Controles CIS: un marco de seguridad práctico para equipos de TI y proveedores de servicios gestionados (MSP)

Según el informe sobre el estado de los MSP de Kaseya de 2026, el 71 % de los MSP registró un crecimiento interanual de los ingresos en ciberseguridad, pero casi la mitad señala que la complejidad de los productos de seguridad es su principal barrera para crecer.

Cuando las organizaciones preguntan «¿por dónde empezamos con la ciberseguridad?», la respuesta rara vez es sencilla. Hay decenas de marcos, cientos de documentos de directrices y una variedad abrumadora de controles de seguridad a considerar. Los Controles CIS simplifican esa complejidad con una respuesta deliberadamente práctica: estas son las 18 acciones de seguridad más importantes, en orden de prioridad, con directrices de implementación específicas para organizaciones de distintos tamaños.

Esa priorización es lo que distingue a los Controles CIS. En lugar de un catálogo exhaustivo de todo lo que una organización debería hacer eventualmente, los controles se centran en las acciones fundamentales que abordan los vectores de ataque más comunes y ofrecen la mayor reducción de riesgo por unidad de esfuerzo.

Implemente y supervise los Controles CIS con Compliance Manager GRC

Compliance Manager GRC incluye plantillas diseñadas específicamente para los tres Grupos de Implementación de CIS v8.1, lo que permite supervisar el cumplimiento de las salvaguardas, identificar brechas y generar automáticamente informes de evidencias listos para auditorías.

Explora Compliance Manager GRC

¿Qué son los Controles CIS?

Los Controles CIS son un conjunto priorizado de mejores prácticas de ciberseguridad desarrolladas y mantenidas por el Center for Internet Security, una organización sin fines de lucro. Lanzados originalmente como los «SANS Top 20» y posteriormente adoptados y evolucionados por CIS, los controles representan una visión consensuada de las acciones defensivas más eficaces contra los ataques más comunes.

Este marco es ampliamente citado por organismos regulatorios y estándares de cumplimiento. NIST, HIPAA, PCI DSS y muchas normativas de ciberseguridad a nivel estatal hacen referencia a los Controles CIS o se alinean con ellos. Para las organizaciones sujetas a múltiples requisitos de cumplimiento, implementar los Controles CIS a menudo proporciona una cobertura significativa en varios marcos simultáneamente.

Los controles son de uso gratuito y están disponibles públicamente, con documentación de apoyo que incluye directrices de implementación, mapeos con otros marcos y puntos de referencia para tecnologías específicas. Los Benchmarks de CIS proporcionan directrices de endurecimiento (hardening) para sistemas operativos, aplicaciones y servicios en la nube.

Controles CIS v8.1: El marco actual

CIS Controls v8.1 es la versión actual del marco. La versión 8 se lanzó en 2021 como la evolución más significativa en años, y la v8.1 perfeccionó y actualizó los detalles de las salvaguardas. Cambios clave respecto a la versión 7:

Enfoque en la nube y dispositivos móviles. La versión 8 se rediseñó para reflejar la realidad de que los entornos de TI ahora abarcan infraestructura local, servicios en la nube, dispositivos móviles y trabajo remoto, y no solo el perímetro empresarial tradicional.

Consolidación de 20 a 18 controles. Se fusionaron varios controles superpuestos y el marco se reorganizó en torno a tres Grupos de Implementación (IG1, IG2 e IG3) que permiten a las organizaciones dimensionar el marco de manera adecuada según su tamaño y perfil de riesgo.

Modelo de salvaguardas. La versión 8 introdujo las «Salvaguardas» como las acciones granulares dentro de cada control, reemplazando la terminología anterior de «subcontroles». Los Controles CIS v8.1 contienen 153 salvaguardas distribuidas en los 18 controles.

Grupos de implementación: Escalado de los controles a su organización

Una de las características más prácticas de los Controles CIS es el modelo de Grupos de Implementación, que permite a las organizaciones adaptar el marco a su tamaño, recursos y perfil de riesgo en lugar de tratar las 153 salvaguardas como una lista indiferenciada.

IG1, Higiene cibernética esencial (56 salvaguardas): Diseñado para organizaciones pequeñas con personal limitado de TI y ciberseguridad. IG1 representa la base que toda organización debe alcanzar independientemente de su tamaño, los controles que abordan los ataques más comunes y de baja sofisticación que afectan a la gran mayoría de las organizaciones. Si una organización no hace nada más, alcanzar el IG1 mejora sustancialmente su postura de seguridad.

IG2 (130 medidas de seguridad, incluye todo IG1): Adecuado para organizaciones que gestionan datos sensibles y cuentan con personal dedicado de TI y seguridad. IG2 añade 74 medidas de seguridad adicionales para hacer frente a amenazas más sofisticadas, requisitos de cumplimiento y entornos más complejos. Algunas medidas de este nivel requieren tecnología de nivel empresarial y experiencia especializada.

