Los 18 controles de CIS y los grupos de implementación

CIS Controls v8 (y v8.1, que mantiene la estructura) tiene 18 controles: de 1 inventario de activos de la empresa y 2 inventario de software, pasando por protección de datos, configuración segura, cuentas, control de acceso, vulnerabilidades, registros, correo y navegador, malware y recuperación de datos (11), hasta infraestructura y monitoreo de red, formación, proveedores, seguridad de aplicaciones, respuesta a incidentes (17) y pruebas de penetración (18). En total suman 153 salvaguardas, que son las acciones concretas.

Las salvaguardas se agrupan en tres grupos de implementación, IG1, IG2 e IG3. IG1 es la higiene cibernética esencial; IG2 añade salvaguardas para organizaciones con más recursos y más riesgo; IG3 contiene todos los controles y salvaguardas. Y son acumulativos: IG2 incluye lo de IG1, e IG3 incluye todo lo anterior.

El grupo no se elige por ambición ni por presupuesto sobrante: se elige por el contexto de la organización: qué datos trata, qué tan expuesta está, con cuántas personas cuenta para operar los controles y qué ha vivido. Montelar tiene 240 empleados, tres personas en TI y seguridad, no trata datos de tarjetas, y vivió un intento de cifrado contenido el año pasado. Tiene además un cliente que le exige por contrato el grupo IG2.

Como los grupos son acumulativos, nadie salta a IG2 sin tener IG1: lo que falte de IG1 se cierra primero o a la vez. El equipo de tres personas no puede operar IG3 completo, y la presión del cliente no cambia lo que un equipo de tres puede sostener; lo cambia en qué orden se planifica.

La consola te da el estado de Montelar frente a los 18 controles (si, parcial, no) y lo que el cliente exige: el grupo IG2 y la lista de controles sobre los que pedirá evidencia. Varios controles aparecen en estado «no», pero eso solo es un dato: lo que pesa es si el cliente lo exige. Un «no» que nadie pide es una brecha para el plan; un «no» que el cliente pide es una brecha contractual.

Cruza las dos listas. Hay un solo control que Montelar no tiene y que el cliente exige.

Retail Andes pedirá evidencia de los controles que enumera. Montelar tiene varios en «parcial». Un «parcial» no es un sí: significa que parte de las salvaguardas se hacen y parte no, y el cliente no va a contarlo como cumplido. Lo que se le entrega es un plan con fechas para cerrarlo y, mientras tanto, la evidencia real de lo que ya opera, descrita tal cual.

Declarar IG2 sin haberlo alcanzado no solo es mentirle al cliente: es crear una obligación contractual que la empresa no puede sostener.