Grupo de Implementación CIS 1 (IG1): Higiene Cibernética Esencial

El cibercrimen se ha vuelto más prevalente desde el inicio de la pandemia de COVID-19. De hecho, el 81% de las organizaciones en todo el mundo experimentaron un aumento en las amenazas cibernéticas y el 79% sufrió tiempos de inactividad debido a ciberataques durante la temporada alta, según un 2021 report by McAfee Enterprise and FireEye. Los ataques también se han vuelto más complejos. IBM and the Ponemon Institute informan que el tiempo promedio para detectar y contener una data breach en 2021 fue de 287 días, una semana más que en 2020.

Afortunadamente, el Centro para la Seguridad en Internet (CIS) ofrece Critical Security Controls (CSCs) que ayudan a las organizaciones a mejorar la ciberseguridad. Estas pautas de mejores prácticas consisten en 18 controles recomendados que proporcionan formas prácticas de reducir el riesgo.

Grupos de implementación de CSC

Anteriormente, los CSC se dividían en las tres categorías de básico, fundamental y organizacional. Sin embargo, la versión actual del CSC, versión 8, divide los controles en tres grupos de implementación (IGs), que tienen en cuenta cómo factores como el tamaño de la organización, el tipo, el perfil de riesgo y los recursos pueden afectar el proceso de implementación de controles.

• Grupo de Implementación 1 (IG1)define el estándar mínimo de higiene cibernética; cada empresa debería implementar sus 56 salvaguardas. En la mayoría de los casos, una empresa IG1 es pequeña o mediana; tiene un presupuesto de ciberseguridad limitado y recursos de TI; y almacena información de baja sensibilidad.
• El Grupo de Implementación 2 (IG2) es para empresas con más recursos y datos moderadamente sensibles. Sus 74 salvaguardas se basan en las 56 salvaguardas de IG1 para ayudar a los equipos de seguridad a lidiar con una complejidad operativa aumentada. Algunas salvaguardas requieren experiencia especializada y tecnología de nivel empresarial para instalar y configurar. Las empresas IG2 tienen los recursos para emplear a individuos para monitorear, gestionar y proteger sistemas de TI y datos. Por lo general, almacenan y procesan información sensible empresarial y de clientes, por lo que perderán la confianza pública si ocurren violaciones de datos.
• El Grupo de Implementación 3 (IG3) es para organizaciones maduras con datos de la empresa y del cliente altamente sensibles. Cuenta con 23 salvaguardas adicionales. Las empresas IG3 son mucho más grandes que sus contrapartes de IG2. En consecuencia, tienden a emplear expertos en TI que se especializan en diferentes aspectos de la ciberseguridad, como pruebas de penetración, gestión de riesgos y aplicación. Debido a que sus activos de TI contienen datos sensibles y realizan funciones sensibles que están sujetas a supervisión de cumplimiento y regulación, estas empresas deben ser capaces de prevenir y mitigar ataques sofisticados, así como reducir el impacto de los ataques de día cero.

CIS IG1: ¿Qué salvaguardias son esenciales para la seguridad?

Cada control IG1 es esencial excepto por el 13 (Network Monitoring and Defense), 16 (Application Software Security) y 18 (Penetration Testing), porque sus requisitos dependen del nivel de madurez, tamaño y recursos de su empresa. Todos los demás controles básicos de CIS tienen salvaguardias esenciales, que comprenden IG1. Ahora, profundicemos en esas salvaguardias esenciales.

CIS Control 1. Inventario y control de los activos empresariales

En CIS Control 1, 2 de 5 salvaguardias están incluidas en IG1:

1.1 Establezca y mantenga un inventario completo de activos empresariales. Para reducir la superficie de ataque de su organización, necesita una visión completa de todos los activos en su red.

1.2 Abordar los activos no autorizados. Es necesario gestionar activamente todos los dispositivos de hardware en la red para asegurar que solo los dispositivos autorizados tengan acceso. Cualquier dispositivo no autorizado debe ser identificado y desconectado rápidamente antes de que se produzca algún daño.

CIS Control 2. Inventario y control de activos de software

CIS Control 2 cuenta con 7 salvaguardias, pero solo las primeras 3 están incluidas en IG1:

2.1 Establecer y mantener un inventario de software actualizado. Es importante llevar un registro de todo el software en los ordenadores de su red, incluyendo información detallada: título, editor, fecha de instalación, sistemas soportados, propósito empresarial, URLs relacionadas, método de despliegue, versión, fecha de baja y así sucesivamente.

