Lineamientos de seguridad que su equipo puede aplicar y su auditor puede verificar.
Le ayudamos a adoptar los CIS Benchmarks y los CIS Controls como baseline de su organización. Elegimos con usted el nivel adecuado para cada sistema, documentamos las excepciones y conectamos el lineamiento con las herramientas que lo miden y lo aplican.
Personal certificado en CalCom Hardening Suite con más de 5 años en hardening · Qualys Policy Audit Certified Specialist
- PASO 1InventariarServidores por rol y sistema.
- PASO 2ElegirBenchmark, versión y nivel.
- PASO 3MedirBrechas contra el baseline.
- PASO 4AplicarPor oleadas, con excepciones documentadas.
- PASO 5MantenerControlar el drift y reportar.
Infografía propia. El texto oficial de los benchmarks está en cisecurity.org.
Sin un baseline escrito, cada servidor queda configurado según quién lo instaló.
- Evaluación de brechas contra CISEntregado
- Baseline de seguridad por rolEntregado
- Mapeo a marcos de controlEntregado
- Hoja de ruta de adopciónEntregado
Cuando una organización no tiene un baseline de seguridad escrito, la configuración de cada servidor depende de quién lo instaló, de la plantilla que tenía a mano y de la urgencia del momento. El resultado son sistemas del mismo rol configurados de forma distinta, contraseñas locales que nadie revisa, servicios innecesarios activos y registros de auditoría desactivados. Nada de eso se ve hasta que llega un incidente o una auditoría.
Los auditores, los reguladores y los marcos como PCI-DSS (el estándar de seguridad de la industria de tarjetas de pago) o ISO/IEC 27001 piden lo mismo: demostrar que existe una configuración segura definida, que se aplica y que se mantiene. Los CIS Benchmarks son la referencia más usada para responder a esa pregunta, porque son públicos, detallados y se mantienen actualizados por una comunidad de especialistas.
El reto está en pasar del documento a la práctica. Un benchmark de un sistema operativo puede tener cientos de recomendaciones, y aplicarlas sin criterio rompe aplicaciones. Nuestra consultoría convierte esas guías en un lineamiento propio, aprobado y aplicable, y lo conecta con las herramientas que lo aplican y lo miden.
Qué son los CIS Benchmarks
El Center for Internet Security (CIS) es una organización sin fines de lucro que publica guías de configuración segura para sistemas operativos, bases de datos, servidores web, equipos de red, servicios en la nube y aplicaciones de oficina. Cada guía, llamada CIS Benchmark, reúne recomendaciones concretas, por ejemplo cómo configurar las contraseñas, qué servicios desactivar o qué eventos registrar, junto con la razón de cada una y la forma de verificarla.
Los benchmarks se elaboran por consenso entre especialistas de la comunidad y se actualizan cuando cambia el producto. Hay guías para Windows Server, Red Hat Enterprise Linux, Ubuntu, SQL Server, IIS, Microsoft 365, Azure, Cisco y Fortinet, entre muchos otros. Su texto oficial se descarga desde cisecurity.org; nosotros le explicamos qué significa cada recomendación en su entorno y cómo aplicarla sin afectar la operación.
Level 1 y Level 2, en pocas palabras
Cada benchmark agrupa sus recomendaciones en perfiles. Elegir el perfil correcto para cada sistema es la primera decisión de un baseline.
| Aspecto | Level 1 | Level 2 |
|---|---|---|
| Propósito | Una base de seguridad razonable para cualquier organización | Defensa en profundidad para entornos donde la seguridad es prioritaria |
| Impacto en la operación | Pensado para afectar poco la funcionalidad y el rendimiento | Puede restringir funciones o romper aplicaciones si no se prueba antes |
| Dónde suele aplicarse | La mayoría de servidores y estaciones de trabajo | Sistemas críticos, expuestos o que procesan datos sensibles |
| Esfuerzo de adopción | Se implementa con relativa rapidez | Requiere análisis de impacto y más excepciones documentadas |
Los CIS Controls v8.1 y sus grupos de implementación
Los benchmarks dicen cómo configurar cada sistema. Los CIS Controls, en su versión 8.1, ordenan el programa de seguridad completo en 18 controles con acciones concretas llamadas Safeguards, agrupadas por grupos de implementación (IG).
Higiene básica
El conjunto mínimo que toda organización debería tener, incluida la que no cuenta con un equipo de seguridad dedicado. Inventario, configuración segura, accesos, copias de respaldo y gestión de vulnerabilidades básica.
Organizaciones con más complejidad
Se construye sobre IG1 y suma controles para empresas con varias áreas, datos sensibles y un equipo de TI que administra muchos sistemas.
Programa completo
Comprende todos los controles y Safeguards. Corresponde a organizaciones reguladas o con un riesgo alto de ataques dirigidos.
Qué hacemos en una consultoría de baselines
Convertimos los benchmarks en una política propia de su organización, aprobada por su comité y aplicable por su equipo, con una línea clara entre lo que se cumple, lo que se exceptúa y por qué.
