Assessment CIS Controls v8.1
Avalie a sua operação contra os 18 controles do CIS v8.1 e descubra se você atinge o IG1, o IG2 ou o IG3 — e qual gap está travando a evolução. Resultado na hora, sem custo.
O que é
Os CIS Controls são um conjunto de 18 controles e 153 salvaguardas publicados pelo Center for Internet Security (CIS), uma organização sem fins lucrativos. Eles são priorizados a partir de ataques reais: cada salvaguarda existe porque barra uma técnica que os atacantes de fato usam.
O diferencial do CIS é ser prescritivo. Em vez de dizer "gerencie riscos", ele diz o que fazer, em que ordem. Por isso é o framework preferido para transformar segurança em plano de ação — e é aceito como referência por seguradoras, auditores e grandes clientes.
Para que serve
Priorizar o investimento
O CIS diz o que vem primeiro. Você para de comprar ferramenta avulsa e passa a seguir uma ordem que reduz risco de verdade.
Responder a seguradoras e clientes
Questionários de seguro cibernético e de due diligence cobram, na prática, salvaguardas do IG1 e do IG2.
Medir evolução
O Implementation Group vira um número que a diretoria entende e que dá para acompanhar ano a ano.
Base para outros frameworks
Os CIS Controls têm mapeamento oficial para a ISO 27001 e o NIST CSF. Quem cumpre o CIS avança nos outros ao mesmo tempo.
Para quem é
O que é avaliado
As perguntas cobrem os 18 CIS Controls, agrupados pelo tipo de defesa. Cada pergunta mede um conjunto de salvaguardas oficiais e é marcada com o Implementation Group a que pertence.
01
Inventário e Configuração Segura
CIS 1, 2 e 4. Não se protege o que não se conhece — e o que se conhece precisa sair de fábrica endurecido.
5 perguntas
02
Proteção e Recuperação de Dados
CIS 3 e 11. Saber onde está a informação sensível e conseguir trazê-la de volta depois de um ataque.
6 perguntas
03
Contas e Controle de Acesso
CIS 5 e 6. Credenciais são o caminho mais usado para dentro de uma empresa.
5 perguntas
04
Vulnerabilidades e Defesa contra Malware
CIS 7 e 10. Fechar as falhas conhecidas e barrar o código malicioso que tenta explorá-las.
5 perguntas
05
Logs, Monitoramento e Defesa de Rede
CIS 8 e 13. Registrar o que acontece e alguém enxergar a tempo.
4 perguntas
06
Rede, E-mail e Navegação
CIS 9 e 12. As portas por onde a maioria dos ataques chega.
4 perguntas
07
Pessoas, Fornecedores e Aplicações
CIS 14, 15 e 16. O fator humano, quem tem acesso ao seu ambiente de fora e o software que a empresa desenvolve.
3 perguntas
08
Resposta a Incidentes e Testes de Intrusão
CIS 17 e 18. Estar pronto para o incidente e comprovar que a defesa resiste.
4 perguntas
O resultado
Os IGs são cumulativos: o IG2 pressupõe o IG1 de pé, e o IG3 pressupõe os dois. Uma empresa com SOC e pentest, mas sem inventário de ativos e sem MFA, não está no IG2 — está abaixo do IG1. O resultado mostra onde você está, a barreira para o próximo IG e tudo o que você já tem acima dele.
Abaixo do IG1
Higiene essencial incompleta
A sua empresa ainda não cumpre a higiene cibernética essencial.
IG1
Higiene cibernética essencial
A higiene cibernética essencial está de pé.
IG2
Defesa gerenciada
A segurança é gerenciada, não só instalada.
IG3
Defesa contra ataques sofisticados
A empresa está preparada para ataques direcionados.
A escala de 0 a 5
Cada controle recebe uma nota de maturidade, e cada nota tem peso pela criticidade do controle (crítico, alto ou médio). É a mesma lógica usada em auditorias: não basta existir, precisa ser documentado, medido e melhorado.
0 · Inexistente
Não existe hoje
1 · Inicial
Feito às vezes, depende de alguém lembrar
2 · Repetível
Feito com frequência, mas sem padrão escrito
3 · Definido
Documentado, aprovado e aplicado
4 · Gerenciado
Medido, revisado e com evidência
5 · Otimizado
Automatizado e em melhoria contínua
Como funciona
36 perguntas com a referência oficial do CIS Controls v8.1, cada uma com nota de 0 a 5. Existe "não sei informar" sem prejuízo.
Implementation Group atingido, maturidade por bloco e a barreira que trava o próximo nível — na hora, na tela.
Em até 15 dias você recebe o plano de adequação com os gaps priorizados em 30, 90 e 180 dias, esforço e investimento.
Nenhum dado pessoal é pedido antes das perguntas.
Dúvidas
São perfis de implementação. O IG1 (56 salvaguardas) é a higiene essencial, recomendada para qualquer empresa. O IG2 (+74) é para empresas com dados sensíveis e equipes de TI. O IG3 (+23) é para quem é alvo de ataques direcionados ou lida com dados altamente regulados.
Não necessariamente. O CIS recomenda escolher o IG adequado ao seu risco. Para a maioria das PMEs, o objetivo é consolidar o IG1 e avançar no IG2.
Ele cobre os 18 controles, com perguntas que agrupam as salvaguardas mais relevantes de cada um. É uma leitura de maturidade, não uma auditoria. O levantamento item a item das 153 salvaguardas é feito pelo especialista no diagnóstico.
Sim. A avaliação e o plano apresentado pelo especialista não têm custo e não geram compromisso.
Cada nível tem uma descrição curta ao lado. Na dúvida entre dois, escolha o menor: numa auditoria, o nível só conta quando existe evidência. Controles fora do seu escopo podem ser marcados como "não se aplica" quando a pergunta permitir — eles saem do cálculo.
Usamos exclusivamente para elaborar o seu diagnóstico e para o contato que você autoriza no formulário. Não vendemos nem cedemos seus dados: eles passam apenas pelos fornecedores que operam o envio de e-mail e o nosso CRM. O tratamento segue a nossa Política de Privacidade e a LGPD.
Pode. O progresso fica salvo no seu navegador — ao voltar pelo mesmo dispositivo, você retoma de onde parou.
Sem custo, sem compromisso e sem pedir dado nenhum antes de você ver valor.
Outros assessments
CAME · Continuidade e Segurança para seu negócio · SOC 24/7/365 · SLA médio de 30 minutos
