CIS Controls v8

O que são os CIS Controls

Os CIS Controls são 18 controles prioritários organizados por nível de maturidade (IG1, IG2, IG3). Criados pelo Center for Internet Security, são a referência prática mais adotada para segurança cibernética.

Controles mais relevantes para IAM

CIS 5 — Gestão de Contas

Gerenciar o ciclo de vida de contas de usuário e administrador:

• 5.1 — Estabelecer e manter um inventário de contas
• 5.2 — Usar senhas únicas e complexas
• 5.3 — Desabilitar contas inativas (regra dos 90 dias!)
• 5.4 — Restringir privilégios de administrador
• 5.5 — Estabelecer e manter inventário de contas de serviço
• 5.6 — Centralizar gerenciamento de contas

CIS 6 — Gestão de Controle de Acesso

Garantir que apenas pessoas autorizadas acessem dados e sistemas:

• 6.1 — Estabelecer processo de concessão de acesso
• 6.2 — Estabelecer processo de revogação de acesso
• 6.3 — Exigir MFA para aplicações expostas externamente
• 6.4 — Exigir MFA para acesso remoto à rede
• 6.5 — Exigir MFA para acesso administrativo
• 6.6 — Estabelecer e manter inventário de sistemas de autenticação e autorização
• 6.7 — Centralizar controle de acesso
• 6.8 — Definir e manter RBAC

Outros controles relevantes

Implementation Groups (IGs)

CIS Benchmarks — Hardening Microsoft

O CIS publica Benchmarks com configurações de segurança recomendadas:

• CIS Microsoft 365 Benchmark: Configurações de segurança para o tenant M365
• CIS Azure Benchmark: Hardening de recursos Azure
• CIS Windows Benchmark: Configurações seguras de estações e servidores
• CIS Exchange Benchmark: Segurança do Exchange Online

Como documentar a implantação

• Mapear quais controles são aplicáveis (baseado no IG da empresa)
• Para cada safeguard: documentar status (implementado, parcial, planejado)
• Gerar evidências de implementação (screenshots, configs, logs)
• Realizar assessment periódico usando o CIS CSAT (Self Assessment Tool)
• Criar plano de remediação para gaps identificados

Referências e manuais