CIS Critical Security Controls v8

El marco del Center for Internet Security (CIS) agrupa y prioriza las defensas técnicas con mayor retorno de mitigación frente a los vectores de ataque reales documentados en reportes forenses. A diferencia de los estándares de gestión documental, CIS v8 entrega 18 controles prescriptivos y 153 salvaguardas medibles, escalonadas en tres Grupos de Implementación (IG1, IG2 e IG3) según el perfil de riesgo y madurez de la organización.

18 Controles Críticos Priorizados

153 Salvaguardas Técnicas (Safeguards)

IG1 · IG2 · IG3 Grupos de Implementación Acumulativos

56 Salvaguardas en Higiene Cibernética Esencial (IG1)

MODO DE LECTURA // Selecciona el enfoque según tu rol en la organización:

Priorización Basada en Capacidad y Riesgo

1. Grupos de Implementación: IG1, IG2 e IG3

Para evitar que las organizaciones pequeñas o medianas abandonen el marco por falta de presupuesto o personal dedicado, CIS v8 divide sus 153 salvaguardas en tres niveles acumulativos. Cada grupo suma las salvaguardas del grupo anterior.

IG1 // 56 SALVAGUARDAS

Grupo de Implementación 1: Higiene Cibernética Esencial

Base Mínima Obligatoria

Enfoque Especialista (CISO / Ingeniero / Auditor)

Reúne 56 salvaguardas diseñadas para implementarse con herramientas comerciales estándar o nativas del sistema operativo sin requerir un equipo SOC dedicado. Cubre inventario básico de hardware y software, parches automatizados, MFA en accesos remotos y administrativos, antimalware gestionado, copias de seguridad aisladas (3-2-1) y deshabilitación de cuentas por defecto.

Enfoque Ejecutivo (Directorio / Gerencia General)

El estándar CIS define a IG1 como el piso mínimo de higiene cibernética exigible a cualquier empresa con operación digital. Detiene ataques oportunistas masivos, ransomware automatizado y robo básico de credenciales con baja inversión de capital.

IG2 // +74 SALVAGUARDAS (130 EN TOTAL)

Grupo de Implementación 2: Organizaciones con Riesgo Operacional y Regulatorio

Infraestructura Departamental y Datos Sensibles

Enfoque Especialista (CISO / Ingeniero / Auditor)

Suma 74 salvaguardas adicionales orientadas a organizaciones con administradores de TI/Seguridad dedicados e infraestructura híbrida (on-premise y nube). Incorpora descubrimiento activo automatizado de activos, centralización de logs en SIEM, escaneo continuo de vulnerabilidades, segmentación de red por VLAN/subredes, endurecimiento mediante plantillas CIS Benchmarks y pruebas anuales de respuesta a incidentes.

Enfoque Ejecutivo (Directorio / Gerencia General)

Es la meta recomendada para medianas y grandes empresas en Chile sujetas a la Ley N° 21.719 (Datos Personales) o calificadas como Prestadores de Servicios Esenciales bajo la Ley N° 21.663. Permite detectar intrusiones en curso antes de que paralicen la operación.

IG3 // +23 SALVAGUARDAS (153 EN TOTAL)

Grupo de Implementación 3: Alta Madurez y Amenazas Dirigidas

OIV e Infraestructura Crítica

Enfoque Especialista (CISO / Ingeniero / Auditor)

Completa las 153 salvaguardas con las 23 medidas más exigentes del marco. Incluye control de ejecución de aplicaciones por listas blancas (allowlisting), gestión de acceso privilegiado con sesión grabada (PAM), control de acceso a la red 802.1X (NAC), análisis de seguridad en pipelines CI/CD (SAST/DAST), caza activa de amenazas y ejercicios de Red Team frente a adversarios persistentes.

Enfoque Ejecutivo (Directorio / Gerencia General)

Orientado a bancos, telecomunicaciones, energía, salud crítica y Operadores de Importancia Vital (OIV) que enfrentan atacantes sofisticados capaces de eludir defensas convencionales.

Catálogo Completo CIS v8

2. Explorador de los 18 Controles Críticos

Filtra los 18 controles por categoría funcional o utiliza el buscador para revisar qué exige cada control en el plano técnico y qué pregunta de gobierno responde ante el directorio.

Mostrando 18 de 18 controles

Convergencia de Marcos

3. Cómo se articula CIS Controls v8 con ISO 27001 y la Ley N° 21.663

En la práctica profesional, CIS Controls v8 e ISO/IEC 27001:2022 no compiten entre sí. Se utilizan de forma complementaria para cubrir tanto la exigencia técnica como la gobernanza auditable.

Dimensión	CIS Controls v8	ISO/IEC 27001:2022	Ley N° 21.663 / Ley N° 21.719
Propósito Central	Definir qué configurar y en qué orden técnico para reducir superficie de ataque de forma inmediata (IG1 → IG2 → IG3).	Establecer el Sistema de Gestión (SGSI), gobierno de riesgos, políticas y mejora continua certificable.	Establecer deberes legales obligatorios, plazos de notificación de incidentes (3h/72h/15d) y régimen sancionatorio en Chile.
Nivel de Prescripción	Altamente prescriptivo y medible (ej. plazos de escaneo, frecuencia de respaldos, cobertura de MFA).	Basado en riesgo: exige el control en el Anexo A pero deja a la organización definir la métrica específica en su SoA.	Exige medidas técnicas y organizativas proporcionales al riesgo y faculta a la ANCI para dictar estándares técnicos vinculantes.
Uso Recomendado	Hoja de ruta de ingeniería para equipos de TI, SecOps y Blue Team (comenzando por las 56 salvaguardas de IG1).	Marco rector del SGSI para auditoría externa, comité de seguridad y cumplimiento ante clientes e inversionistas.	Marco de cumplimiento regulatorio nacional cuya evidencia técnica se construye aplicando CIS v8 e ISO 27001.