Qual a diferença entre CIS Controls e CIS Benchmarks?

Os CIS Controls respondem o que fazer, no nível da empresa: por exemplo, exigir autenticação de dois fatores para todo acesso administrativo. Os CIS Benchmarks respondem como configurar, sistema por sistema: qual opção marcar naquele Windows, naquele Linux, naquele serviço de nuvem. Os Benchmarks ainda trazem dois níveis, sendo o primeiro o mais conservador e o segundo o mais restritivo, para ambientes que exigem mais.

Posso me certificar nos CIS Controls?

Não existe certificado de CIS Controls como existe na ISO 27001. Você usa a lista para se organizar e medir sua própria evolução, e pode declarar em que grupo de implementação está. Quando o cliente pede uma prova externa, o caminho continua sendo ISO 27001 ou um relatório de auditoria como o SOC 2.

Fazer o CIS antes encurta o caminho da ISO 27001?

Encurta bastante a parte técnica. Boa parte dos controles do Anexo A que falam de acesso, inventário, backup, registro de eventos e proteção de rede já sai resolvida. Sobra a metade de gestão: escopo, análise de risco documentada, papéis, treinamento, segurança física e a evidência de que a direção acompanha. É essa metade que costuma definir o prazo da certificação.

Os CIS Controls servem para empresa pequena?

Servem, e foram desenhados pensando nisso. O Grupo de Implementação 1 reúne as salvaguardas consideradas higiene mínima, escolhidas para caber numa empresa com equipe enxuta. É o ponto de partida mais honesto para quem nunca estruturou segurança e precisa de resultado antes de pensar em certificado.

Cibersegurança e compliance

CIS Controls vs ISO 27001

Não é escolha entre um e outro: eles respondem perguntas diferentes. Os CIS Controls são uma lista prática e priorizada do que sua equipe precisa fazer para se defender, começando pelo que mais importa. A ISO 27001 é a norma internacional que organiza a gestão da segurança e rende um certificado que o cliente aceita como prova. Um mostra o caminho técnico; o outro dá o comprovante.

Ver cibersegurança Ir para a comparação

Em resumo

Os CIS Controls são práticos e priorizados: 18 controles e mais de 150 salvaguardas, em ordem de importância. Ninguém se certifica neles.
A ISO 27001 é a norma certificável: 93 controles no Anexo A, auditoria externa e um certificado que vale três anos.
Os CIS Controls cobrem bem a parte técnica da ISO 27001. A governança, as pessoas e a segurança física ficam de fora.
Não confunda CIS Controls com CIS Benchmarks: os Controls dizem o que fazer, os Benchmarks dizem como configurar cada sistema.

Lado a lado

O que separa uma lista de tarefas de um sistema de gestão

O que comparar	CIS Controls	ISO/IEC 27001
O que é	Uma lista priorizada de medidas técnicas de defesa.	Uma norma de gestão da segurança da informação, com certificado.
Quem publica	Center for Internet Security, uma entidade sem fins lucrativos dos Estados Unidos.	ISO e IEC, os organismos internacionais de normalização.
Tamanho	18 controles, divididos em mais de 150 salvaguardas.	93 controles no Anexo A, em quatro temas, mais as cláusulas de gestão.
Rende certificado	Não. Você usa como guia e mede sua própria evolução.	Sim. Um organismo acreditado audita e emite o certificado.
Onde está o esforço	Na execução: interpretar cada salvaguarda e aplicá-la ao seu ambiente.	Na execução e também na auditoria externa, que é o que emite o certificado.
Por onde se começa	Pelo Grupo de Implementação 1, a higiene mínima que toda empresa precisa.	Pelo escopo, pela análise de risco e pela declaração de aplicabilidade.
Foco	O que a equipe técnica configura e opera.	Como a empresa decide, documenta, mede e melhora.
O que o cliente aceita	Ajuda a responder questionário, mas não substitui prova externa.	O certificado costuma encerrar a discussão na diligência do cliente.

Os CIS Controls publicam mapeamentos oficiais para a ISO 27001 e para outros marcos, então o trabalho feito em um lado é aproveitado no outro.

O que fazer, em ordem

CIS Controls

Nasceram de uma pergunta simples: se eu só puder fazer dez coisas, quais dez me protegem mais? A resposta virou uma lista priorizada, dividida em três grupos de implementação. O Grupo 1 é a higiene básica, pensada para a empresa pequena, com pouca gente e pouco orçamento. Os grupos seguintes acrescentam profundidade para quem tem mais risco e mais estrutura. A lista é direta, porém cada salvaguarda precisa ser traduzida para o seu ambiente, e é aí que mora o trabalho de verdade.

18 controles em ordem de prioridade real
Três grupos de implementação, do básico ao avançado
Mapeamento oficial para a ISO 27001 e outros marcos
Escrito para a equipe técnica executar

Como provar que funciona

ISO/IEC 27001

É a norma internacional de gestão da segurança da informação. Em vez de listar configurações, ela cobra um ciclo: você define o escopo, avalia os riscos, escolhe os controles, mede o resultado e corrige o que não funcionou. Um auditor externo confere tudo e emite o certificado, que vale três anos com auditorias de acompanhamento no meio do caminho. É esse papel que o cliente grande pede na hora de fechar contrato.

