Control 4: Configuración segura de activos empresariales y software

(CIS Control 4 – Secure Configuration of Enterprise Assets and Software)

Propósito del control

Objetivo: Establecer y mantener configuraciones seguras para hardware y software, reduciendo la superficie de ataque.
Resultado esperado: Todos los activos tienen configuraciones endurecidas, auditables y alineadas con estándares.

⚠️ Motivación:
Las configuraciones por defecto suelen ser inseguras. Muchos ataques aprovechan servicios innecesarios, puertos abiertos o permisos laxos.

---

Alcance del control

Activos cubiertos:

• Sistemas operativos
• Aplicaciones
• Equipos de usuario
• Servidores
• Dispositivos de red
• Máquinas virtuales y contenedores

Ámbitos de configuración:

• Servicios habilitados/deshabilitados
• Políticas de contraseñas
• Configuración de puertos y firewall
• Permisos de archivos y usuarios
• Registro de eventos y auditoría

---

Desarrollo por niveles de madurez

🟢 IG1 – Fundacional

• Aplicación de plantillas de configuración segura (CIS Benchmarks, STIGs)
• Desactivación de servicios innecesarios
• Configuración básica de firewall local
• Registro de cambios manual en hojas de cálculo
• Revisión inicial de configuraciones

Evidencias sugeridas:

• Captura de configuración de servicios
• Checklist de endurecimiento aplicado
• Registro de cambios en Excel

🟡 IG2 – Gestión activa

• Herramientas de gestión de configuración (GPO, Ansible, Puppet)
• Auditorías periódicas de cumplimiento
• Versionado y control de cambios
• Configuración centralizada por rol o grupo
• Alertas ante desviaciones

Herramientas recomendadas:

• Microsoft GPO, Ansible, Puppet, Chef
• SCCM, Intune, SaltStack
• Lynis, OpenSCAP, Nessus Compliance

Evidencias sugeridas:

• Reporte de cumplimiento de configuración
• Captura de playbook o política aplicada
• Registro de cambios con fecha y responsable

🔴 IG3 – Madurez avanzada

• Configuración como código (IaC)
• Integración con CI/CD para validación previa
• Reversión automática ante cambios no autorizados
• Integración con SIEM para correlación de cambios
• Segmentación dinámica según configuración

Herramientas avanzadas:

• Terraform, Ansible, Chef InSpec
• GitOps (ArgoCD, Flux)
• Sentinel, Splunk, Elastic
• AWS Config, Azure Policy

Evidencias sugeridas:

• Repositorio Git con historial de configuración
• Alertas SIEM por cambios no autorizados
• Reporte de rollback automático

---

Riesgos que mitiga

• Configuraciones débiles o por defecto
• Cambios no autorizados
• Exposición innecesaria de servicios
• Falta de trazabilidad en cambios
• Incumplimiento de estándares

---

📘 Referencias normativas

• CIS Controls v8 – Control 4
• NIST SP 800-53 – CM-2, CM-6, CM-7
• NIST CSF – PR.IP-1, PR.IP-3
• ISO/IEC 27001 – A.5.10, A.12.1, A.14.2

📚 Bibliografía y recursos ampliados

• CIS Benchmarks
• STIG Viewer
• Ansible Docs
• Microsoft GPO
• Terraform

---

Ficha

Nombre del control: Gestión Segura de la Configuración (CIS Control 4)
Resumen: La configuración es la frontera invisible entre lo seguro y lo vulnerable.

Riesgos que mitiga:

• Configuraciones débiles o por defecto
• Cambios no autorizados
• Exposición innecesaria de servicios
• Falta de trazabilidad

Niveles de madurez:

• IG1: Plantillas básicas y checklist manual
• IG2: Gestión centralizada y auditoría
• IG3: IaC, CI/CD, reversión automática

Herramientas típicas: GPO, Ansible, Terraform, GitOps, SIEM

Evidencias recomendadas: Reportes de cumplimiento, historial Git, alertas SIEM