CIS Controls.
Priorize a ciberdefesa, fundamente o Implementation Group adequado e verifique a implementação na sua operação de forma rastreável.
- CIS Critical Security Controls v8.1
- Por Jonathan Bezdek
- Atualizado em: 22/10/2026
- Tempo de leitura: 9 min.
Resposta breve.
Os CIS Controls são recomendações priorizadas do Center for Internet Security para a ciberdefesa. A versão 8.1 organiza 153 salvaguardas em 18 áreas temáticas. Os Implementation Groups ajudam a começar segundo os riscos e recursos disponíveis. Os grupos são cumulativos; uma implementação documentada não constitui automaticamente uma certificação nem a demonstração de todas as obrigações legais.
CIS Controls v8.1 como orientação prática.
Os CIS Controls estruturam a seleção de práticas de proteção de sistemas e redes. Um Control é uma área temática; as salvaguardas associadas descrevem campos de ação mais concretos. A página do editor sobre a v8.1 designa esta versão como revisão iterativa da v8, incluindo conceitos mais precisos, classes de ativos adaptadas e a ligação ao NIST CSF 2.0.
As recomendações não são uma obrigação legal de aplicação geral. Uma organização pode acordá-las como base de trabalho; os clientes ou contratos podem exigir evidências específicas. As perguntas frequentes do CIS esclarecem expressamente que os Controls não substituem outros procedimentos regulamentares ou formais de demonstração. Por isso, a seleção deve adequar-se aos serviços próprios e às obrigações adicionais.
Os CIS Controls e os CIS Benchmarks têm tarefas diferentes. Os Controls dizem respeito a práticas gerais de proteção; os Benchmarks, à configuração segura de produtos e tecnologias específicos. Uma constatação de configuração pode apoiar uma avaliação da implementação, mas não responde a todas as questões organizativas. O editor descreve esta distinção nas suas perguntas frequentes sobre os Controls.
Escolher os Implementation Groups segundo os riscos e os recursos.
Os Implementation Groups apoiam organizações de diferentes dimensões na priorização. Segundo a síntese de grupos do CIS, contam o perfil de risco e os recursos disponíveis. O IG1 inclui 56 salvaguardas fundamentais; o CIS recomenda este ponto de partida a todas as organizações. Os recursos de segurança limitados explicam a orientação, mas não fundamentam uma exceção geral a riscos mais amplos ou a requisitos contratuais.
O IG2 acrescenta 74 salvaguardas à seleção IG1 para maior complexidade operacional. A página do editor descreve, entre outros aspetos, responsáveis de informática próprios, departamentos diferentes e informação mais sensível. Por isso, o IG2 não significa tratar apenas os pontos adicionais e omitir as bases. É determinante a totalidade do âmbito acordado.
O IG3 acrescenta mais 23 salvaguardas, abrangendo assim as 153. O CIS descreve, entre outros aspetos, competências especializadas de segurança e a resposta a ataques direcionados. Estes grupos não são uma escala geral de maturidade: um grupo escolhido, por si só, não diz se as medidas funcionam nem que riscos residuais a organização aceitou.
As principais áreas de trabalho da ciberdefesa.
As seis áreas seguintes agrupam editorialmente o trabalho com os CIS Controls; não são uma nova estrutura oficial do catálogo. Para a seleção concreta, continuam a prevalecer a versão publicada, o Implementation Group acordado e a operação considerada.
Compreender os ativos e os dados.
As decisões de proteção precisam de uma visão rastreável dos sistemas, software e informação efetivamente utilizados. Como preparação prática, os responsáveis devem esclarecer que serviço é considerado e que dependências o sustentam. Uma lista de ativos perde valor se as alterações operacionais deixarem de nela se refletir ou se ninguém puder avaliar a sua completude.
Relacionar a configuração segura e o trabalho de vulnerabilidades.
A configuração, o software suportado e o tratamento de vulnerabilidades conhecidas articulam-se entre si. Para implementar, recomenda-se definir, além do requisito técnico, a responsabilidade e o percurso de alteração. Os Benchmarks específicos de produtos podem ajudar a avaliar uma configuração; não substituem a decisão sobre os sistemas e as condições operacionais abrangidos pela avaliação.
Operar as identidades e os acessos.
As permissões devem adequar-se às tarefas e às necessidades de proteção. Uma avaliação prática deve considerar tanto as configurações como os passos de entrada, mudança e saída de pessoas. Um tipo de conta corretamente configurado ainda não prova que os acessos obsoletos são detetados e retirados de forma fiável; registos operacionais adequados ajudam nesse sentido.
Articular a observação e a resposta.
A informação de segurança deve chegar a pessoas que a possam avaliar e tratar. Para implementar, esclareça quem verifica os alertas, como um incidente é encaminhado e quem substitui os responsáveis. A simples disponibilidade de uma ferramenta não explica estas responsabilidades. Um exercício de resposta pode mostrar se o processo acordado funciona efetivamente.
Considerar a recuperação e os prestadores.
O serviço considerado depende frequentemente de cópias de segurança, serviços externos e canais de apoio acordados. Verifique na prática quem pode recuperar que serviço numa interrupção e que informação é necessária. Uma evidência deve revelar o âmbito da utilização própria; o relatório de um prestador não responde automaticamente a todas as tarefas dos seus clientes.
Envolver as pessoas e a verificação.
