Ayer establecimos el argumento estratégico: CIS Controls es el punto de partida más efectivo para reducir riesgo real, porque prioriza por impacto demostrado en incidentes reales y no por visibilidad documental. Hoy viene la pregunta práctica: ¿cómo se planifica la implementación sin que se convierta en un proyecto eterno que nunca llega a producción?
La respuesta corta es que la planificación de CIS Controls tiene tres pasos que no se pueden saltarse: evaluar el punto de partida real, priorizar según el perfil de riesgo de la organización, y construir una hoja de ruta que sea ejecutable con los recursos disponibles, no con los recursos ideales.
El error más común es saltarse el primero e ir directo al tercero. Y eso produce planes perfectos sobre una base desconocida.
Paso 1: evaluar el punto de partida real
Antes de planificar qué controles implementar, hay que saber cuáles ya existen, en qué estado, y con qué nivel de madurez. Esto no es una auditoría formal; es una evaluación inicial honesta que sirve como línea base. Sin ella, cualquier plan de implementación es una estimación sobre un entorno desconocido.
CIS ofrece una herramienta gratuita para esto: el CIS Controls Self Assessment Tool, conocido como CIS CSAT. Permite evaluar el estado de implementación de cada control de forma estructurada, asignar un porcentaje de cumplimiento por subcontrol, e identificar las brechas con mayor claridad. No es perfecta, pero es suficiente para construir una línea base que tenga más valor que una estimación a ojo.
En entornos con Fortinet administrado de forma centralizada, esta evaluación inicial tiene una ventaja: muchos de los controles técnicos del IG1 e IG2 son verificables directamente desde la consola de gestión. El estado de los parches de firmware, la configuración de autenticación multifactor en accesos administrativos, la segmentación de VLANs en los switches Cisco, las políticas de filtrado en el FortiGate. Todo eso es evidencia directa que alimenta la evaluación inicial sin necesidad de herramientas adicionales.
Paso 2: priorizar según el perfil de riesgo de la organización
CIS Controls ya viene priorizado por definición, los grupos de implementación IG1, IG2 e IG3 establecen un orden lógico. Pero dentro de ese orden, cada organización tiene un perfil de riesgo específico que puede ajustar qué controles merecen atención inmediata.
Una empresa de servicios financieros con datos sensibles de clientes va a tener prioridades distintas a una empresa de manufactura con infraestructura OT/IT convergente. Una organización que ya sufrió un ransomware, como TechCorp Latam, va a priorizar el Control 11 de recuperación de datos y el Control 12 de gestión de infraestructura de red sobre otros controles del mismo nivel de implementación.
El criterio de priorización dentro del IG1 debe combinar dos variables: el impacto potencial de la brecha y el esfuerzo de implementación. Los controles de alto impacto y bajo esfuerzo van primero. Los de alto impacto y alto esfuerzo van en la hoja de ruta con recursos asignados. Los de bajo impacto pueden esperar. Esa matriz simple, aplicada a los 18 controles con la evaluación inicial como insumo, produce un plan ejecutable en lugar de un listado aspiracional.
Los 18 controles: qué cubre cada uno
Para planificar bien, hay que entender qué cubre cada control. Aquí va un resumen ejecutivo de los 18:
IG1 — Controles esenciales (base para toda organización):
Control 1. Inventario y control de activos de hardware. Saber qué dispositivos están en la red, autorizados y no autorizados.
Control 2. Inventario y control de activos de software. Qué aplicaciones están instaladas y si están autorizadas.
Control 3. Protección de datos. Identificar, clasificar y proteger los datos sensibles de la organización.
Control 4. Configuración segura de activos y software. Hardening de dispositivos según benchmarks reconocidos: aplica directamente a FortiGate, Cisco, WatchGuard y pfSense.
Control 5. Gestión de cuentas. Control del ciclo de vida de cuentas de usuario y administrador.
Control 6. Gestión de control de acceso. Principio de mínimo privilegio, MFA, revisión periódica de accesos.
IG2 — Controles avanzados (organizaciones con mayor exposición):
Control 7. Gestión continua de vulnerabilidades. Escaneo, priorización y remediación de vulnerabilidades por criticidad.
Control 8. Gestión de logs de auditoría. Recolección, retención y revisión de logs de seguridad.
Control 9. Protección del correo electrónico y navegadores web. Filtrado de amenazas en los vectores de entrada más comunes.
Control 10. Defensas contra malware. Antivirus, EDR, control de ejecución en endpoints.
Control 11. Recuperación de datos. Backups verificados, aislados e inmutables. El que VEEAM debería haber cubierto en TechCorp Latam.
Control 12. Gestión de infraestructura de red. Segmentación, monitoreo de tráfico, gestión de dispositivos de red.
Control 13. Monitoreo y defensa de red. Detección de intrusiones, análisis de tráfico anómalo.
Control 14. Concienciación y formación en seguridad. Entrenamiento del factor humano, el vector más frecuente de entrada.
IG3 — Controles completos (infraestructura crítica y madurez avanzada):
Control 15. Gestión de proveedores de servicios. Evaluación y control de riesgo en la cadena de suministro.
Control 16. Seguridad del software de aplicación. SDLC seguro, pruebas de seguridad en desarrollo.
Control 17. Gestión de respuesta a incidentes. Plan formal, roles definidos, simulacros ejecutados.
Control 18. Pruebas de penetración. Verificación ofensiva de controles defensivos, con alcance definido y periodicidad establecida.
Paso 3: construir la hoja de ruta ejecutable
Con la evaluación inicial y la priorización definidas, el plan de implementación tiene que responder cuatro preguntas concretas por cada control en la hoja de ruta: ¿quién es el responsable?, ¿qué recursos requiere?, ¿cuál es la fecha objetivo?, ¿cómo se va a verificar que está implementado?
Sin esas cuatro respuestas, el control no está planificado; está listado. Y los listados no reducen riesgo, las implementaciones sí. En entornos con administración centralizada Fortinet, la verificación de muchos controles del IG1 puede hacerse directamente desde la consola, lo que simplifica el proceso de evidencia y seguimiento considerablemente.
Un error frecuente en la hoja de ruta es intentar cerrar todas las brechas del IG1 antes de tocar el IG2. En la práctica, algunos controles del IG2 son más urgentes que controles del IG1 que están parcialmente implementados. La rigidez en el orden puede ser contraproducente si hay brechas críticas en niveles superiores que están generando riesgo real hoy.
Mañana viene el tercer post de la serie: la ejecución real. Cómo aplicar los controles en producción, qué herramientas del stack Fortinet, Cisco, pfSense y WatchGuard cubren qué controles, y qué hacer cuando la implementación encuentra resistencia interna.
La pregunta para hoy: ¿tiene tu organización una evaluación inicial de CIS Controls documentada, aunque sea informal? Si no existe, ese es el primer paso. Todo lo demás viene después.
Serie CIS Controls: esta semana completa en el blog
Suscríbete al newsletter Cybersecurity Insights en LinkedIn para recibir cada entrega de la serie directamente.
#CISControls #Ciberseguridad #GestiónDeRiesgos #CIO #ITManager #Fortinet #Cisco #WatchGuard #pfSense #ISO27001 #NISTCSF #TechCorpLatam #CyberLeadership #Chile #Planificación
Comentarios
Publicar un comentario