CIS Controls.
Dare priorità alla difesa informatica, motivare l'Implementation Group adatto e verificare in modo tracciabile l'attuazione nella propria operatività.
- CIS Critical Security Controls v8.1
- Di Jonathan Bezdek
- Aggiornato al: 22/10/2026
- Tempo di lettura: 8 min.
Risposta breve.
I CIS Controls sono raccomandazioni prioritarie del Center for Internet Security per la difesa informatica. La versione 8.1 organizza 153 Safeguard in 18 aree tematiche. Gli Implementation Groups aiutano a iniziare secondo rischi e risorse disponibili. I gruppi sono cumulativi; un'attuazione documentata non è automaticamente una certificazione né la prova di tutti gli obblighi legali.
CIS Controls v8.1 come orientamento pratico.
I CIS Controls strutturano la scelta delle pratiche di protezione per sistemi e reti. Un Control è un'area tematica; i relativi Safeguard descrivono ambiti d'azione più concreti. La pagina dell'editore sulla v8.1 la definisce una revisione iterativa della v8, con terminologia più precisa, classi di asset aggiornate e riferimento a NIST CSF 2.0.
Le raccomandazioni non sono un obbligo legale generalmente applicabile. Un'organizzazione può concordarle come base di lavoro; clienti o contratti possono richiedere determinate evidenze. Le FAQ CIS chiariscono espressamente che i Controls non sostituiscono altri procedimenti normativi o formali di attestazione. La selezione dovrebbe quindi corrispondere ai propri servizi e agli obblighi aggiuntivi.
CIS Controls e CIS Benchmarks hanno compiti diversi. I Controls riguardano la pratica generale di protezione, i Benchmarks la configurazione sicura di determinati prodotti e tecnologie. Un rilievo di configurazione può sostenere una valutazione dell'attuazione, ma non risponde a tutte le questioni organizzative. L'editore descrive questa distinzione nelle FAQ sui Controls.
Scegliere gli Implementation Groups secondo rischi e risorse.
Gli Implementation Groups aiutano organizzazioni di dimensioni diverse a definire le priorità. Secondo la panoramica CIS dei gruppi, contano profilo di rischio e risorse disponibili. IG1 comprende 56 Safeguard fondamentali; CIS raccomanda questo avvio a ogni organizzazione. Risorse di sicurezza limitate spiegano l'orientamento, ma non giustificano un'esenzione generale da rischi ulteriori o requisiti contrattuali.
IG2 aggiunge 74 Safeguard alla selezione IG1 per una maggiore complessità operativa. La pagina dell'editore descrive, tra l'altro, responsabili IT interni, reparti diversi e informazioni più sensibili. IG2 non significa quindi gestire soltanto i punti aggiuntivi tralasciando le basi. Conta l'intero ambito concordato.
IG3 aggiunge altri 23 Safeguard e comprende così tutti i 153. CIS descrive, tra l'altro, competenze specialistiche di sicurezza e gestione di attacchi mirati. Questi gruppi non sono una scala generale di maturità: un gruppo scelto da solo non indica se le misure funzionano o quali rischi residui l'organizzazione abbia accettato.
Gli ambiti principali della difesa informatica.
I seguenti sei ambiti riuniscono redazionalmente il lavoro con i CIS Controls; non sono una nuova struttura ufficiale del catalogo. Per la selezione concreta restano determinanti versione pubblicata, Implementation Group concordato e operatività considerata.
Comprendere patrimonio e dati.
Le decisioni di protezione richiedono una panoramica tracciabile dei sistemi, software e informazioni effettivamente utilizzati. Come preparazione pratica, i responsabili dovrebbero chiarire quale servizio viene considerato e quali dipendenze lo sostengono. Un inventario perde valore se non recepisce più i cambiamenti operativi o nessuno sa valutarne la completezza.
Collegare configurazione sicura e gestione delle vulnerabilità.
Configurazione, software supportato e trattamento delle vulnerabilità note interagiscono. Per l'attuazione è consigliabile definire, oltre alla disposizione tecnica, responsabilità e percorso di modifica. I Benchmarks specifici di prodotto possono aiutare a valutare una configurazione; non sostituiscono la decisione su quali sistemi e condizioni operative includere nella valutazione.
Gestire identità e accessi.
Le autorizzazioni devono corrispondere ai compiti e alle esigenze di protezione. Una valutazione pratica dovrebbe considerare sia impostazioni sia passaggi operativi all'ingresso, al cambiamento di ruolo e all'uscita delle persone. Un tipo di account configurato correttamente non dimostra ancora che accessi obsoleti siano individuati e revocati in modo affidabile; servono registrazioni operative adatte.
Coordinare osservazione e risposta.
Le informazioni di sicurezza devono raggiungere persone capaci di valutarle e gestirle. Per l'attuazione, chiarite chi esamina le segnalazioni, come viene inoltrato un incidente e chi subentra come sostituto. La sola disponibilità di uno strumento non spiega queste responsabilità. Un compito di risposta esercitato può mostrare se la procedura concordata funziona effettivamente.
Considerare ripristino e fornitori.
La prestazione considerata dipende spesso da backup, servizi esterni e percorsi di supporto concordati. Verificate concretamente chi può ripristinare quale prestazione durante un'interruzione e quali informazioni servono. Un'evidenza dovrebbe rendere riconoscibile il proprio ambito d'impiego; la relazione di un fornitore non risponde automaticamente a tutti i compiti dei suoi clienti.
Coinvolgere persone e verifica.
