Los controles CIS (CIS Critical Security Controls) son un conjunto de 18 prácticas de seguridad, ordenadas por prioridad, que publica el Center for Internet Security (CIS), una organización sin fines de lucro de Estados Unidos. Su versión vigente, la 8.1, desglosa esos 18 controles en 153 salvaguardas concretas y las agrupa en tres niveles de implementación según el tamaño y los recursos de cada empresa. Son gratuitos y funcionan como una lista práctica de qué proteger primero para defenderse de los ataques más comunes.
Su valor está en el orden. Otros marcos describen qué debería lograr un programa de seguridad; los controles CIS dicen qué hacer y en qué secuencia, empezando por lo que más ataques detiene con menos esfuerzo.
Qué son los controles CIS
Los pilotos no revisan el avión pieza por pieza antes de despegar: siguen una lista corta, ordenada y probada en miles de vuelos, que cubre lo que más accidentes evita. La repiten en cada vuelo y ningún punto depende de la memoria de nadie. Los controles CIS son esa lista para la seguridad de una empresa.
Se construyeron a partir de ataques reales: expertos de gobierno, industria y academia revisan cómo entran los atacantes y qué medidas los habrían frenado. Por eso los primeros controles no son sofisticados. Son básicos que muchas empresas se saltan, como saber qué equipos tienen conectados.
No hay que confundirlos con los CIS Benchmarks, que publica la misma organización. Los controles dicen qué hacer; los Benchmarks explican cómo configurar de forma segura cada tecnología concreta, desde Windows hasta Microsoft 365. Son la herramienta del control 4 y la base del hardening de sistemas.
Los 18 controles CIS
Esta es la lista completa de la versión 8.1, con lo que cada control pide en términos de negocio:
| Control | Qué pide |
|---|---|
| 1. Inventario de activos | Saber qué equipos, servidores y dispositivos están conectados a tu red. |
| 2. Inventario de software | Saber qué programas están instalados y permitir solo los autorizados. |
| 3. Protección de datos | Clasificar la información y protegerla según su sensibilidad. |
| 4. Configuración segura | Quitar las configuraciones de fábrica y mantener una configuración segura documentada. |
| 5. Gestión de cuentas | Controlar quién tiene cuenta y dar de baja las que ya no se usan. |
| 6. Control de accesos | Dar a cada cuenta solo los permisos que necesita, con segundo factor. |
| 7. Gestión de vulnerabilidades | Detectar y corregir fallas de forma continua. |
| 8. Registros de auditoría | Guardar y revisar la actividad de los sistemas. |
| 9. Correo y navegador | Proteger los dos canales por donde entra la mayoría de los ataques. |
| 10. Defensas contra malware | Detener programas maliciosos en equipos y servidores. |
| 11. Recuperación de datos | Respaldar la información y comprobar que se puede restaurar. |
| 12. Infraestructura de red | Mantener los equipos de red actualizados y bien configurados. |
| 13. Monitoreo de la red | Vigilar el tráfico y responder a lo que no es normal. |
| 14. Capacitación | Enseñar a los colaboradores a reconocer y reportar ataques. |
| 15. Proveedores de servicios | Evaluar y controlar a los terceros que manejan tus datos o sistemas. |
| 16. Seguridad de aplicaciones | Desarrollar y comprar software con la seguridad incluida. |
| 17. Respuesta a incidentes | Tener un plan, responsables y práctica para cuando algo pase. |
| 18. Pruebas de penetración | Simular ataques reales para comprobar que los controles funcionan. |
Los controles 5 y 6 son los que más incidentes evitan con menos inversión, y los desarrollamos en nuestra guía de controles de acceso.
El 18, en cambio, suele ser el último: una prueba de penetración rinde más cuando los básicos ya están cubiertos, y si vas a contratarla, revisa cómo elegir una empresa de pentesting.
Grupos de implementación: por dónde empezar
El piloto de una avioneta y el de un avión comercial siguen listas distintas, aunque las dos empiezan igual. Los controles CIS hacen lo mismo con sus tres grupos de implementación (IG, por sus siglas en inglés):
| Grupo | Para quién | Salvaguardas |
|---|---|---|
| IG1 | Empresas con un equipo de TI pequeño y sin especialistas en seguridad. Es la higiene básica que toda empresa debería tener. | 56 |
| IG2 | Empresas con varias áreas, datos sensibles de clientes u obligaciones de cumplimiento. | 56 del IG1 más 74, 130 en total |
| IG3 | Organizaciones con especialistas en seguridad, datos muy sensibles o regulación estricta. | Las 153 |
La mayoría de las empresas medianas debería empezar por el IG1 aunque su meta sea el IG2. Una distribuidora con 80 colaboradores y dos personas en TI, por ejemplo, suele descubrir en el primer control que tiene más equipos conectados de los que creía: laptops de excolaboradores, una impresora con acceso a internet, un servidor de pruebas olvidado. Ninguno aparecía en la lista, así que ninguno recibía actualizaciones. Ese hallazgo, que no cuesta nada, cambia el orden de todo lo demás.