2.2 Asegúrese de que el software autorizado esté actualmente soportado. Mantener software no soportado, el cual no recibe parches de seguridad ni actualizaciones, incrementa los riesgos de ciberseguridad de su organización.

2.3 Abordar el software no autorizado. Recuerde gestionar activamente todo el software en la red para que no se pueda instalar software no autorizado o sea detectado y eliminado de manera oportuna.

CIS Control 3. Protección de Datos

CIS Control 3 se basa en CIS Control 1 al enfatizar la necesidad de un plan integral de gestión y protección de datos. Las siguientes 6 de sus 14 salvaguardias son esenciales:

3.1 Establezca y mantenga un proceso de gestión de datos. Mantenga un proceso documentado y actualizado que aborde la sensibilidad de los datos, la retención, el almacenamiento, la copia de seguridad y la eliminación.

3.2 Establecer y mantener un inventario de datos. Necesita saber exactamente qué datos tiene y dónde están ubicados para priorizar sus esfuerzos de data security y proteger adecuadamente sus datos críticos y asegurar el cumplimiento regulatorio.

3.3 Configurar listas de control de acceso a datos. Restringir los permisos de acceso de los usuarios de acuerdo con sus funciones laborales es vital. Revise los derechos de acceso de manera regular y establezca procesos para evitar el exceso de provisión.

3.4 Haga cumplir la retención de datos de acuerdo con su proceso de gestión de datos. Decida cuánto tiempo se deben conservar los diferentes tipos de datos, basándose en los requisitos de cumplimiento y otras necesidades comerciales, y establezca procesos para asegurar que se sigan los calendarios de retención.

3.5. Deseche los datos de forma segura y asegúrese de que los métodos y procesos de eliminación correspondan con la sensibilidad de los datos. Asegúrese de que sus procesos de eliminación de datos sean apropiados para el tipo de datos que se manejan.

3.6 Cifre los datos en dispositivos de usuario final como portátiles y teléfonos. Cifrar los datos los hace ilegibles y por lo tanto inútiles para actores maliciosos si el dispositivo se pierde o es robado, y por lo tanto puede ayudarle a evitar sanciones de cumplimiento.

CIS Control 4. Configuración segura de activos empresariales y software

CIS Control 4 describe las mejores prácticas para ayudarte a mantener configuraciones adecuadas para los activos de hardware y software. Hay un total de 12 salvaguardas en esta sección. Sin embargo, solo las primeras 7 pertenecen a IG1:

4.1 Establezca y mantenga un proceso de configuración segura. Desarrolle configuraciones estándar para sus activos de TI basadas en las mejores prácticas, e implemente un proceso para desplegarlas y mantenerlas.

4.2 Establezca y mantenga un proceso de configuración segura para la infraestructura de red. Establezca configuraciones estándar para network devices y vigile continuamente cualquier desviación o cambio de esa línea base para que pueda remediar de manera oportuna los cambios que debiliten la seguridad de su red.

4.3 Configure el bloqueo automático de sesión en los activos empresariales después de períodos definidos de inactividad. Esta medida de seguridad ayuda a mitigar el riesgo de que actores maliciosos obtengan acceso no autorizado a estaciones de trabajo, servidores y dispositivos móviles si el usuario autorizado se aleja sin asegurarlos.

4.4 Implementar y gestionar firewalls en servidores. Los firewalls ayudan a proteger los servidores de accesos no autorizados a través de la red, bloquean ciertos tipos de tráfico y permiten ejecutar programas solo desde plataformas y fuentes confiables.

4.5 Implemente y gestione firewalls en dispositivos de usuario final. Agregue un firewall basado en host o una herramienta de filtrado de puertos en todos los dispositivos de usuario final de su inventario, con una regla de denegación por defecto que prohíba todo el tráfico excepto una lista predeterminada de servicios y puertos que tengan permisos explícitos.

4.6 Gestionar de manera segura el software empresarial y los activos. Esta salvaguarda sugiere administrar su configuración a través de infraestructura como código con control de versiones. También recomienda acceder a interfaces administrativas a través de protocolos de red seguros como SSH y HTTPS, y evitar protocolos de gestión inseguros como Telnet y HTTP, los cuales no cuentan con soporte de cifrado adecuado y por lo tanto son vulnerables a ataques de interceptación y espionaje.

