Framework
CIS Controls v8.1
O que é
O conjunto priorizado de 18 controles e 153 salvaguardas do Center for Internet Security, agrupados em três Grupos de Implementação (IG1 a IG3). O IG1 é a linha de base de "higiene cibernética essencial". A versão 8.1 (2024) alinhou os controles com a função Govern do NIST CSF 2.0.
Quem precisa
Organizações que buscam uma linha de base técnica prescritiva e priorizada, especialmente as pequenas e médias, começando pelo IG1.
Como é avaliado
Não há certificação. As organizações realizam autoavaliações, muitas vezes com a ferramenta de avaliação do próprio CIS, ou contratam um avaliador terceirizado.
153
Salvaguardas
153
Mapeado para outro framework
76%
Tópicos cobertos (38/50)
O crosswalk publicado pela própria CIS cobre 49 de 153 salvaguardas; a ControlMapping mapeou as restantes editorialmente, com um motivo para cada uma, por isso verifique esses vínculos antes de os usar.
Comparações
Requisitos
Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.
| ID | Requisito | Tópicos | Mapeado em |
|---|---|---|---|
| 1. Inventory and Control of Enterprise Assets · 5 | |||
| CIS 1.1 | Establish and Maintain Detailed Enterprise Asset Inventory | Gestão de Ativos | 13 de 13 |
| CIS 1.2 | Address Unauthorized Assets | Gestão de Ativos | 13 de 13 |
| CIS 1.3 | Utilize an Active Discovery Tool | Gestão de Ativos | 13 de 13 |
| CIS 1.4 | Use Dynamic Host Configuration Protocol (DHCP) Logging to Update Enterprise Asset Inventory | Gestão de Ativos | 13 de 13 |
| CIS 1.5 | Use a Passive Asset Discovery Tool | Gestão de Ativos | 13 de 13 |
| 2. Inventory and Control of Software Assets · 7 | |||
| CIS 2.1 | Establish and Maintain a Software Inventory | Gestão de Ativos | 13 de 13 |
| CIS 2.2 | Ensure Authorized Software is Currently Supported | Gestão de Patches | 10 de 13 |
| CIS 2.3 | Address Unauthorized Software | Gestão de Ativos | 13 de 13 |
| CIS 2.4 | Utilize Automated Software Inventory Tools | Gestão de Ativos | 13 de 13 |
| CIS 2.5 | Allowlist Authorized Software | Proteção de endpoints | 10 de 13 |
| CIS 2.6 | Allowlist Authorized Libraries | Proteção de endpoints | 10 de 13 |
| CIS 2.7 | Allowlist Authorized Scripts | Proteção de endpoints | 10 de 13 |
| 3. Data Protection · 14 | |||
| CIS 3.1 | Establish and Maintain a Data Management Process | Proteção de Dados | 11 de 13 |
| CIS 3.2 | Establish and Maintain a Data Inventory | Classificação de Dados | 9 de 13 |
| CIS 3.3 | Configure Data Access Control Lists | Controle de acesso | 11 de 13 |
| CIS 3.4 | Enforce Data Retention | Proteção de Dados | 11 de 13 |
| CIS 3.5 | Securely Dispose of Data | Proteção de Dados | 11 de 13 |
| CIS 3.6 | Encrypt Data on End-User Devices | Criptografia | 10 de 13 |
| CIS 3.7 | Establish and Maintain a Data Classification Scheme | Classificação de Dados | 9 de 13 |
| CIS 3.8 | Document Data Flows | Classificação de Dados | 9 de 13 |
| CIS 3.9 | Encrypt Data on Removable Media | Criptografia | 10 de 13 |
| CIS 3.10 | Encrypt Sensitive Data in Transit | Criptografia | 10 de 13 |
| CIS 3.11 | Encrypt Sensitive Data at Rest | Criptografia, Proteção de Dados | 11 de 13 |
| CIS 3.12 | Segment Data Processing and Storage Based on Sensitivity | Proteção de Dados | 11 de 13 |
| CIS 3.13 | Deploy a Data Loss Prevention Solution | DLP | 7 de 13 |
| CIS 3.14 | Log Sensitive Data Access | Registro e Auditoria | 10 de 13 |
| 4. Secure Configuration of Enterprise Assets and Software · 12 | |||
| CIS 4.1 | Establish and Maintain a Secure Configuration Process | Configuração Segura | 9 de 13 |