Alcance de la consultoría
- Inventario de los sistemas y elección del CIS Benchmark y del perfil que corresponde a cada uno
- Evaluación de brechas de una muestra representativa contra el benchmark elegido
- Redacción del baseline por rol de servidor, con valores recomendados y excepciones justificadas
- Mapeo del baseline a los CIS Controls v8.1 y a los marcos que su auditor revisa, como NIST CSF (el marco de ciberseguridad del Instituto Nacional de Estándares y Tecnología de EE. UU.), ISO/IEC 27001 o PCI-DSS
- Procedimiento de gestión de excepciones y de revisión periódica del baseline
- Plan de adopción por oleadas, coordinado con su gestión de cambios
Cómo se adopta un baseline
Seis pasos que convierten un documento de cientos de páginas en una configuración real y verificable.
- Paso 1Elegir el benchmark
Identificamos cada sistema y su versión, y elegimos la guía CIS y el perfil Level 1 o Level 2 que le corresponde.
- Paso 2Medir la brecha
Evaluamos una muestra contra el benchmark para saber de dónde parte y qué tan lejos está.
- Paso 3Adaptar y documentar
Revisamos con sus administradores cada recomendación que choca con una aplicación y documentamos la excepción con su justificación.
- Paso 4Aprobar
El baseline pasa por su comité de cambios y queda como política oficial de la organización.
- Paso 5Aplicar por oleadas
Se aplica de menor a mayor criticidad, de preferencia con una herramienta que analice el impacto antes de cada cambio.
- Paso 6Medir y mantener
La configuración se mide de forma periódica para detectar desviaciones y el baseline se actualiza cuando cambia el benchmark.
Cómo se conecta el baseline con el resto de su seguridad
Un lineamiento solo sirve si alguien lo aplica y alguien lo mide. Estas son las piezas con las que lo llevamos a la práctica.
CalCom Hardening Suite
Aplica el baseline en servidores Windows y Linux con análisis de impacto previo y corrige el drift de configuración.
Qualys Policy Audit
Evalúa la configuración contra el benchmark de forma continua y genera los reportes de cumplimiento para la auditoría.
Seguridad de red
El mismo enfoque llevado a switches y routers con el CIS Benchmark de Cisco IOS y a la configuración de los firewalls.
CIS Microsoft 365 Foundations
Revisión de la configuración de seguridad de su tenant de Microsoft 365 contra el benchmark específico de CIS para esa plataforma.
Lo que usted recibe
El estado de cada sistema evaluado frente a su benchmark, priorizado por riesgo y por esfuerzo.
El documento que su organización aprueba, con valores, perfiles y excepciones justificadas.
La relación entre su baseline, los CIS Controls v8.1 y los marcos que exige su auditor.
Oleadas, responsables y herramientas para aplicar y medir el baseline sin detener la operación.
Guías para empezar
Artículos de nuestro blog para profundizar en cada parte del camino.
Qué son los CIS Benchmarks y cómo elegir entre Level 1 y Level 2
Cómo están organizados los benchmarks y qué criterios usar para elegir el perfil de cada sistema.
Hardening de Windows Server 2022 con CIS
Las recomendaciones que con más frecuencia aparecen como brecha en una auditoría y cómo abordarlas.
Por qué el hardening manual rompe aplicaciones
Qué sale mal al aplicar un benchmark a mano y cómo lo evita el análisis de impacto.
Drift de configuración
Qué es, por qué aparece después de cada cambio y cómo mantener los servidores alineados al baseline.
De VMDR a remediación
Cómo priorizar vulnerabilidades por riesgo y no por cantidad.
Checklist CIS Microsoft 365 Foundations
Configuraciones de su tenant que conviene revisar con el benchmark de CIS para Microsoft 365.
Personal certificado en CalCom Hardening Suite, con más de 5 años en hardening
Qualys Policy Audit Certified Specialist
Microsoft Certified: Cybersecurity Architect Expert
Preguntas frecuentes
¿Los CIS Benchmarks son obligatorios en Perú?
No son una norma legal. Sin embargo, marcos como PCI-DSS e ISO/IEC 27001 piden una configuración segura basada en estándares reconocidos, y los auditores suelen aceptar los CIS Benchmarks como esa referencia. Por eso son la base más práctica.
¿Debo aplicar Level 1 o Level 2?
Level 1 es la base recomendable para casi todos los sistemas. Level 2 se reserva para los sistemas críticos o expuestos, y siempre después de analizar su impacto. Lo decidimos con usted sistema por sistema.
¿Qué diferencia hay entre los CIS Benchmarks y los CIS Controls?
Los benchmarks explican cómo configurar de forma segura un producto específico. Los CIS Controls describen el programa de seguridad completo de la organización; uno de sus controles es justamente mantener una configuración segura, y ahí se apoya en los benchmarks.
¿Ustedes certifican que cumplimos CIS?
No. CIS no certifica organizaciones por aplicar sus benchmarks y nosotros tampoco emitimos certificaciones. Le ayudamos a cumplir los controles técnicos y a preparar las evidencias que su auditor revisa.
¿Necesito comprar una herramienta para adoptar el baseline?
No para empezar. La consultoría produce el baseline y la evaluación de brechas. Para aplicarlo y medirlo en muchos servidores, herramientas como CalCom y Qualys ahorran tiempo y reducen el riesgo de errores; le recomendamos lo que tenga sentido para su tamaño.
Defina su baseline de seguridad antes de la próxima auditoría.
Evaluamos una muestra de sus sistemas contra el CIS Benchmark que les corresponde y le entregamos el informe de brechas priorizado.