4.7 Gestione las cuentas predeterminadas en el software empresarial y los activos. Las cuentas predeterminadas son objetivos fáciles para los atacantes, por lo que es crítico cambiar la configuración preconfigurada y deshabilitar las cuentas predeterminadas siempre que sea posible.

CIS Control 5. Gestión de cuentas

CIS Control 5 proporciona estrategias para asegurar que sus cuentas de usuario, administrador y de servicio estén debidamente gestionadas. En este control, 4 de 6 salvaguardias son esenciales:

5.1 Establecer y mantener una lista de cuentas. Revisar y actualizar regularmente el inventario de todas las cuentas para asegurar que las cuentas en uso estén autorizadas. Cada detalle, incluyendo el propósito de la cuenta, debe estar documentado.

5.2 Utilice contraseñas únicas. La mejor práctica para la seguridad de contraseñas es elaborar su política de contraseñas y procedimientos utilizando un marco apropiado y respetado. Una excelente opción es Special Publication 800-63B del Instituto Nacional de Estándares y Tecnología (NIST). Sus directrices son útiles para cualquier empresa que busque mejorar la ciberseguridad.

5.3 Deshabilite las cuentas inactivas (aquellas que no se han utilizado durante al menos 45 días). Escanear regularmente en busca de cuentas inactivas y desactivarlas reduce el riesgo de que los hackers las comprometan y accedan a su red.

5.4 Restrinja los privilegios de administrador a cuentas de administrador dedicadas. Las cuentas privilegiadas deben usarse solo cuando sea necesario para completar tareas administrativas.

CIS Control 6. Gestión de Control de Acceso

Control 6 establece las mejores prácticas para gestionar y configurar el acceso y los permisos de los usuarios. 5 de sus 8 salvaguardas están incluidas en IG1:

6.1 Establezca un proceso de concesión de acceso. Idealmente, el proceso de otorgar y cambiar privilegios debería automatizarse basado en conjuntos estándar de permisos para cada rol de usuario.

6.2 Establecer un proceso de revocación de acceso. Mantener permisos no utilizados o excesivos aumenta los riesgos de seguridad, por lo que es necesario revocar o actualizar los derechos de acceso tan pronto como el empleado abandone la empresa o cambie de rol.

6.3 Requerir autenticación multifactor (MFA) para cuentas expuestas externamente. Con MFA, los usuarios deben proporcionar dos o más factores de autenticación, como una combinación de ID de usuario/contraseña más un código de seguridad enviado a su correo electrónico. Es necesario habilitar MFA para cuentas utilizadas por clientes o socios.

6.4 Requerir MFA para el acceso remoto a la red. Siempre que un usuario intente conectarse de forma remota, el acceso debe ser verificado con MFA.

6.5 Requerir MFA para el acceso administrativo. Las cuentas de administrador requieren seguridad adicional, por lo que es importante habilitar MFA para ellas.

CIS Control 7. Gestión Continua de Vulnerabilidades

CIS Control 7 se centra en identificar, priorizar, documentar y corregir vulnerabilidades en un entorno de TI. La gestión continua de vulnerabilidades es recomendada debido a que los ataques son cada vez más sofisticados y frecuentes, y hay más datos sensibles que nunca antes.

4 de las 7 salvaguardas están incluidas en el Grupo de Implementación 1:

7.1 Establecer y mantener un proceso de gestión de vulnerabilidades. Las empresas necesitan decidir cómo identificarán, evaluarán, remediarán e informarán sobre posibles vulnerabilidades de seguridad.

7.2 Establecer y mantener un proceso de remediación. Las empresas necesitan decidir cómo responderán ante una vulnerabilidad identificada.

7.3 Realice la gestión automatizada de parches del sistema operativo. Es importante mantener todos los sistemas operativos actualizados de manera oportuna.

7.4 Realice la gestión automatizada de parches de aplicaciones. Mantener los parches de las aplicaciones es tan importante como parchear los sistemas operativos.

CIS Control 8. Gestión de registros de auditoría

CIS Control 8 proporciona pautas para la recolección, alerta, revisión y retención de registros de auditoría de eventos que pueden ayudarlo a detectar, comprender y recuperarse de ataques.

Aquí están las salvaguardias esenciales de este control:

8.1 Establecer y mantener un proceso de gestión de registros de auditoría. Una empresa necesita decidir quién se encargará de recopilar, revisar y conservar los registros de auditoría de los activos empresariales, y cuándo y cómo ocurrirá el proceso. Este proceso debe ser revisado y actualizado anualmente, así como cuando cambios significativos puedan afectar esta salvaguarda.