93 controles no Anexo A, mais as cláusulas de gestão
Auditoria externa por organismo acreditado
Certificado válido por três anos, com acompanhamento anual
Reconhecida no mundo inteiro pelos compradores

Como se completam

Um acelera a implantação; o outro fecha a venda

Na prática, quem começa pelos CIS Controls chega mais rápido na ISO 27001. A lista prioriza justamente as medidas técnicas que a norma cobra, e você já entra na auditoria com firewall, inventário, backup, controle de acesso e registro de eventos organizados. O que os CIS Controls não resolvem é a outra metade da ISO 27001: a análise de risco documentada, os papéis definidos, o treinamento das pessoas, a segurança física e a evidência de que a direção acompanha. Essa metade é a que faz o certificado sair.

Comece pelos CIS Controls para reduzir risco desde a primeira semana
Use a ISO 27001 para transformar esse trabalho em certificado
O mapeamento oficial evita refazer o que já foi feito

Qual é o seu caso

Por onde começar

Você precisa reduzir risco agora e tem orçamento curto

Comece pelos CIS Controls

O Grupo de Implementação 1 entrega proteção real em poucas semanas, antes de você entrar num ciclo de certificação.

Um cliente ou edital está pedindo certificado

Vá de ISO 27001

É o documento que a diligência aceita. Os CIS Controls ajudam no caminho, mas não substituem o certificado.

Você quer proteção rápida e certificado depois

Os dois, nessa ordem

Implante os CIS Controls primeiro, aproveite o mapeamento e siga para a certificação com boa parte do trabalho pronta.

Números que importam

controles do CIS, com mais de 150 salvaguardas

controles no Anexo A da ISO 27001

3 anos

validade do certificado ISO 27001

Como a DM11 resolve

Do CIS na prática ao certificado ISO 27001

A gente começa pelo que reduz risco mais rápido, seguindo a priorização do CIS, e vai transformando esse trabalho em evidência de ISO 27001 no mesmo movimento. Você não faz duas vezes: o que a equipe técnica implanta já entra no dossiê da auditoria.

Diagnóstico de maturidade CIS: você descobre em que grupo de implementação realmente está, não onde acha que está
Você vê risco caindo nas primeiras semanas, antes de pensar em auditoria
Nada de trabalho dobrado: o mapeamento CIS para ISO 27001 já vem pronto
A gente cuida da parte que o CIS não cobre: risco documentado, pessoas e físico
Acompanhamos a auditoria de ponta a ponta, até o certificado na mão

Falar sobre ISO 27001

Dúvidas frequentes

O que perguntam antes de decidir

Respostas conferidas contra o material do Center for Internet Security e a ISO/IEC 27001:2022.

Os CIS Controls são uma lista priorizada de medidas técnicas de defesa: dizem o que sua equipe deve fazer e em que ordem. A ISO 27001 é uma norma internacional de gestão que cobra ciclo completo, análise de risco e evidência, e rende um certificado emitido por auditor externo. Um orienta a execução; o outro prova o resultado para o mercado.

Mais dúvidas? Fale com a DM11

Reduza risco agora e saia com o certificado depois

Uma conversa curta mostra o que priorizar no seu ambiente e quanto do caminho da ISO 27001 você já andou.

Falar com um especialista Ver governança e compliance

CIS Controls vs ISO 27001

O que comparar

CIS Controls

ISO/IEC 27001

O que é

Uma lista priorizada de medidas técnicas de defesa.

Uma norma de gestão da segurança da informação, com certificado.

Quem publica

Center for Internet Security, uma entidade sem fins lucrativos dos Estados Unidos.

ISO e IEC, os organismos internacionais de normalização.

Tamanho

18 controles, divididos em mais de 150 salvaguardas.

93 controles no Anexo A, em quatro temas, mais as cláusulas de gestão.

Rende certificado

Não. Você usa como guia e mede sua própria evolução.

Sim. Um organismo acreditado audita e emite o certificado.

Onde está o esforço

Na execução: interpretar cada salvaguarda e aplicá-la ao seu ambiente.

Na execução e também na auditoria externa, que é o que emite o certificado.

Por onde se começa

Pelo Grupo de Implementação 1, a higiene mínima que toda empresa precisa.

Pelo escopo, pela análise de risco e pela declaração de aplicabilidade.

Foco

O que a equipe técnica configura e opera.

Como a empresa decide, documenta, mede e melhora.

O que o cliente aceita

Ajuda a responder questionário, mas não substitui prova externa.

O certificado costuma encerrar a discussão na diligência do cliente.

CIS Controls

18 controles em ordem de prioridade real

Três grupos de implementação, do básico ao avançado

Mapeamento oficial para a ISO 27001 e outros marcos

Escrito para a equipe técnica executar

ISO/IEC 27001

93 controles no Anexo A, mais as cláusulas de gestão

Auditoria externa por organismo acreditado

Certificado válido por três anos, com acompanhamento anual

Reconhecida no mundo inteiro pelos compradores

Um acelera a implantação; o outro fecha a venda

Comece pelos CIS Controls para reduzir risco desde a primeira semana

Use a ISO 27001 para transformar esse trabalho em certificado

O mapeamento oficial evita refazer o que já foi feito

Do CIS na prática ao certificado ISO 27001

Diagnóstico de maturidade CIS: você descobre em que grupo de implementação realmente está, não onde acha que está

Você vê risco caindo nas primeiras semanas, antes de pensar em auditoria

Nada de trabalho dobrado: o mapeamento CIS para ISO 27001 já vem pronto

A gente cuida da parte que o CIS não cobre: risco documentado, pessoas e físico

Acompanhamos a auditoria de ponta a ponta, até o certificado na mão