IG3 (las 153 medidas de seguridad, incluye IG1 e IG2): Adecuado para grandes organizaciones o aquellas con equipos de seguridad maduros que gestionan activos de alto valor o infraestructura crítica. IG3 añade 23 medidas de seguridad para abordar amenazas avanzadas y requiere experiencia especializada en seguridad para su implementación completa.

Para la mayoría de las pymes y los clientes a los que dan servicio los MSP, IG1 e IG2 son los niveles objetivo relevantes. El cumplimiento total de IG1 aborda la gran mayoría de los vectores de ataque del mundo real a los que se enfrentan las pymes.

Compliance Manager GRC incluye plantillas independientes para cada Grupo de Implementación, cargando automáticamente las medidas de seguridad específicas requeridas para el nivel seleccionado.

Los 18 controles CIS

Control 1: Inventario y control de activos empresariales. Conozca cada dispositivo en el entorno. No se puede proteger lo que no se conoce.

Control 2: Inventario y control de activos de software. Realice un seguimiento de todo el software y permita ejecutar únicamente el autorizado. El software no autorizado es un punto de entrada principal para el malware.

Control 3: Protección de datos. Desarrolle procesos y controles técnicos para identificar, clasificar, asegurar, retener y desechar datos. Incluye cifrado y prevención de pérdida de datos.

Control 4: Configuración segura de activos empresariales y software. Establezca y mantenga configuraciones seguras para todo el hardware y software. Las configuraciones predeterminadas suelen ser inseguras.

Control 5: Gestión de cuentas. Utilice procesos y herramientas para asignar y gestionar credenciales de todas las cuentas, incluidas las de administrador, servicio y aplicaciones, siguiendo los principios de privilegios mínimos.

Control 6: Gestión de control de acceso. Cree y gestione credenciales de acceso basándose en la necesidad de saber y la necesidad de usar. Abarca la aplicación de MFA, la gestión de privilegios y las revisiones de acceso.

Control 7: Gestión continua de vulnerabilidades. Adquiera, evalúe y actúe continuamente sobre la información de nuevas amenazas y vulnerabilidades para identificar, remediar y minimizar la ventana de oportunidad de los atacantes.

Control 8: Gestión de registros de auditoría. Recopile, alerte, revise y retenga los registros de auditoría para respaldar la detección de incidentes y el análisis forense posterior a los mismos.

Control 9: Protecciones de correo electrónico y navegador web. Mejore las protecciones contra amenazas transmitidas a través de correo electrónico y navegadores web, los dos vectores de acceso inicial más comunes.

Control 10: Defensas contra malware. Utilice herramientas automatizadas para prevenir o controlar la instalación y ejecución de código malicioso en el endpoint.

Control 11: Recuperación de datos. Establezca y mantenga prácticas de recuperación de datos suficientes para restaurar los datos incluidos en el ámbito a un estado previo al incidente dentro de los objetivos de RTO y RPO definidos.

Control 12: Gestión de la infraestructura de red. Establezca, implemente y gestione la infraestructura de red para evitar que los atacantes exploten servicios y configuraciones de red vulnerables.

Control 13: Monitorización y defensa de la red. Monitoree la red en busca de actividad anómala o maliciosa e implemente mecanismos para detectar y responder a dichas actividades.

Control 14: Formación en concienciación y habilidades de seguridad. Establezca y mantenga un programa de concienciación sobre seguridad que aborde el factor de riesgo humano mediante formación y simulaciones de phishing.

Control 15: Gestión de proveedores de servicios. Desarrolle un proceso para evaluar y gestionar a los proveedores de servicios (incluidos los MSP) en función del riesgo que representan para los datos y sistemas de la organización.

Control 16: Seguridad del software de aplicaciones. Gestione el ciclo de vida de seguridad del software desarrollado internamente, alojado o adquirido para prevenir, detectar y remediar debilidades de seguridad.

Control 17: Gestión de respuesta a incidentes. Establezca un programa para desarrollar y mantener la capacidad de respuesta a incidentes, incluidos manuales de procedimientos (playbooks) definidos y procedimientos probados.

Control 18: Pruebas de penetración. Pruebe la eficacia de las defensas mediante ataques simulados controlados para identificar vulnerabilidades explotables antes de que lo hagan los atacantes.

Controles CIS y otros marcos

Los controles CIS no existen de forma aislada. Se alinean directamente con otros marcos con los que las organizaciones deben cumplir, lo cual es una de las razones principales por las que implementar los controles CIS vale la pena, incluso para aquellas organizaciones que no tienen la obligación específica de seguirlos.

