NIST CSF 2.0 vs CIS Controls v8.1: resultados vs ações priorizadas

O CSF 2.0 define quais resultados alcançar; os CIS Critical Security Controls v8.1 definem o que fazer, em ordem de prioridade: 18 controles e 153 salvaguardas, agrupados em Grupos de Implementação. O IG1, "higiene cibernética essencial", é o mínimo que a CIS recomenda a todas as organizações. Os dois são complementares, e a CIS publica seu próprio mapeamento para o CSF 2.0.

Ao ir do CIS para o CSF, a principal lacuna é a governança. O CIS v8.1 é operacional e quase nada trata de contexto organizacional, estratégia de risco, política, supervisão ou programas de gestão de risco da cadeia de suprimentos, que compõem a função Govern do CSF. Esses resultados do CSF aparecem como sem correspondência abaixo.

Ao ir do CSF para o CIS, cada salvaguarda do CIS corresponde a um tópico definido pelo CSF, mas é preciso ser claro quanto às evidências: a correspondência publicada pela própria CIS no catálogo do NIST vincula apenas 49 das 153 salvaguardas, e a ControlMapping posicionou as demais por julgamento, cada uma com sua justificativa (identificada como editorial). A CIS publica um mapeamento mais completo atrás de um formulário de download; verifique um vínculo editorial contra ele antes de confiar nele.

Um padrão comum é usar o CSF para governança e relatórios, e os IG1–IG2 do CIS como plano técnico de implementação por baixo dele.

Principais conclusões

• Organizações pequenas: implementem primeiro o CIS IG1 e depois descrevam-no em termos do CSF.
• CIS → CSF: acrescentar a função Govern (estratégia de risco, política, papéis, supervisão, cadeia de suprimentos).
• CSF → CIS: usar as salvaguardas como um backlog concreto; verificar as ausências de correspondência contra o próprio mapeamento da CIS.

Descarregar esta comparação (CSV) Abrir em análise de lacunas →