópico: Firewall / Segmentação de rede |
| A.8.22 | Segregation of networks | Correspondência | CIS 6.8CIS 12.2CIS 4.4+8 | Mesmo tópico: Confiança Zero, Firewall / Segmentação de rede |
| A.8.24 | Use of cryptography | Correspondência | CIS 3.10CIS 3.11CIS 3.6+1 | Mesmo tópico: Criptografia |
| A.8.25 | Secure development life cycle | Correspondência | CIS 16.1CIS 16.2CIS 16.3+7 | Mesmo tópico: Desenvolvimento Seguro |
| A.8.26 | Application security requirements | Correspondência | CIS 16.1CIS 9.3CIS 13.10+10 | Mesmo tópico: Desenvolvimento Seguro, Segurança Web |
| A.8.28 | Secure coding | Correspondência | CIS 16.1CIS 16.2CIS 16.3+7 | Mesmo tópico: Desenvolvimento Seguro |
| A.8.29 | Security testing in development and acceptance | Correspondência | CIS 16.1CIS 16.2CIS 16.3+7 | Mesmo tópico: Desenvolvimento Seguro |
| ISMS clauses 4–10 · 3 | ||||
| Clause 7.3 | Awareness | Correspondência | CIS 14.1CIS 14.9CIS 14.2+6 | Mesmo tópico: Conscientização e treinamento |
| Clause 7.4 | Communication | Correspondência | CIS 17.2CIS 17.6 | Mesmo tópico: Comunicação, Comunicação e restauração |
| Clause 10.1 | Continual improvement | Editorial | CIS 17.8 | Mesmo tópico: Lições Aprendidas (escolha do editor) |
Por tópico
Ambos cobrem (38):
Conscientização e treinamentoRisco na cadeia de suprimentosGestão de AtivosClassificação de DadosGestão de VulnerabilidadesControle de acessoAutenticação multifatorCriptografiaProteção de DadosBackup e recuperaçãoAcesso privilegiadoFirewall / Segmentação de redeProteção de endpointsGestão de PatchesConfiguração SeguraDesenvolvimento SeguroSegurança de e-mailSegurança WebConfiança ZeroSegurança MóvelSegurança em NuvemSegurança de DNSWAFDLPMonit. contínuoRegistro e AuditoriaDetecção de intrusãoDetecção de AnomaliasSIEM / SOCResposta a IncidentesComunicaçãoNotificaçãoPlanejamento de RecuperaçãoLições AprendidasComunicação e restauraçãoRecuperação de desastresSegurança de APIsGestão de Risco de Fornecedores
Apenas ISO 27001 (12):
Perguntas
Os CIS Controls podem substituir a ISO 27001?
Só se ninguém precisar de certificado. O CIS oferece orientação técnica sólida, mas não há sistema de gestão nem certificação.
Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.
Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Mapeado = curado em conjunto em um tema da ControlMapping, ou vinculado diretamente. Crosswalks não comprovam conformidade. Metodologia · Descarregar os dados · Relatar um erro.