CIS Controls v8.1 IG1 en español: guía para pymes
Los CIS Critical Security Controls son un conjunto priorizado de buenas prácticas publicado por el Center for Internet Security (CIS). Se agrupan en tres niveles de implementación, y el primero, Implementation Group 1 (IG1), es lo que el CIS llama higiene cibernética esencial: lo mínimo que toda organización debería tener, sin importar su tamaño.
Para una pyme, IG1 es probablemente el mejor punto de partida técnico: acciones concretas, verificables y que frenan los ataques más comunes, como el ransomware, el phishing o el robo de credenciales.
Los 15 controles con salvaguardas IG1
De los 18 controles de CIS v8.1, estos 15 tienen salvaguardas en IG1. La tabla muestra cuántas preguntas usamos para evaluar cada uno y un ejemplo:
| Control | Tema | Preguntas | Ejemplo de pregunta |
|---|---|---|---|
| CIS 1 | Inventario y control de activos empresariales | 2 | ¿Mantienen un inventario detallado y actualizado de todos los equipos de la empresa (computadoras, laptops, servidores, celulares corporativos), incluyendo quién es el responsable de cada uno y cuándo se revisó por última vez? |
| CIS 2 | Inventario y control de software | 3 | ¿Tienen una lista de qué programas y aplicaciones están autorizados a instalarse en los equipos de la empresa? |
| CIS 3 | Protección de datos | 6 | ¿Tienen definido por escrito cómo manejan la información de la empresa (quién puede verla, cuánto tiempo se guarda, cómo se elimina)? |
| CIS 4 | Configuración segura de activos y software | 7 | ¿Tienen definida una configuración base 'seria' para los equipos nuevos (desactivar lo innecesario, cambiar contraseñas por defecto) antes de ponerlos a trabajar? |
| CIS 5 | Gestión de cuentas | 4 | ¿Tienen una lista de todas las cuentas de usuario que existen en sus sistemas principales (correo, sistema de gestión, etc.)? |
| CIS 6 | Gestión del control de acceso | 5 | Cuando alguien nuevo entra a la empresa, ¿existe un proceso definido para darle acceso solo a lo que necesita para su puesto? |
| CIS 7 | Gestión continua de vulnerabilidades | 4 | ¿Tienen definido cómo se enteran de vulnerabilidades de seguridad en su software/equipos y qué hacen al respecto? |
| CIS 8 | Gestión de registros de auditoría (logs) | 3 | ¿Tienen definido qué actividad de sus sistemas registran en bitácoras (logs) y por qué? |
| CIS 9 | Protecciones de correo y navegador web | 2 | ¿Usan versiones de navegador y cliente de correo que siguen recibiendo actualizaciones de seguridad (no versiones viejas/descontinuadas)? |
| CIS 10 | Defensas contra malware | 3 | ¿Todos los equipos de la empresa tienen instalado un antivirus/antimalware activo? |
| CIS 11 | Recuperación de datos | 4 | ¿Tienen definido por escrito cómo y con qué frecuencia recuperarían su información en caso de pérdida? |
| CIS 12 | Gestión de infraestructura de red | 1 | ¿El firmware/software de su router y otros equipos de red está actualizado a una versión reciente soportada por el fabricante? |
| CIS 14 | Concientización y capacitación en seguridad | 6 | ¿Tienen algún programa (aunque sea básico) de concientización en ciberseguridad para el personal? |
| CIS 15 | Gestión de proveedores de servicios | 1 | ¿Tienen una lista de los proveedores externos que tienen acceso a su información o sistemas (contadores, soporte IT, servicios en la nube)? |
| CIS 17 | Gestión de respuesta a incidentes | 3 | ¿Hay una persona (o rol) designada como responsable si ocurre un incidente de seguridad? |
Por dónde empezar
Si tienes poco tiempo, estos cinco temas reducen la mayor parte del riesgo en una pyme:
- Inventario de equipos y software (CIS 1 y 2): no puedes proteger lo que no conoces.
- Doble factor de autenticación en correo y accesos remotos (CIS 6).
- Actualizaciones automáticas del sistema operativo y las aplicaciones (CIS 7).
- Copias de seguridad automáticas, aisladas y probadas (CIS 11).
- Capacitación contra el phishing para todo el personal (CIS 14).
¿Prefieres algo más simple para empezar? Prueba el checklist de 30 preguntas. ¿Necesitas hablar de riesgo con la dirección? Mira la guía de NIST CSF 2.0.
Preguntas frecuentes
¿Qué es el Implementation Group 1 (IG1)?
Es el primer nivel de CIS Controls, definido por el Center for Internet Security como higiene cibernética esencial: las salvaguardas mínimas que toda organización debería tener, pensadas para empresas con recursos de TI y experiencia en seguridad limitados.
¿Cuántos controles tiene CIS Controls v8.1?
CIS Controls v8.1 tiene 18 controles. Las salvaguardas de IG1 se reparten en 15 de ellos; los controles 13 (monitoreo y defensa de red), 16 (seguridad de aplicaciones) y 18 (pruebas de penetración) solo tienen salvaguardas en los niveles IG2 e IG3.
¿Qué diferencia hay entre IG1, IG2 e IG3?
Son niveles acumulativos. IG1 es la base para cualquier empresa; IG2 suma salvaguardas para organizaciones con equipo de TI y datos sensibles; IG3 está pensado para organizaciones con personal de seguridad especializado y alto riesgo.
¿Cumplir IG1 me certifica?
No. CIS Controls no es una certificación. Sí es una forma reconocida de demostrar buenas prácticas ante clientes, aseguradoras o licitaciones.