| CIS 4.2 | Establish and Maintain a Secure Configuration Process for Network Infrastructure | Configuração Segura | 9 de 13 |
| CIS 4.3 | Configure Automatic Session Locking on Enterprise Assets | Configuração Segura | 9 de 13 |
| CIS 4.4 | Implement and Manage a Firewall on Servers | Firewall / Segmentação de rede | 9 de 13 |
| CIS 4.5 | Implement and Manage a Firewall on End-User Devices | Firewall / Segmentação de rede | 9 de 13 |
| CIS 4.6 | Securely Manage Enterprise Assets and Software | Configuração Segura | 9 de 13 |
| CIS 4.7 | Manage Default Accounts on Enterprise Assets and Software | Configuração Segura | 9 de 13 |
| CIS 4.8 | Uninstall or Disable Unnecessary Services on Enterprise Assets and Software | Configuração Segura | 9 de 13 |
| CIS 4.9 | Configure Trusted DNS Servers on Enterprise Assets | Segurança de DNS | 3 de 13 |
| CIS 4.10 | Enforce Automatic Device Lockout on Portable End-User Devices | Segurança Móvel | 7 de 13 |
| CIS 4.11 | Enforce Remote Wipe Capability on Portable End-User Devices | Segurança Móvel | 7 de 13 |
| CIS 4.12 | Separate Enterprise Workspaces on Mobile End-User Devices | Segurança Móvel | 7 de 13 |
| 5. Account Management · 6 | |||
| CIS 5.1 | Establish and Maintain an Inventory of Accounts | Controle de acesso | 11 de 13 |
| CIS 5.2 | Use Unique Passwords | Controle de acesso | 11 de 13 |
| CIS 5.3 | Disable Dormant Accounts | Controle de acesso | 11 de 13 |
| CIS 5.4 | Restrict Administrator Privileges to Dedicated Administrator Accounts | Acesso privilegiado | 10 de 13 |
| CIS 5.5 | Establish and Maintain an Inventory of Service Accounts | Controle de acesso | 11 de 13 |
| CIS 5.6 | Centralize Account Management | Controle de acesso | 11 de 13 |
| 6. Access Control Management · 8 | |||
| CIS 6.1 | Establish an Access Granting Process | Controle de acesso | 11 de 13 |
| CIS 6.2 | Establish an Access Revoking Process | Controle de acesso | 11 de 13 |
| CIS 6.3 | Require MFA for Externally-Exposed Applications | Autenticação multifator | 10 de 13 |
| CIS 6.4 | Require MFA for Remote Network Access | Autenticação multifator | 10 de 13 |
| CIS 6.5 | Require MFA for Administrative Access | Autenticação multifator | 10 de 13 |
| CIS 6.6 | Establish and Maintain an Inventory of Authentication and Authorization Systems | Controle de acesso | 11 de 13 |
| CIS 6.7 | Centralize Access Control | Controle de acesso | 11 de 13 |
| CIS 6.8 | Define and Maintain Role-Based Access Control | Controle de acesso, Confiança Zero | 11 de 13 |
| 7. Continuous Vulnerability Management · 7 | |||
| CIS 7.1 | Establish and Maintain a Vulnerability Management Process | Gestão de Vulnerabilidades | 13 de 13 |
| CIS 7.2 | Establish and Maintain a Remediation Process | Gestão de Vulnerabilidades | 13 de 13 |
| CIS 7.3 | Perform Automated Operating System Patch Management | Gestão de Patches | 10 de 13 |
| CIS 7.4 | Perform Automated Application Patch Management | Gestão de Patches | 10 de 13 |
| CIS 7.5 | Perform Automated Vulnerability Scans of Internal Enterprise Assets | Gestão de Vulnerabilidades | 13 de 13 |
| CIS 7.6 | Perform Automated Vulnerability Scans of Externally-Exposed Enterprise Assets | Gestão de Vulnerabilidades | 13 de 13 |
| CIS 7.7 | Remediate Detected Vulnerabilities | Gestão de Vulnerabilidades | 13 de 13 |
| 8. Audit Log Management · 12 | |||
| CIS 8.1 | Establish and Maintain an Audit Log Management Process | Registro e Auditoria | 10 de 13 |
| CIS 8.2 | Collect Audit Logs | Registro e Auditoria | 10 de 13 |
