As 56 salvaguardas do CIS IG1

Sem saber o que existe, não há como proteger nem provar cobertura.

Como evidenciar: Inventário com endereço de rede, dono, departamento e se o ativo é autorizado.

Ativo desconhecido na rede é porta de entrada que ninguém está vigiando.

Como evidenciar: Registro semanal de ativos não autorizados encontrados e o que foi feito.

Software não inventariado não recebe patch e não entra em análise de risco.

Como evidenciar: Lista por ativo com versão, finalidade e data da última revisão.

Versão sem suporte não recebe correção de segurança, por definição.

Como evidenciar: Relação de software fora de suporte com plano de substituição e prazo.

Instalação livre é como a maior parte do malware entra em ambiente corporativo.

Como evidenciar: Registro de detecção e remoção, com periodicidade definida.

Sem processo, classificação e retenção viram decisão individual de cada time.

Como evidenciar: Documento com ciclo de vida do dado, responsáveis e regras por categoria.

Não dá para proteger nem responder a incidente sem saber onde o dado está.

Como evidenciar: Inventário com sistema, categoria de dado, dono e sensibilidade.

Acesso amplo por padrão é o achado mais comum em qualquer auditoria técnica.

Como evidenciar: Amostra de permissões efetivas por repositório de dado sensível.

Guardar para sempre aumenta o dano de qualquer vazamento futuro.

Como evidenciar: Prazo por categoria e evidência de expurgo executado.

Descarte informal deixa dado recuperável em disco, backup e nuvem.

Como evidenciar: Procedimento de descarte e registro das execuções.

Notebook perdido sem criptografia é incidente de dados pessoais imediato.

Como evidenciar: Relatório de cobertura de criptografia por dispositivo.

Sem linha de base, cada máquina nasce diferente e nenhuma é auditável.

Como evidenciar: Documento de configuração segura por tipo de ativo, com revisão anual.

Equipamento de rede com configuração padrão é alvo preferencial.

Como evidenciar: Linha de base de configuração aplicada e conferida nos equipamentos.

Estação destravada em escritório ou coworking é acesso físico sem esforço.

Como evidenciar: Política aplicada por diretório, com evidência de vigência.

Servidor exposto além do necessário amplia o raio de qualquer intrusão.

Como evidenciar: Regras de firewall por servidor, revisadas periodicamente.

Máquina de usuário costuma circular em redes não confiáveis.

Como evidenciar: Configuração distribuída por política e relatório de conformidade.

Administração por canal inseguro entrega credencial privilegiada.

Como evidenciar: Uso de canais administrativos protegidos, com registro.

Conta padrão de fábrica com senha conhecida é a falha mais barata de corrigir.

Como evidenciar: Evidência de desativação ou alteração das contas padrão nos ativos.

Conta sem dono conhecido é a que sobrevive a desligamentos.

Como evidenciar: Inventário com nome, dono, tipo e data da última revisão.

Reuso de senha transforma um vazamento externo em incidente interno.

Como evidenciar: Política aplicada tecnicamente e uso de gerenciador de senhas.

Conta dormente é a preferida de quem já está dentro.

Como evidenciar: Relatório de contas sem uso pelo período definido e ação tomada.

Administrar com a conta do dia a dia expõe privilégio a phishing comum.

Como evidenciar: Separação entre conta comum e conta administrativa, verificável no diretório.

Concessão informal não deixa trilha e não é revisável.

Como evidenciar: Solicitação, aprovação e execução registradas para cada concessão.

É o controle que a auditoria testa primeiro, cruzando com o RH.

Como evidenciar: Prazo definido e evidência de revogação nos desligamentos do período.

Aplicação exposta sem segundo fator cai em ataque automatizado.

Como evidenciar: Cobertura de MFA por aplicação exposta, com exceções aprovadas.

VPN sem segundo fator é credencial única entre o atacante e a rede interna.

Como evidenciar: Configuração e relatório de cobertura do acesso remoto.

Comprometer um administrador sem MFA compromete o ambiente inteiro.

Como evidenciar: Cobertura de MFA nas contas privilegiadas, sem exceção não aprovada.