As práticas de proteção precisam de tarefas compreensíveis e de uma avaliação da sua implementação. Como apoio, as equipas podem registar quem opera uma medida, que observação mostra o seu estado e quando deve ocorrer uma nova verificação. As adaptações são úteis quando os serviços, as ameaças ou as responsabilidades mudam. Um questionário preenchido uma vez não reflete automaticamente essas alterações.
Aplicar os CIS Controls passo a passo.
Delimitar o serviço considerado.
Como ponto de partida prático, descreva o serviço, os seus sistemas, a informação e as dependências externas para que a avaliação posterior tenha limites reconhecíveis.
Fundamentar o grupo e os requisitos adicionais.
Escolha um Implementation Group com base nos riscos e nos recursos e registe os requisitos legais ou contratuais adicionais a considerar separadamente.
Acordar a implementação e a responsabilidade.
Traduza a base de trabalho escolhida em tarefas concretas e identifique, para cada tarefa, uma pessoa com responsabilidade e autoridade adequadas.
Recolher registos da operação.
Relacione a implementação com configurações, registos de verificação ou evidências de processo adequados e identifique o seu âmbito e o período considerado.
Relacionar a avaliação e a melhoria.
Verifique o valor das evidências, trate os desvios detetados e defina como será reconhecido o efeito de uma correção.
Voltar a decidir perante alterações.
Reveja a seleção, as responsabilidades e as evidências quando o serviço, o perfil de risco ou os recursos disponíveis se alterarem substancialmente.
O que demonstra uma avaliação CIS Controls.
Uma avaliação só é esclarecedora dentro do âmbito descrito. Registe a versão e a seleção avaliadas, os sistemas abrangidos e as evidências em que o resultado se baseia. Uma autoavaliação pode estruturar o trabalho; um rótulo de grupo ou um único valor global, por si só, não explica a implementação real.
A CIS Controls Assessment Specification oferece uma base para uma compreensão comum da avaliação das salvaguardas. A documentação pública apresenta uma versão para a v8.1. O procedimento concreto e as amostras necessários para a sua finalidade devem ser acordados antes da avaliação; esta síntese não reproduz instruções individuais de verificação.
A CIS Controls Accreditation diz respeito a prestadores qualificados de serviços de implementação, auditoria ou avaliação. A página pública do programa descreve a confirmação da sua competência e a seleção de um prestador adequado. Isto deve distinguir-se da avaliação da organização cliente. Não implica um certificado geral para todos os utilizadores dos Controls nem uma validade fixa dos seus registos de implementação.
Considerar outros referenciais como complemento.
O NIST CSF estrutura os resultados de segurança pretendidos, enquanto os CIS Controls ajudam a priorizar o trabalho prático de proteção. A ISO 27001 trata o sistema de gestão e a sua certificação independente. O NIST SP 800-53 oferece um catálogo mais amplo de controlos de segurança e privacidade. O PCI DSS estabelece requisitos específicos de proteção de dados de cartões de pagamento; uma seleção de Controls não substitui a demonstração correspondente.
No Secani.
O Secani disponibiliza um catálogo editorial empresarial próprio baseado nos CIS Controls v8.1. Os dados de perfil registam, entre outros, o Implementation Group acordado, a nuvem, a OT e o desenvolvimento próprio de software. Os grupos são tratados como priorização cumulativa, e não como certificação ou avaliação de maturidade; o catálogo não é uma tradução oficial do CIS e a sua aprovação técnica independente está pendente.
Começar com uma base de trabalho fundamentada.
Escolha um serviço cujas práticas de proteção devam ser melhoradas de forma rastreável. Acorde com os responsáveis o âmbito, a versão de referência e o Implementation Group adequado. Registe quem toma decisões sobre medidas adicionais ou riscos aceites.
Verifique depois, para esse âmbito, que evidências operacionais já existem e que conclusões permitem. Planeie o trabalho em falta com responsáveis e prazos. Assim, cria-se uma tarefa verificável antes de alargar um programa extenso de medidas a toda a organização.
Fontes.
- CIS Controls v8.1 — síntese do editor
- CIS — Implementation Groups
- CIS — Implementation Group 1
- CIS — Implementation Group 2
- CIS — Implementation Group 3
- Perguntas frequentes CIS Controls — enquadramento e Benchmarks
- CIS Controls Assessment Specification v8.1
- CIS Controls Accreditation — prestadores de serviços de avaliação
Perguntas frequentes.
Não. Os Implementation Groups priorizam uma seleção cumulativa segundo os riscos e os recursos; não são uma escala de certificação nem de maturidade geral.
Sim. O IG2 acrescenta 74 salvaguardas às 56 do IG1; o IG3 acrescenta depois 23 e inclui, assim, as 153.
Não. Os Controls descrevem práticas gerais de proteção; os Benchmarks, o reforço de configurações de produtos e tecnologias específicos. Por isso, uma verificação da configuração não avalia automaticamente toda a implementação dos Controls.
Não. Uma base de trabalho Controls escolhida e a avaliação independente de um SGSI demonstram coisas diferentes; os requisitos legais ou contratuais adicionais de demonstração devem continuar a ser analisados separadamente.
Priorize o trabalho de proteção de forma rastreável.
Fale connosco sobre como trabalhar o âmbito escolhido, as responsabilidades e as evidências no Secani.
Esta página explica os CIS Controls por palavras próprias e não substitui as publicações do editor nem uma avaliação técnica. Prevalecem a versão acordada, o âmbito considerado e os requisitos aplicáveis.