| CIS 8.3 | Ensure Adequate Audit Log Storage | Registro e Auditoria | 10 de 13 |
| CIS 8.4 | Standardize Time Synchronization | Registro e Auditoria | 10 de 13 |
| CIS 8.5 | Collect Detailed Audit Logs | Registro e Auditoria | 10 de 13 |
| CIS 8.6 | Collect DNS Query Audit Logs | Segurança de DNS | 3 de 13 |
| CIS 8.7 | Collect URL Request Audit Logs | Registro e Auditoria | 10 de 13 |
| CIS 8.8 | Collect Command-Line Audit Logs | Registro e Auditoria | 10 de 13 |
| CIS 8.9 | Centralize Audit Logs | SIEM / SOC | 10 de 13 |
| CIS 8.10 | Retain Audit Logs | Registro e Auditoria | 10 de 13 |
| CIS 8.11 | Conduct Audit Log Reviews | Detecção de Anomalias | 9 de 13 |
| CIS 8.12 | Collect Service Provider Logs | Registro e Auditoria | 10 de 13 |
| 9. Email and Web Browser Protections · 7 | |||
| CIS 9.1 | Ensure Use of Only Fully Supported Browsers and Email Clients | Segurança de e-mail | 8 de 13 |
| CIS 9.2 | Use DNS Filtering Services | Segurança de DNS | 3 de 13 |
| CIS 9.3 | Maintain and Enforce Network-Based URL Filters | Segurança Web | 6 de 13 |
| CIS 9.4 | Restrict Unnecessary or Unauthorized Browser and Email Client Extensions | Segurança de e-mail | 8 de 13 |
| CIS 9.5 | Implement DMARC | Segurança de e-mail | 8 de 13 |
| CIS 9.6 | Block Unnecessary File Types | Segurança de e-mail | 8 de 13 |
| CIS 9.7 | Deploy and Maintain Email Server Anti-Malware Protections | Segurança de e-mail | 8 de 13 |
| 10. Malware Defenses · 7 | |||
| CIS 10.1 | Deploy and Maintain Anti-Malware Software | Proteção de endpoints | 10 de 13 |
| CIS 10.2 | Configure Automatic Anti-Malware Signature Updates | Proteção de endpoints | 10 de 13 |
| CIS 10.3 | Disable Autorun and Autoplay for Removable Media | Proteção de endpoints | 10 de 13 |
| CIS 10.4 | Configure Automatic Anti-Malware Scanning of Removable Media | Proteção de endpoints | 10 de 13 |
| CIS 10.5 | Enable Anti-Exploitation Features | Proteção de endpoints | 10 de 13 |
| CIS 10.6 | Centrally Manage Anti-Malware Software | Proteção de endpoints | 10 de 13 |
| CIS 10.7 | Use Behavior-Based Anti-Malware Software | Proteção de endpoints | 10 de 13 |
| 11. Data Recovery · 5 | |||
| CIS 11.1 | Establish and Maintain a Data Recovery Process | Planejamento de Recuperação, Recuperação de desastres | 10 de 13 |
| CIS 11.2 | Perform Automated Backups | Backup e recuperação | 11 de 13 |
| CIS 11.3 | Protect Recovery Data | Backup e recuperação | 11 de 13 |
| CIS 11.4 | Establish and Maintain an Isolated Instance of Recovery Data | Backup e recuperação | 11 de 13 |
| CIS 11.5 | Test Data Recovery | Backup e recuperação | 11 de 13 |
| 12. Network Infrastructure Management · 8 | |||
| CIS 12.1 | Ensure Network Infrastructure is Up-to-Date | Gestão de Patches | 10 de 13 |
| CIS 12.2 | Establish and Maintain a Secure Network Architecture | Firewall / Segmentação de rede, Confiança Zero | 9 de 13 |
| CIS 12.3 | Securely Manage Network Infrastructure | Firewall / Segmentação de rede | 9 de 13 |
| CIS 12.4 | Establish and Maintain Architecture Diagram(s) | Firewall / Segmentação de rede | 9 de 13 |
| CIS 12.5 | Centralize Network Authentication, Authorization, and Auditing (AAA) | Controle de acesso | 11 de 13 |
| CIS 12.6 | Use of Secure Network Management and Communication Protocols | Firewall / Segmentação de rede | 9 de 13 |
| CIS 12.7 | Ensure Remote Devices Utilize a VPN and are Connecting to an Enterprise's AAA Infrastructure | Confiança Zero | 7 de 13 |
