IG1 – Fundacional: Visibilidad mínima viable en el CIS Control 1

🟢 IG1 – Fundacional: Visibilidad mínima viable en el CIS Control 1

Objetivo: Establecer la visibilidad mínima necesaria para comenzar a defender, gestionar y auditar los activos digitales.

Contexto: Este nivel es ideal para laboratorios, entornos educativos, pequeñas organizaciones o como base para construir madurez superior. No requiere automatización avanzada ni infraestructura compleja.

🔧 Controles operativos

• Descubrimiento técnico: Nmap (-sn, -sV, -O), SNMP walk, análisis de DHCP y ARP
• Inventario dual: Nivel red (IP, MAC, OS, servicios) + nivel físico (ubicación, responsable, función)
• Políticas de alta/baja: Registro manual de incorporación y retiro de activos
• Inventario de software: Herramientas como OCS Inventory, GLPI en modo básico
• Clasificación de datos: Pública, interna, confidencial
• Backups básicos: Copias manuales o programadas, sin segmentación
• Configuración segura mínima: Firewall activado, antivirus, parches aplicados
• Gestión de cuentas: Listado de usuarios, roles básicos, sin integración con AD

📘 Evidencia esperada

• Inventario en Excel o CSV
• Capturas de escaneo Nmap
• Listas de software y usuarios

📸 Evidencia visual: Escaneo de red con Nmap

El siguiente escaneo fue realizado con nmap -sn 192.168.1.0/24 como parte del procedimiento de descubrimiento técnico en el nivel IG1 del CIS Control 1.

El resultado muestra “0 hosts up”, lo cual es válido como evidencia técnica. Este tipo de salida puede deberse a redes aisladas, dispositivos apagados o filtrado de ICMP. Lo importante es que el procedimiento fue ejecutado correctamente, y se documenta como parte del inventario inicial.

🎯 Resultado esperado

Visibilidad mínima viable. Saber qué existe, dónde está y quién lo usa.

🛡️ Contramedida

Sin un inventario inicial, no se puede proteger lo que no se conoce. El descubrimiento técnico con nmap -sn y la consolidación de un inventario básico permiten aplicar controles de acceso, segmentación y monitoreo. Esta visibilidad es el primer escudo contra accesos no autorizados y activos huérfanos.

📚 Referencia normativa

• CIS Control 1: Inventory and Control of Enterprise Assets
• NIST SP 800-53: CM-8 (Information System Component Inventory)
• ISO/IEC 27001: A.8.1.1 (Inventory of assets)

🎓 Certificación asociada

• ISC2 Certified in Cybersecurity (CC) – Dominio 1: Seguridad de la Información
• CompTIA Security+ – Objetivo 2.1: Identificación de activos
• CISM – Gestión de activos y gobernanza

🧪 Validación cruzada

Este control se valida en los módulos:
🔹 Módulo 1 – Inventario y visibilidad
🔹 Módulo 3 – Seguridad de red (segmentación, VLANs)
🔹 Módulo 9 – Arquitectura defensiva (Zero Trust, hardening)

🧬 Analogía técnica

“Un castillo sin mapa es un castillo indefenso. Si no sabes qué defiendes, no puedes protegerlo.”

Esta ficha forma parte del proyecto El Pergamino Digital, orientado a documentar controles, técnicas y arquitecturas defensivas con enfoque pedagógico, técnico y doctrinal.

---

⚖️ Aviso de responsabilidad y uso educativo

El contenido presentado en esta entrada tiene fines exclusivamente educativos, formativos y doctrinales. Su propósito es ilustrar procedimientos técnicos, buenas prácticas y controles de ciberseguridad en el marco de estándares reconocidos como los Controles CIS, NIST SP 800-53 e ISO/IEC 27001.

Las herramientas, comandos y técnicas descritas (incluyendo nmap, snmpwalk, arp y otras) deben utilizarse únicamente en entornos controlados, laboratorios autorizados o infraestructuras propias, con pleno consentimiento y conforme a la legislación vigente.

Ni el autor de esta publicación ni los colaboradores del proyecto El Pergamino Digital se hacen responsables del uso indebido, malintencionado o no autorizado de la información aquí contenida. Cualquier intento de aplicar estas técnicas en redes ajenas, sin autorización expresa, puede constituir una infracción legal y ética grave.

Asimismo, se recuerda que la seguridad informática es una disciplina que debe ejercerse con responsabilidad, integridad y respeto por los principios de legalidad, privacidad y protección de los sistemas de información.

Este material no sustituye asesoramiento profesional ni constituye una guía oficial de cumplimiento normativo. Su valor reside en su utilidad pedagógica y en su contribución al fortalecimiento de una cultura de ciberseguridad consciente, trazable y replicable.

El conocimiento es poder. Su uso correcto es responsabilidad de quien lo porta.