Controles de CIS y de NIST frente a técnicas

Cada marco responde a una pregunta distinta. ATT&CK describe lo que hace el adversario. D3FEND nombra contramedidas técnicas concretas. Los controles de CIS (CIS Controls, en su versión 8 son dieciocho) y de NIST SP 800-53 son los requisitos que una auditoría o una dirección entiende: qué debe existir en la organización, sin decir con qué herramienta.

Existen mapeos públicos de controles a técnicas de ATT&CK: el Center for Threat-Informed Defense de MITRE publica los de NIST 800-53 y los de CIS Controls. D3FEND, por su parte, se une a ATT&CK por artefactos. La matriz de esta sala es un cruce propio y simplificado del laboratorio: sirve para practicar la lectura, no sustituye a los mapeos oficiales.

Las dos tablas cis_extracto y nist_extracto traen una muestra de controles con su nombre oficial en inglés. La tabla matriz pone, para cada técnica, la contramedida de D3FEND, un control de CIS y uno de NIST. Al cruzar, el control se elige por lo que la contramedida logra, no por parecido de nombre.

Un control de NIST se cita por su identificador, dos letras de la familia y un número, tal como aparece en el catálogo. Quien lee un informe de auditoría necesita poder ir al control exacto. Para una misma técnica puede haber contramedidas distintas con controles distintos o repetidos, así que se mira la fila de la contramedida concreta, no la de la técnica.

La columna estado_declarado dice lo que la panadería afirma. Un control ausente es una brecha reconocida: ya se sabe y solo falta decidir cuándo cerrarla. Contarlas da el tamaño de lo pendiente.

La columna evidencia_revisada dice si alguien vio la prueba. Un control «implementado» sin evidencia revisada no se cuenta como cubierto: se cuenta como declarado. Es la misma regla que se aplica en una auditoría: lo que no se puede mostrar no se puede afirmar.