Controles CIS, NIST e ISO 27001
Los controles CIS no compiten con los otros marcos; se complementan. La diferencia está en el nivel de detalle:
| Marco | Qué es | ¿Se certifica? |
|---|---|---|
| Controles CIS | Lista priorizada de acciones técnicas concretas. | No. Se evalúa el avance por salvaguarda. |
| NIST CSF 2.0 | Marco de resultados organizado en seis funciones: gobernar, identificar, proteger, detectar, responder y recuperar. | No. Se usa como referencia. |
| ISO 27001 | Sistema de gestión de seguridad de la información, con procesos, responsables y mejora continua. | Sí, con un organismo certificador. |
CIS publica equivalencias entre sus salvaguardas y ambos marcos, así que el trabajo no se duplica: implementar el IG1 avanza buena parte de los controles técnicos que pide ISO 27001. Lo que CIS no cubre es la decisión de qué riesgos atender primero en tu negocio, y para eso está la gestión de riesgos de ciberseguridad.
Cómo implementarlos en tu empresa
Como en la cabina, lo que importa es la disciplina de repetir la lista, no hacerla una vez. Este orden funciona para arrancar:
- Mide dónde estás. Revisa cuántas salvaguardas del IG1 ya cumples. Una evaluación de ciberseguridad te da ese punto de partida si nunca lo has medido.
- Empieza por los inventarios. Los controles 1 y 2 son la base: no puedes proteger lo que no sabes que tienes.
- Cubre el resto del IG1 por bloques: cuentas y accesos, configuración segura, respaldos, protección de correo y equipos, y capacitación.
- Asigna un responsable a cada control, con evidencia de que se cumple: un reporte, una captura, un registro.
- Revisa cada trimestre y decide si pasas al IG2 cuando el IG1 esté completo.
El IG1 completo no es un proyecto de un año. Con un equipo pequeño y ayuda externa en lo técnico, muchas empresas lo cubren en pocos meses: buena parte de sus salvaguardas son ajustes de configuración y hábitos del equipo.
Preguntas frecuentes sobre controles CIS
En ciberseguridad, CIS es el Center for Internet Security, la organización sin fines de lucro que publica los controles CIS y los CIS Benchmarks. Por eso "controles CIS" y "CIS Controls" nombran lo mismo: los 18 controles críticos de seguridad.
No los exige ninguna ley en México, pero son una referencia reconocida: auditores, aseguradoras y clientes corporativos los aceptan como evidencia de buenas prácticas, y los cuestionarios de ciberseguros suelen preguntar por prácticas que coinciden con el IG1, como el segundo factor y los respaldos.
La versión 8.1, de 2024, mantiene los 18 controles de la v8 y ajusta la redacción de varias salvaguardas, agrega una función de gobierno para alinearse con NIST CSF 2.0 y actualiza las definiciones de activos. Si ya trabajabas con la v8, el avance se conserva.
Los controles y los Benchmarks son gratuitos. El costo está en el tiempo del equipo y en las herramientas que falten, como protección de equipos o respaldos. Muchas empresas ya tienen parte de esas herramientas y solo necesitan configurarlas bien.
El hardening es el proceso de configurar los sistemas para reducir su superficie de ataque, y corresponde al control 4 (configuración segura).
Sí, sobre todo la parte técnica: inventarios, configuración, protección de equipos y correo, accesos y análisis de vulnerabilidades. Tu empresa conserva las decisiones y la evidencia. Así trabajan nuestros servicios administrados de ciberseguridad.
Zoilijee es Fundadora y KAM de TecnetOne, se especializa en desarrollo de negocios para entornos Cloud, Híbridos y Ciberresiliencia Empresarial, su visión principal es lograr capacitar y proteger a las organizaciones sobre las nuevas amenazas emergentes en TI. Con una sólida formación en Informática, ha impulsado el desarrollo de negocios tecnológicos de alto impacto para empresas de todos los sectores.