Scanner sem processo gera relatório que ninguém trata.

Como evidenciar: Documento com frequência, escopo e responsáveis.

Sem prazo por severidade, tudo vira baixa prioridade.

Como evidenciar: Prazos definidos e evidência de correções dentro do prazo.

Correção manual não escala e é a primeira coisa que atrasa.

Como evidenciar: Cobertura e taxa de sucesso do patch por mês.

Aplicação desatualizada é vetor tão comum quanto sistema operacional.

Como evidenciar: Relatório de atualização por aplicação relevante.

Sem processo, o log existe até o dia em que é preciso, e aí não existe.

Como evidenciar: Documento com o que se registra, por quanto tempo e quem revisa.

Log que não é coletado centralmente some com o ativo comprometido.

Como evidenciar: Evidência de coleta centralizada dos ativos no escopo.

Retenção curta demais inviabiliza investigar o que já aconteceu.

Como evidenciar: Período de retenção definido e capacidade dimensionada.

Cliente sem suporte não recebe correção e é o ponto de contato com o mundo.

Como evidenciar: Inventário de versões em uso e plano de atualização.

Bloqueio no DNS corta boa parte do phishing e do malware antes do clique.

Como evidenciar: Serviço configurado e evidência de bloqueios no período.

Cobertura parcial é o mesmo que nenhuma no ativo que ficou de fora.

Como evidenciar: Relatório de cobertura por ativo.

Antimalware desatualizado protege contra a ameaça do mês passado.

Como evidenciar: Evidência de atualização automática e verificação de vigência.

Mídia removível continua sendo vetor barato de entrada.

Como evidenciar: Política aplicada e verificável nos dispositivos.

Sem processo, a recuperação depende de quem estiver de plantão.

Como evidenciar: Documento com escopo, frequência e tempos alvo.

Backup manual é backup que não aconteceu na semana movimentada.

Como evidenciar: Registro de execuções bem-sucedidas no período.

Backup acessível pela mesma credencial é o alvo do ransomware moderno.

Como evidenciar: Controle de acesso e criptografia do repositório de backup.

Cópia isolada é o que separa incidente de encerramento de operação.

Como evidenciar: Evidência de instância isolada e teste de restauração a partir dela.

Equipamento de rede sem atualização sustenta o resto do ambiente.

Como evidenciar: Inventário com versão de firmware e histórico de atualização.

Treinamento avulso não muda comportamento e não satisfaz auditoria.

Como evidenciar: Programa com público, frequência, conteúdo e registro de participação.

Phishing continua sendo o vetor inicial mais comum.

Como evidenciar: Registro de treinamento e, idealmente, resultado de simulação.

Senha reutilizada e MFA ignorado anulam os controles técnicos.

Como evidenciar: Conteúdo aplicado e participação registrada.

A maior parte do vazamento acidental vem de manuseio, não de invasão.

Como evidenciar: Conteúdo específico sobre classificação e compartilhamento.

Compartilhar link aberto por engano é rotina em ferramenta de nuvem.

Como evidenciar: Conteúdo e registro de participação.

Incidente reportado tarde custa muito mais que incidente reportado cedo.

Como evidenciar: Canal divulgado e reconhecido pelo time, com registro do treino.

O usuário costuma ser quem percebe primeiro que a máquina parou de atualizar.

Como evidenciar: Conteúdo aplicado e canal de reporte conhecido.

Trabalho remoto tornou rede pública parte do ambiente de trabalho.

Como evidenciar: Conteúdo aplicado, com orientação prática de uso de VPN.

Boa parte dos incidentes relevantes entra por um fornecedor.

Como evidenciar: Lista com serviço prestado, dado acessado e criticidade.

No dia do incidente, procurar quem decide já custou a primeira hora.

Como evidenciar: Nomes, suplentes e contatos registrados e acessíveis.

Lista desatualizada é o modo mais comum de perder tempo no início.

Como evidenciar: Contatos revisados periodicamente, incluindo canal fora do e-mail.

Sem processo conhecido, o incidente chega por conversa de corredor.

Como evidenciar: Fluxo divulgado, com registro dos reportes recebidos.