8.2 Recolectar registros de auditoría. La auditoría de registros debe estar habilitada en todos los activos empresariales, como sistemas, dispositivos y aplicaciones.

8.3 Asegure un almacenamiento adecuado de los registros de auditoría. Decida dónde y por cuánto tiempo se conservan los datos de los registros de auditoría basándose en los requisitos de cumplimiento aplicables y otras necesidades comerciales, y asegúrese de asignar suficiente almacenamiento para garantizar que no se sobrescriban o se pierdan datos necesarios.

CIS Control 9. Protecciones para correo electrónico y navegadores web

CIS Control 9 cuenta con 7 salvaguardas para navegadores web y de correo electrónico, 2 de las cuales son esenciales:

9.1 Asegúrese de que solo se utilicen clientes de correo electrónico y navegadores completamente soportados. Los clientes de correo electrónico y navegadores necesitan estar actualizados y tener configuraciones seguras.

9.2 Utilice servicios de filtrado del Sistema de Nombres de Dominio (DNS). Estos servicios deben usarse en todos los activos empresariales para bloquear el acceso a dominios maliciosos conocidos, lo que puede ayudar a fortalecer su postura de seguridad.

Control CIS 10. Defensas contra Malware

CIS Control 10 describe formas de prevenir y controlar la instalación y propagación de código malicioso, aplicaciones y scripts en activos empresariales. 3 de sus 7 salvaguardias son esenciales:

10.1. Implemente y mantenga software anti-malware. Active las defensas contra malware en todos los puntos de entrada a los activos de TI.

10.2. Configura actualizaciones automáticas de firmas antimalware.

Las actualizaciones automáticas son más confiables que los procesos manuales. Las actualizaciones pueden publicarse cada hora o cada día, y cualquier retraso en la instalación puede dejar tu sistema expuesto a actores maliciosos.

10.3. Deshabilite la ejecución automática y la reproducción automática para medios extraíbles. Los medios extraíbles son altamente susceptibles al malware. Al deshabilitar la funcionalidad de auto-ejecución, puede prevenir malware infecciones que podrían causar violaciones costosas de datos o tiempo de inactividad del sistema.

CIS Control 11. Recuperación de Datos

CIS Control 11 resalta la necesidad de recuperación de datos y copias de seguridad. Este control tiene 5 salvaguardas; las primeras 4 son esenciales:

11.1. Establezca y mantenga un proceso de recuperación de datos. Establezca y mantenga un proceso de recuperación de datos sólido que pueda seguirse en toda la organización. Debe abordar el alcance de la recuperación de datos y establecer prioridades determinando qué datos son los más importantes.

11.2. Implemente un proceso de copia de seguridad automatizado. La automatización garantiza que los datos del sistema se respalden según el cronograma sin intervención humana.

11.3. Proteja los datos de recuperación. Las copias de seguridad también necesitan una seguridad adecuada. Esto puede incluir cifrado o segmentación basada en su política de protección de datos.

11.4. Establezca y mantenga copias aisladas de los datos de respaldo. Para proteger las copias de seguridad de amenazas como el ransomware, considere almacenarlas desconectadas o en sistemas o servicios en la nube o fuera del sitio.

CIS Control 12. Gestión de la Infraestructura de Red

El Control 12 establece pautas para la gestión de dispositivos de red con el fin de prevenir que los atacantes exploten puntos de acceso vulnerables y servicios de red. Su única salvaguarda en IG1 le exige establecer y mantener una arquitectura de red segura y mantener su infraestructura de red actualizada.

CIS Control 14. Capacitación en Conciencia de Seguridad y Habilidades

CIS Control 14 se centra en mejorar la conciencia y habilidades de ciberseguridad de los empleados. La frecuencia y tipos de entrenamiento varían; a menudo las organizaciones requieren que los empleados refresquen su conocimiento de las normas de seguridad pasando pruebas breves cada 3–6 meses.

8 de las 9 salvaguardias se consideran esenciales:

14.1 Establezca y mantenga un programa de concienciación sobre seguridad. Establezca un programa de concienciación sobre seguridad que entrene a los miembros de la fuerza laboral en prácticas de seguridad vitales.

14.2 Capacite a los miembros del personal para reconocer ataques de ingeniería social. Ejemplos incluyen el tailgating, phishing y estafas telefónicas.

14.3 Capacite a los miembros del personal en las mejores prácticas de autenticación. Es importante explicar por qué se debe utilizar una autenticación segura, incluyendo los riesgos y consecuencias de no seguir las mejores prácticas.