| CIS 12.8 | Establish and Maintain Dedicated Computing Resources for All Administrative Work | Acesso privilegiado | 10 de 13 |
| 13. Network Monitoring and Defense · 11 | |||
| CIS 13.1 | Centralize Security Event Alerting | Monit. contínuo, SIEM / SOC | 10 de 13 |
| CIS 13.2 | Deploy a Host-Based Intrusion Detection Solution | Detecção de intrusão | 9 de 13 |
| CIS 13.3 | Deploy a Network Intrusion Detection Solution | Detecção de intrusão | 9 de 13 |
| CIS 13.4 | Perform Traffic Filtering Between Network Segments | Firewall / Segmentação de rede | 9 de 13 |
| CIS 13.5 | Manage Access Control for Remote Assets | Confiança Zero | 7 de 13 |
| CIS 13.6 | Collect Network Traffic Flow Logs | Monit. contínuo | 10 de 13 |
| CIS 13.7 | Deploy a Host-Based Intrusion Prevention Solution | Detecção de intrusão | 9 de 13 |
| CIS 13.8 | Deploy a Network Intrusion Prevention Solution | Detecção de intrusão | 9 de 13 |
| CIS 13.9 | Deploy Port-Level Access Control | Firewall / Segmentação de rede | 9 de 13 |
| CIS 13.10 | Perform Application Layer Filtering | Segurança Web, WAF | 6 de 13 |
| CIS 13.11 | Tune Security Event Alerting Thresholds | SIEM / SOC | 10 de 13 |
| 14. Security Awareness and Skills Training · 9 | |||
| CIS 14.1 | Establish and Maintain a Security Awareness Program | Conscientização e treinamento | 10 de 13 |
| CIS 14.2 | Train Workforce Members to Recognize Social Engineering Attacks | Conscientização e treinamento | 10 de 13 |
| CIS 14.3 | Train Workforce Members on Authentication Best Practices | Conscientização e treinamento | 10 de 13 |
| CIS 14.4 | Train Workforce on Data Handling Best Practices | Conscientização e treinamento | 10 de 13 |
| CIS 14.5 | Train Workforce Members on Causes of Unintentional Data Exposure | Conscientização e treinamento | 10 de 13 |
| CIS 14.6 | Train Workforce Members on Recognizing and Reporting Security Incidents | Conscientização e treinamento | 10 de 13 |
| CIS 14.7 | Train Workforce on How to Identify and Report if Their Enterprise Assets are Missing Security Updates | Conscientização e treinamento | 10 de 13 |
| CIS 14.8 | Train Workforce on the Dangers of Connecting to and Transmitting Enterprise Data Over Insecure Networks | Conscientização e treinamento | 10 de 13 |
| CIS 14.9 | Conduct Role-Specific Security Awareness and Skills Training | Conscientização e treinamento | 10 de 13 |
| 15. Service Provider Management · 7 | |||
| CIS 15.1 | Establish and Maintain an Inventory of Service Providers | Segurança em Nuvem, Gestão de Risco de Fornecedores | 12 de 13 |
| CIS 15.2 | Establish and Maintain a Service Provider Management Policy | Risco na cadeia de suprimentos | 9 de 13 |
| CIS 15.3 | Classify Service Providers | Gestão de Risco de Fornecedores | 10 de 13 |
| CIS 15.4 | Ensure Service Provider Contracts Include Security Requirements | Gestão de Risco de Fornecedores | 10 de 13 |
| CIS 15.5 | Assess Service Providers | Gestão de Risco de Fornecedores | 10 de 13 |
| CIS 15.6 | Monitor Service Providers | Gestão de Risco de Fornecedores | 10 de 13 |
| CIS 15.7 | Securely Decommission Service Providers | Gestão de Risco de Fornecedores | 10 de 13 |
| 16. Application Software Security · 14 | |||
| CIS 16.1 | Establish and Maintain a Secure Application Development Process | Desenvolvimento Seguro | 8 de 13 |
| CIS 16.2 | Establish and Maintain a Process to Accept and Address Software Vulnerabilities | Desenvolvimento Seguro | 8 de 13 |
| CIS 16.3 | Perform Root Cause Analysis on Security Vulnerabilities | Desenvolvimento Seguro | 8 de 13 |