NIST CSF: Los CIS Controls se alinean ampliamente con las funciones de NIST CSF (Identificar, Proteger, Detectar, Responder, Recuperar). Las organizaciones que utilizan NIST CSF encuentran que los CIS Controls proporcionan el nivel de detalle de implementación que requieren las funciones más abstractas del CSF.

PCI DSS: Los controles del 1 al 7 y del 10 al 12 se alinean fuertemente con los requisitos de PCI DSS. La implementación de los CIS Controls reduce significativamente el esfuerzo de preparación para las auditorías de PCI DSS.

HIPAA: Los CIS Controls abordan muchos de los requisitos de salvaguarda administrativa, física y técnica de la regla de seguridad de HIPAA.

ISO 27001: Existe una alineación significativa entre los CIS Controls y los controles del Anexo A de la norma ISO 27001. Las organizaciones que buscan la certificación ISO 27001 se benefician de la implementación previa de los CIS Controls como evidencia de la madurez de sus controles.

Esta cobertura entre marcos de trabajo es la razón por la cual los CIS Controls son un punto de partida práctico para la mayoría de las organizaciones: implementar los controles genera evidencia de cumplimiento para múltiples marcos de trabajo simultáneamente, lo que reduce la carga operativa de gestionar cada marco de forma independiente.

Implementación de los CIS Controls con Kaseya

La plataforma Kaseya ofrece soporte técnico directo para implementar la mayoría de los CIS Controls en entornos gestionados:

Controles 1 y 2 (Inventario de Activos): El descubrimiento automatizado de dispositivos e inventario de software de VSA crea y mantiene los registros de activos que exigen los Controles 1 y 2. IT Glue proporciona la capa de documentación para el seguimiento de activos y registros de configuración.

Controles 4 y 5 (Configuración Segura, Gestión de Cuentas): La gestión de configuraciones basada en políticas de VSA aplica estándares de configuración segura en los endpoints gestionados. Kaseya 365 User admite la aplicación de MFA y la gestión de accesos privilegiados.

Control 7 (Gestión de Vulnerabilidades): El escaneo de vulnerabilidades y la gestión automatizada de parches de Kaseya abordan directamente el requisito de gestión continua de vulnerabilidades.

Controles 9 y 10 (Protecciones de Correo y Navegador, Defensas contra Malware): INKY (seguridad de correo electrónico) y Datto EDR abordan los controles de defensa para correo electrónico, navegador y malware.

Control 11 (Recuperación de Datos): Datto BCDR proporciona la capacidad de respaldo y recuperación que exige el Control 11, con verificación automatizada y almacenamiento en la nube inmutable.

Control 14 (Concientización sobre Seguridad): BullPhish ID ofrece capacitación en concientización sobre seguridad y simulaciones de phishing.

Control 17 (Respuesta a Incidentes): El servicio de MDR de Kaseya ofrece una capacidad de monitoreo y respuesta 24/7 que respalda un programa gestionado de respuesta a incidentes.

Compliance Manager GRC es donde todo esto converge con fines de cumplimiento normativo. Incluye plantillas de los CIS Controls v8.1 diseñadas específicamente para los tres grupos de implementación (IG), cargando automáticamente las salvaguardas requeridas para el nivel de IG seleccionado. La plataforma realiza un seguimiento del progreso de la implementación en las 153 salvaguardas, identifica brechas y genera automáticamente los manuales de cumplimiento, informes de evidencia y documentación de auditoría que demuestran la adherencia a los CIS Controls ante clientes, auditores y aseguradoras cibernéticas.

Para los MSP, esto transforma los CIS Controls de un marco de trabajo a revisar en un servicio de cumplimiento gestionado para ofrecer. Explore Compliance Manager GRC.

Puntos clave

• CIS Controls v8.1 ofrece 18 acciones de seguridad prioritarias organizadas en grupos de implementación que se adaptan al tamaño de la organización. IG1 (56 salvaguardas) es la base esencial que toda organización debe alcanzar.
• El modelo de grupos de implementación hace que los CIS Controls sean prácticos para organizaciones de cualquier tamaño; las Py_mes apuntan a IG1 e IG2, mientras que las grandes empresas apuntan a IG3.
• Los CIS Controls se alinean con NIST CSF, PCI DSS, HIPAA e ISO 27001, lo que hace que su implementación sea valiosa como evidencia de cumplimiento en múltiples marcos de trabajo simultáneamente.
• La plataforma Kaseya implementa directamente la mayoría de los CIS Controls a través de VSA, Datto EDR, IT Glue, INKY, BullPhish ID y Datto BCDR.
• Compliance Manager GRC ofrece plantillas de CIS v8.1 diseñadas específicamente para los tres grupos de implementación, lo que permite realizar un seguimiento del cumplimiento de las salvaguardas y generar automáticamente documentación de evidencia lista para auditorías.