14.4 Capacite al personal en las mejores prácticas para el manejo de datos. Esta salvaguarda es particularmente importante para datos sensibles y regulados.

14.5 Capacite a los miembros del personal sobre las causas de la exposición involuntaria de datos. Ejemplos incluyen perder un dispositivo portátil, enviar datos sensibles por correo electrónico a los destinatarios incorrectos y publicar datos donde puedan ser vistos por audiencias no intencionadas.

14.6 Capacite a los miembros del personal para reconocer y reportar posibles incidentes de seguridad. Desarrolle una guía detallada que responda preguntas como: ¿Cuáles podrían ser las señales de una estafa? ¿Qué debe hacer un empleado en caso de un incidente de seguridad? ¿Quién debe ser informado sobre un incidente?

14.7 Capacite a su personal sobre cómo identificar y reportar si a los activos empresariales les faltan parches de software y actualizaciones de seguridad. Es necesario que sus empleados sepan por qué las actualizaciones son importantes y por qué rechazar una actualización podría causar un riesgo de seguridad.

14.8 Capacite a su personal sobre los peligros de conectarse y transmitir datos a través de redes inseguras. Todos deben estar conscientes de los peligros de conectarse a redes inseguras. Los trabajadores remotos deberían recibir capacitación adicional para asegurarse de que sus redes domésticas estén configuradas de manera segura.

CIS Control 15. Gestión de Proveedores de Servicios

CIS Control 15 destaca la importancia de evaluar y gestionar a los proveedores de servicios que manejan datos sensibles. Requiere que mantenga un inventario de todos los proveedores de servicios asociados con su organización, crear un conjunto de estándares para calificar sus requisitos de seguridad y evaluar los requisitos de seguridad de cada proveedor.

Solo la primera de las 8 salvaguardias es esencial. Requiere que establezca y mantenga una lista de proveedores de servicios.

CIS Control 17. Gestión de Respuesta a Incidentes

Finalmente, CIS Control 17 se refiere al desarrollo y mantenimiento de una capacidad de respuesta ante incidentes para detectar, preparar y responder rápidamente a los ataques. Requiere que designe personal para la gestión de incidentes, y establecer y mantener un proceso para la notificación de incidentes. También debe crear y mantener información de contacto para la notificación de incidentes de seguridad.

3 de sus 9 salvaguardias son esenciales:

17.1 Designar personal para gestionar el manejo de incidentes. Esta persona debe estar bien versada en la gestión de incidentes y debe ser un contacto primario conocido que reciba informes sobre posibles problemas.

17.2 Establecer y mantener la información de contacto para reportar incidentes de seguridad. Los empleados necesitan saber exactamente cómo contactar a los empleados adecuados sobre posibles incidentes, y el equipo responsable del manejo de incidentes necesita tener la información de contacto de aquellos con el poder de tomar decisiones significativas.

17.3 Establecer y mantener un proceso empresarial para la notificación de incidentes. Este proceso necesita estar documentado y revisado regularmente. El proceso debe explicar cómo se deben reportar los incidentes, incluyendo el plazo de notificación, los mecanismos para reportar y la información que se debe informar (como el tipo de incidente, hora, nivel de amenaza, sistema o software afectado, registros de auditoría, etc.).

Próximos pasos

El Grupo de Implementación de Controles Críticos CIS 1 proporciona orientación básica para una postura de ciberseguridad sólida. Las salvaguardas de IG1 son actividades esenciales de higiene cibernética, moldeadas por años de experiencia colectiva de una comunidad dedicada a mejorar la seguridad a través del intercambio de conceptos, recursos, lecciones aprendidas y acción coordinada.

¿Listo para implementar las salvaguardias IG1? Netwrix products pueden ayudar. Ofrecen un enfoque integral a los desafíos de la ciberseguridad asegurando su organización en todas las superficies de ataque principales: datos, identidad e infraestructura.

Conozca más sobre nuestras principales soluciones:

• Gobernanza del acceso a los datos — Recupere el control sobre el acceso a datos sensibles.
• Seguridad de Active Directory — Proteja su AD, en las instalaciones y en la nube, de extremo a extremo.
• Protección contra ransomware — Mitigue el riesgo de infecciones por ransomware y detecte ataques en progreso.
• Privileged Access Management — Reduzca el riesgo de las actividades privilegiadas.
• Gobernanza de la información — Organice sus datos, hágales fácilmente localizables y más seguros.