Quando uma empresa decide cuidar da segurança, a primeira dúvida é por onde começar. Existem centenas de produtos, normas e recomendações. O CIS Controls existe para responder exatamente essa pergunta.
O que é
O CIS Controls é um conjunto de práticas de segurança mantido pelo Center for Internet Security, organização sem fins lucrativos dos Estados Unidos. A versão 8 organiza a defesa de uma empresa em 18 controles, que vão do inventário de equipamentos à resposta a incidentes.
Grupos de implementação
O ponto mais útil para uma PME é a divisão em grupos de implementação. O primeiro grupo, chamado de IG1, reúne o que o próprio CIS descreve como higiene cibernética essencial: o mínimo que toda empresa deveria ter, independentemente do porte.
Alguns exemplos do que entra nesse básico:
- saber quais computadores, servidores e programas existem na empresa;
- manter sistemas atualizados;
- controlar quem tem acesso administrativo;
- usar verificação em duas etapas;
- ter cópias de segurança protegidas e testadas;
- preparar a equipe para reconhecer golpes por e-mail.
Por que um padrão importa
Um padrão evita duas armadilhas comuns: comprar ferramenta antes de saber o problema, e tratar segurança como uma lista infinita sem prioridade. Com o CIS Controls, cada verificação tem uma referência, e cada mês dá para medir a evolução.
Como usamos
No Sentinela PME, partimos do primeiro grupo de implementação e adaptamos à realidade da empresa. Todo mês verificamos os controles, priorizamos o que corrigir e mostramos a evolução em um relatório de duas páginas.