| CIS 16.4 | Establish and Manage an Inventory of Third-Party Software Components | Gestão de Ativos | 13 de 13 |
| CIS 16.5 | Use Up-to-Date and Trusted Third-Party Software Components | Desenvolvimento Seguro | 8 de 13 |
| CIS 16.6 | Establish and Maintain a Severity Rating System and Process for Application Vulnerabilities | Gestão de Vulnerabilidades | 13 de 13 |
| CIS 16.7 | Use Standard Hardening Configuration Templates for Application Infrastructure | Configuração Segura | 9 de 13 |
| CIS 16.8 | Separate Production and Non-Production Systems | Desenvolvimento Seguro | 8 de 13 |
| CIS 16.9 | Train Developers in Application Security Concepts and Secure Coding | Desenvolvimento Seguro | 8 de 13 |
| CIS 16.10 | Apply Secure Design Principles in Application Architectures | Segurança Web, Segurança de APIs | 6 de 13 |
| CIS 16.11 | Leverage Vetted Modules or Services for Application Security Components | Desenvolvimento Seguro | 8 de 13 |
| CIS 16.12 | Implement Code-Level Security Checks | Desenvolvimento Seguro, Segurança de APIs | 8 de 13 |
| CIS 16.13 | Conduct Application Penetration Testing | Desenvolvimento Seguro | 8 de 13 |
| CIS 16.14 | Conduct Threat Modeling | Desenvolvimento Seguro | 8 de 13 |
| 17. Incident Response Management · 9 | |||
| CIS 17.1 | Designate Personnel to Manage Incident Handling | Resposta a Incidentes | 12 de 13 |
| CIS 17.2 | Establish and Maintain Contact Information for Reporting Security Incidents | Comunicação | 8 de 13 |
| CIS 17.3 | Establish and Maintain an Enterprise Process for Reporting Incidents | Notificação | 12 de 13 |
| CIS 17.4 | Establish and Maintain an Incident Response Process | Resposta a Incidentes | 12 de 13 |
| CIS 17.5 | Assign Key Roles and Responsibilities | Resposta a Incidentes | 12 de 13 |
| CIS 17.6 | Define Mechanisms for Communicating During Incident Response | Comunicação, Comunicação e restauração | 9 de 13 |
| CIS 17.7 | Conduct Routine Incident Response Exercises | Resposta a Incidentes | 12 de 13 |
| CIS 17.8 | Conduct Post-Incident Reviews | Lições Aprendidas | 9 de 13 |
| CIS 17.9 | Establish and Maintain Security Incident Thresholds | Resposta a Incidentes | 12 de 13 |
| 18. Penetration Testing · 5 | |||
| CIS 18.1 | Establish and Maintain a Penetration Testing Program | Gestão de Vulnerabilidades | 13 de 13 |
| CIS 18.2 | Perform Periodic External Penetration Tests | Gestão de Vulnerabilidades | 13 de 13 |
| CIS 18.3 | Remediate Penetration Test Findings | Gestão de Vulnerabilidades | 13 de 13 |
| CIS 18.4 | Validate Security Measures | Gestão de Vulnerabilidades | 13 de 13 |
| CIS 18.5 | Perform Periodic Internal Penetration Tests | Gestão de Vulnerabilidades | 13 de 13 |
Cobertura do tópico
Tópicos com requisitos mapeados de CIS v8.1 (38):
Conscientização e treinamentoRisco na cadeia de suprimentosGestão de AtivosClassificação de DadosGestão de VulnerabilidadesControle de acessoAutenticação multifatorCriptografiaProteção de DadosBackup e recuperaçãoAcesso privilegiadoFirewall / Segmentação de redeProteção de endpointsGestão de PatchesConfiguração SeguraDesenvolvimento SeguroSegurança de e-mailSegurança WebConfiança ZeroSegurança MóvelSegurança em NuvemSegurança de DNSWAFDLPMonit. contínuoRegistro e AuditoriaDetecção de intrusãoDetecção de AnomaliasSIEM / SOCResposta a IncidentesComunicaçãoNotificaçãoPlanejamento de RecuperaçãoLições AprendidasComunicação e restauraçãoRecuperação de desastresSegurança de APIsGestão de Risco de Fornecedores
Sem mapeamento em nossos dados Nenhum requisito de CIS v8.1 (12):