Cuando un equipo de TI decide “ordenar la seguridad”, la lista de pendientes parece infinita: inventario, parches, contraseñas, copias de seguridad, antivirus, accesos, registros. Los controles CIS existen para responder la pregunta más difícil: ¿por dónde empiezo? En este blog ya hemos hablado mucho de los CIS Benchmarks. Hoy damos un paso atrás para explicar el marco completo y cómo priorizarlo.
Qué son los controles CIS
Los CIS Critical Security Controls (o CIS Controls) son un conjunto priorizado de buenas prácticas de ciberseguridad publicado por el Center for Internet Security (CIS), una organización sin ánimo de lucro. Su versión 8 organiza la seguridad en 18 controles que agrupan medidas concretas llamadas safeguards (salvaguardas).
Su gran valor es la priorización: no te dicen “haz todo”, te dicen qué hacer primero según el tamaño y los recursos de tu organización.
Algunos de los 18 controles
- Control 1: inventario y control de activos empresariales.
- Control 2: inventario y control de activos de software.
- Control 3: protección de datos.
- Control 4: configuración segura de activos y software.
- Control 7: gestión continua de vulnerabilidades.
- Control 10: defensas contra malware.
- Control 11: recuperación de datos.
La lista completa está en cisecurity.org/controls.
CIS Controls vs CIS Benchmarks
Es común confundirlos, porque los publica la misma organización:
| CIS Controls | CIS Benchmarks | |
|---|---|---|
| Qué son | Un marco de qué proteger y en qué orden | Guías técnicas de configuración segura |
| Alcance | Toda la organización | Un sistema o producto específico (Windows, Linux, SQL Server, etc.) |
| Ejemplo | “Configura de forma segura tus activos” (Control 4) | “Desactiva SMBv1 en Windows Server” |
| Para quién | Gerencia de TI y seguridad | Administradores y equipos técnicos |
En otras palabras, los Benchmarks son una de las herramientas para cumplir los Controles, sobre todo el Control 4.
Por dónde empezar: los grupos de implementación
CIS divide las salvaguardas en tres grupos de implementación (Implementation Groups):
- IG1: lo que CIS llama “higiene cibernética esencial”. Es el mínimo que toda organización debería tener, sin importar su tamaño.
- IG2: suma salvaguardas para organizaciones con más complejidad, datos sensibles o requisitos regulatorios.
- IG3: para organizaciones con alta exposición y equipos de seguridad especializados.
Una ruta práctica para empezar con IG1
- Inventario de hardware y software (Controles 1 y 2). No puedes proteger lo que no conoces.
- Configuración segura (Control 4), apoyándote en los CIS Benchmarks.
- Gestión de vulnerabilidades y parches (Control 7).
- Defensas contra malware (Control 10): antivirus o protección de endpoints en todos los equipos.
- Copias de seguridad probadas (Control 11).
- Gestión de cuentas y accesos (Controles 5 y 6).
El contexto refuerza la urgencia: según CyberEdge Group (2025 Cyberthreat Defense Report), el 96,9% de las organizaciones en Colombia sufrió al menos un ciberataque exitoso en el último año.
Verificar en Windows, Linux y macOS
Definir los controles es la mitad del trabajo. La otra mitad es comprobar, equipo por equipo, que se cumplen. En una flota mixta, hacerlo a mano es inviable:
- Cada sistema operativo tiene su propio Benchmark.
- Las configuraciones cambian con actualizaciones, instalaciones o cambios de usuarios.
- Un equipo que cumplía ayer puede no cumplir hoy.
Por eso conviene automatizar la verificación y tener un tablero con el porcentaje de cumplimiento por equipo y por control.
Auditoría continua
El hardening no es un proyecto con fecha de cierre: es una verificación continua. Algunas recomendaciones:
- Mide el cumplimiento cada semana, no una vez al año.
- Prioriza las desviaciones en servidores críticos y equipos expuestos a internet.
- Documenta las excepciones justificadas.
- Usa los resultados como evidencia para auditorías de ISO 27001, NIST o PCI-DSS.
Cómo lo hace NESS
En NESS, el servicio de controles CIS forma parte del mismo agente que ejecuta el antivirus (NESS Endpoint Protection), el DLP, el filtro web y el gestor de parches. La plataforma verifica controles CIS Benchmark en Windows, Linux y macOS, y su módulo de cumplimiento contempla marcos como ISO, CIS, NIST y PCI. Así, inventario, parches, defensas contra malware y configuración segura (varios de los controles de IG1) quedan cubiertos desde una sola consola.
Preguntas frecuentes
¿Qué son los controles CIS?
Un marco priorizado de buenas prácticas de ciberseguridad del Center for Internet Security, organizado en 18 controles en su versión 8.
¿Cuál es la diferencia entre CIS Controls y CIS Benchmarks?
Los Controls dicen qué proteger y en qué orden; los Benchmarks son guías técnicas para configurar de forma segura cada sistema.
¿Qué es IG1?
El primer grupo de implementación de los CIS Controls: la higiene cibernética esencial recomendada para cualquier organización.
¿Los controles CIS son obligatorios?
No son una ley, pero son una referencia ampliamente usada y ayudan a cumplir marcos como ISO 27001, NIST o PCI-DSS.
Enlaces internos sugeridos
- Qué son los CIS Benchmarks y por qué son esenciales
- Niveles de CIS Benchmarks: nivel 1 y nivel 2
- Gestión de parches: deja de parchar equipo por equipo (14 oct)
- Inventario de activos TI: el primer control (22 oct)
Mide tu cumplimiento CIS en una sola consola
Agenda una demo de NESS Unified IT Defense y revisa el estado CIS de tus equipos Windows, Linux y macOS.
Fuentes: Center for Internet Security, CIS Critical Security Controls v8 (cisecurity.org/controls). CyberEdge Group, 2025 Cyberthreat Defense Report, p. 8.