La pratica di protezione necessita di compiti comprensibili e di una valutazione dell'attuazione. Come ausilio, i team possono registrare chi gestisce una misura, quale osservazione ne mostra lo stato e quando riesaminarla. Gli adattamenti sono utili quando cambiano servizi, minacce o responsabilità. Un questionario compilato una sola volta non rappresenta automaticamente questi cambiamenti.
Applicare i CIS Controls passo dopo passo.
Delimitare il servizio considerato.
Come avvio pratico, descrivete servizio, sistemi, informazioni e dipendenze esterne affinché la successiva valutazione abbia un confine riconoscibile.
Motivare gruppo e requisiti aggiuntivi.
Scegliete un Implementation Group in base a rischi e risorse e registrate quali ulteriori requisiti legali o contrattuali considerare separatamente.
Concordare attuazione e responsabilità.
Traducete la base di lavoro scelta in compiti concreti e individuate per ciascuno una persona con responsabilità e poteri adeguati.
Raccogliere registrazioni operative.
Collegate l'attuazione a configurazioni, registrazioni di verifica o evidenze di processo adatte, indicandone ambito e periodo considerato.
Collegare valutazione e miglioramento.
Verificate il valore probatorio delle evidenze, gestite le deviazioni rilevate e definite come riconoscere l'effetto di una correzione.
Decidere nuovamente in caso di cambiamenti.
Riesaminate selezione, responsabilità ed evidenze quando servizio, profilo di rischio o risorse disponibili cambiano sostanzialmente.
Cosa esprime un assessment CIS Controls.
Un assessment è significativo solo entro l'ambito descritto. Registrate versione e selezione valutate, sistemi coperti ed evidenze su cui si fonda il risultato. Un'autovalutazione può strutturare il lavoro; un'etichetta di gruppo o un unico punteggio complessivo da soli non spiegano ancora l'attuazione effettiva.
La CIS Controls Assessment Specification offre una base per una comprensione comune della valutazione dei Safeguard. La documentazione pubblica riporta una versione per v8.1. La procedura concreta e i campionamenti necessari per il vostro scopo vanno concordati prima della verifica; questa panoramica non riproduce singole istruzioni di verifica.
CIS Controls Accreditation riguarda fornitori qualificati di servizi di implementazione, audit o assessment. La pagina pubblica del programma descrive la conferma delle loro competenze e la scelta di un fornitore adeguato. Ciò va distinto dalla valutazione dell'organizzazione cliente. Non ne deriva un certificato generale per ogni utilizzatore dei Controls né una durata fissa delle sue registrazioni di attuazione.
Considerare gli altri framework in modo integrativo.
NIST CSF struttura i risultati di sicurezza desiderati, mentre i CIS Controls aiutano a dare priorità al lavoro pratico di protezione. ISO 27001 tratta il sistema di gestione e la sua certificazione indipendente. NIST SP 800-53 offre un catalogo più ampio di controlli di sicurezza e protezione dei dati. PCI DSS pone requisiti separati per la protezione dei dati delle carte di pagamento; una selezione di Controls non sostituisce la rispettiva attestazione.
- NIST CSFInquadrare risultati di sicurezza e contesto organizzativo.
- ISO 27001Considerare separatamente ISMS e attestazione di certificazione.
- NIST SP 800-53Comprendere l'altro catalogo di controlli e il relativo quadro applicativo.
- PCI DSSInquadrare la valutazione separata dell'ambiente delle carte di pagamento.
In Secani.
Secani offre un proprio catalogo aziendale redazionale basato su CIS Controls v8.1. I dati del profilo rilevano, tra l'altro, Implementation Group concordato, cloud, OT e sviluppo software interno. I gruppi sono trattati come priorità cumulative, non come certificazione o valutazione di maturità; il catalogo non è una traduzione ufficiale CIS e l'approvazione specialistica indipendente è ancora in sospeso.
Iniziare con una base di lavoro motivata.
Scegliete un servizio di cui migliorare in modo tracciabile la pratica di protezione. Concordate con i responsabili ambito, versione di riferimento e Implementation Group adatto. Registrate chi decide su misure aggiuntive o rischi accettati.
Verificate poi quali evidenze operative sono già disponibili per questo ambito e quali conclusioni consentono. Pianificate il lavoro mancante con responsabili e scadenze. Ne deriva un compito verificabile prima di estendere un programma ampio di misure a tutta l'organizzazione.
Fonti.
Domande frequenti.
No. Gli Implementation Groups danno priorità a una selezione cumulativa secondo rischi e risorse; non sono una scala di certificazione o di maturità generale.
Sì. IG2 aggiunge altri 74 Safeguard ai 56 di IG1; IG3 ne aggiunge poi 23 e comprende così tutti i 153.
No. I Controls descrivono pratiche generali di protezione, i Benchmarks l'hardening di determinati prodotti e tecnologie; una verifica della configurazione non valuta quindi automaticamente l'intera attuazione dei Controls.
No. Una base di lavoro Controls scelta e la valutazione indipendente di un ISMS esprimono conclusioni diverse; ulteriori requisiti legali o contrattuali di attestazione richiedono verifiche separate.
Dare priorità al lavoro di protezione in modo tracciabile.
Parliamo di come gestire in Secani ambito scelto, responsabilità ed evidenze.
Questa pagina illustra i CIS Controls con parole proprie e non sostituisce le pubblicazioni dell'editore né una verifica specialistica. Fanno fede la versione concordata, l'ambito considerato e i requisiti applicabili.