Niveles de madurez en los CIS Controls – IG1, IG2, IG3 - v3

Niveles de madurez en los CIS Controls – IG1, IG2, IG3

La madurez de un control no se mide por el tiempo que lleva escrito en un documento, sino por la evidencia operativa que lo respalda. Los CIS Controls v8 definen tres niveles progresivos llamados Grupos de Implementación (Implementation Groups): IG1, IG2 e IG3.

Cada nivel representa una etapa evolutiva en la defensa: desde la visibilidad básica hasta la resiliencia automatizada. No son excluyentes: IG2 amplía a IG1, e IG3 refuerza a ambos. Esta progresión convierte los controles en doctrina viva, trazable y contextual.

---

🟢 IG1 — Fundacional (Visibilidad básica)

El nivel IG1 representa el umbral operativo de la seguridad organizacional. Aquí se establece la visibilidad mínima necesaria para comenzar a defender, gestionar y auditar los activos digitales. Las acciones descritas no requieren automatización avanzada ni infraestructura compleja: son controles esenciales, ejecutables con herramientas simples y procedimientos claros.

Ideal para: laboratorios, entornos educativos, pequeñas organizaciones o como base para construir madurez superior.

🔧 Controles clave

• Inventario y Control de Activos:
  • Descubrimiento técnico: Nmap, SNMP, análisis de logs DHCP
  • Inventario dual: red (IP/MAC) + físico (ubicación, responsable)
  • Políticas de alta/baja básicas
• Inventario y Control de Software:
  • Registro de aplicaciones instaladas
  • Listas de software autorizado/no autorizado
  • Herramientas simples: OCS Inventory, GLPI
• Protección de Datos:
  • Clasificación inicial: pública, interna, confidencial
  • Copias de seguridad básicas (manuales o programadas)
  • Controles de acceso simples (ACLs locales, contraseñas)
• Configuración Segura de Activos:
  • Baseline mínimo: firewall activado, antivirus, parches aplicados
  • Checklist de configuración inicial
  • Documentación básica en PDF o Excel
• Gestión de Cuentas:
  • Inventario de usuarios
  • Políticas de alta/baja manuales
  • Roles básicos: usuario, administrador

---

🟡 IG2 — Gestión activa (Procesos definidos)

IG2 representa el paso desde la visibilidad hacia la gestión consciente y continua. Aquí los controles dejan de ser tareas aisladas y se convierten en procesos definidos, integrados en herramientas, flujos y alertas. La organización ya no reacciona: detecta, previene y documenta. Cada acción genera trazabilidad, cada evento puede ser auditado.

Ideal para: entornos en crecimiento, laboratorios intermedios y simuladores que buscan validar la eficacia operativa.

🔧 Controles clave

• Gestión de Acceso:
  • Autenticación multifactor (MFA)
  • Políticas de contraseñas modernas (NIST SP 800‑63B)
  • NAC básico (802.1X, MAC filtering)
• Gestión de Vulnerabilidades:
  • Escaneos periódicos (Nessus, OpenVAS)
  • Priorización por criticidad (CVSS, contexto)
  • Integración con ticketing (GLPI, Jira)
• Auditoría y Logging:
  • Centralización de logs (Syslog, WEF)
  • SIEM básico (Wazuh, Graylog)
  • Alertas iniciales por eventos críticos
• Email y Navegación Segura:
  • Filtros antiphishing (SPF, DKIM, DMARC)
  • Proxy seguro con filtrado de contenido
  • Concienciación básica (campañas, simulacros)
• Defensas contra Malware:
  • Antivirus corporativo gestionado
  • EDR básico (Microsoft Defender, CrowdStrike Free)
  • Políticas de actualización forzadas
• Recuperación de Datos:
  • Backups automatizados
  • Pruebas de restauración documentadas
  • Segmentación de copias (offline, cloud, immutable)
• Gestión de Red:
  • Segmentación por VLAN
  • Firewalls internos (pfSense, FortiGate)
  • IDS/IPS básicos (Snort, Suricata)

---

🔴 IG3 — Madurez avanzada (Automatización y resiliencia)

IG3 es el nivel donde la defensa se vuelve resiliente, automatizada y trazable. Aquí los controles no solo existen: se prueban, se simulan y se adaptan. La infraestructura se convierte en un organismo consciente, capaz de detectar anomalías, responder a incidentes y demostrar cumplimiento.

Ideal para: entornos críticos, simuladores ofensivos, auditorías avanzadas y laboratorios de validación cruzada.

🔧 Controles clave

• Gestión de Seguridad de Proveedores:
  • Evaluación de terceros (cuestionarios, evidencias)
  • Contratos con cláusulas de seguridad
  • Auditorías externas periódicas
• Seguridad en Servicios Cloud:
  • Inventario de recursos cloud (AWS, Azure, GCP)
  • Configuración segura (AWS Config, Azure Graph)
  • Integración con SIEM y CSPM
• Seguridad en Móviles y BYOD:
  • Políticas de acceso condicional (Intune, Workspace ONE)
  • MDM/MAM para control de dispositivos
  • Registro temporal y controlado de BYOD
• Seguridad en Aplicaciones:
  • Ciclo de vida seguro (DevSecOps)
  • Pruebas de código: SAST (SonarQube), DAST (OWASP ZAP)
  • Integración en pipelines CI/CD (GitLab, Jenkins)
• Gestión de Incidentes:
  • Playbooks de respuesta automatizados (SOAR)
  • Simulación de ataques (Red Team, Purple Team)
  • Métricas de tiempo de detección y contención (MTTD, MTTR)
• Pruebas de Penetración y Red Team:
  • Ejercicios periódicos internos y externos