Quando uma empresa decide estruturar sua segurança da informação, é comum surgir a dúvida sobre qual framework adotar primeiro.

De um lado, os CIS Controls oferecem um conjunto priorizado de práticas para fortalecer as defesas da organização. Do outro, a ISO/IEC 27001 estabelece os requisitos para implementar um Sistema de Gestão de Segurança da Informação, o SGSI.

Embora existam pontos de convergência entre os dois, eles possuem objetivos e abordagens diferentes. Por isso, a escolha do melhor ponto de partida depende menos de uma ordem predefinida e mais do momento da empresa, dos riscos existentes e do resultado que ela precisa alcançar.

O que significa começar pelo CIS?

Os CIS Controls são um conjunto priorizado de ações de defesa criado para ajudar organizações a reduzir sua exposição aos ataques cibernéticos mais comuns.

Sua estrutura está organizada em três Grupos de Implementação:

• IG1: reúne práticas essenciais de higiene cibernética;
• IG2: amplia a proteção para organizações com maior complexidade operacional;
• IG3: contempla medidas para ambientes com maior exposição, criticidade ou maturidade.

O IG1, por exemplo, reúne 56 salvaguardas consideradas uma base essencial de segurança. Isso permite que empresas com equipes menores, recursos limitados ou uma operação ainda pouco estruturada iniciem por um escopo mais claro.

Entre as práticas abordadas estão inventário de ativos, gestão de acessos, proteção de dados, configurações seguras, gestão de vulnerabilidades e resposta a incidentes.

Nesse contexto, o CIS ajuda a responder uma pergunta bastante objetiva:

Quais práticas devemos priorizar para fortalecer nossa segurança e reduzir a exposição aos riscos mais comuns?

Por apresentar salvaguardas priorizadas e organizadas por níveis de implementação, o CIS pode facilitar a transformação de um diagnóstico amplo em um plano de ação mais executável.

Quando o CIS pode ser um bom ponto de partida?

Começar pelo CIS pode fazer sentido quando a empresa ainda precisa organizar os fundamentos da sua operação de segurança.

É o caso de organizações que:

• ainda não possuem um inventário confiável de ativos;
• precisam estruturar controles básicos de acesso;
• não contam com uma rotina consistente de gestão de vulnerabilidades;
• possuem uma equipe pequena ou com recursos limitados;
• precisam identificar e priorizar ações de curto prazo;
• desejam elevar sua maturidade, mas ainda não têm uma exigência de certificação.

Nesses cenários, a divisão por Grupos de Implementação permite adaptar o escopo à realidade da empresa. Em vez de tentar implementar dezenas de iniciativas simultaneamente, o time pode começar pelas salvaguardas mais importantes e avançar de maneira progressiva.

Isso não significa que o CIS seja necessariamente mais simples em todos os contextos. A implementação também exige responsáveis, acompanhamento, recursos e evidências. A diferença está principalmente na forma como as ações são priorizadas e apresentadas.

O que muda quando a empresa começa pela ISO 27001?

A ISO/IEC 27001 parte de uma lógica mais ampla de gestão baseada em riscos.

Ela não se limita à implementação de controles técnicos. A norma estabelece os requisitos para criar, manter e melhorar continuamente um Sistema de Gestão de Segurança da Informação.

Isso envolve definir:

• o escopo do SGSI;
• o contexto e as partes interessadas da organização;
• os papéis e as responsabilidades;
• a metodologia de avaliação e tratamento de riscos;
• as políticas e os procedimentos;
• os controles aplicáveis;
• os indicadores de acompanhamento;
• as auditorias internas;
• a análise crítica da liderança;
• as ações de melhoria contínua.

Na ISO 27001, a seleção dos controles deve estar relacionada aos riscos e ao contexto da organização. Portanto, não basta demonstrar que determinada medida foi implementada. A empresa precisa explicar por que ela é necessária, como é acompanhada, quem responde por ela e quais evidências comprovam seu funcionamento.

A jornada envolve tecnologia, pessoas, processos e governança.

Quando faz sentido começar diretamente pela ISO?

Para algumas empresas, começar diretamente pela ISO 27001 é a decisão mais coerente.

Isso costuma acontecer quando existe:

• exigência contratual de um cliente;
• necessidade de certificação para entrar em determinado mercado;
• pressão de investidores, parceiros ou grandes contas;
• participação em processos de procurement mais rigorosos;
• atuação em um setor regulado;
• demanda frequente por evidências de segurança;
• uma estrutura interna já preparada para operar um SGSI.

Nesses casos, iniciar apenas pelo CIS pode não responder ao objetivo principal da organização. Se a necessidade é obter uma certificação reconhecida ou demonstrar ao mercado a existência de um sistema de gestão auditável, a jornada deve ser estruturada desde o início em torno dos requisitos da ISO 27001.

Os CIS Controls ainda podem ser utilizados como referência complementar para priorizar e aprofundar práticas de segurança, mas não substituem os requisitos necessários para implementar e certificar um SGSI.

CIS e ISO não são caminhos concorrentes

A escolha entre CIS e ISO não precisa ser definitiva.

Os dois modelos possuem pontos de convergência, e o próprio Center for Internet Security disponibiliza um mapeamento entre os CIS Controls v8.1 e a ISO/IEC 27001:2022.

Práticas implementadas com base no CIS podem contribuir para uma futura jornada ISO, especialmente em áreas como:

• inventário de ativos;
• controle de acessos;
• gestão de vulnerabilidades;
• proteção e recuperação de dados;
• gestão de logs;
• resposta a incidentes;
• conscientização dos colaboradores;
• segurança de fornecedores.

Entretanto, essa correspondência não torna o CIS um pré-requisito para a ISO, nem significa que a implementação de suas salvaguardas seja suficiente para uma certificação.

O CIS oferece uma priorização prática de ações de defesa. A ISO 27001 estabelece uma estrutura de gestão baseada em riscos, na qual controles, responsabilidades, evidências e melhoria contínua precisam funcionar de maneira integrada.

Como escolher o melhor ponto de partida?

Antes de selecionar um framework, a empresa precisa entender o que espera alcançar com essa jornada.

Algumas perguntas ajudam nessa decisão:

• Existe uma exigência formal de certificação?
• Algum cliente ou parceiro solicita especificamente a ISO 27001?
• A prioridade atual é reduzir riscos operacionais ou construir um SGSI?
• Qual é o nível de maturidade da operação de segurança?
• A empresa possui pessoas e recursos para sustentar a implementação?
• Quais lacunas precisam ser tratadas com maior urgência?
• Como os controles e as evidências serão acompanhados ao longo do tempo?

Se a organização precisa fortalecer práticas fundamentais e ainda não possui uma obrigação de certificação, o CIS pode oferecer um ponto de partida mais direcionado.

Se existe uma demanda de mercado, uma exigência contratual ou a necessidade de estabelecer um sistema formal de gestão, começar pela ISO 27001 tende a ser mais coerente.

Em alguns cenários, o CIS pode ajudar a construir uma base operacional antes da ISO. Em outros, a empresa pode estruturar o SGSI desde o início e utilizar o CIS como referência complementar. O caminho adequado depende do contexto, e não de uma sequência obrigatória.

O framework é o ponto de partida, não a execução

Independentemente da escolha, adotar um framework não garante que a segurança passará a funcionar na prática.

Controles precisam ser transformados em tarefas, responsáveis, prazos e evidências. Os riscos precisam orientar as prioridades, e os avanços devem ser acompanhados continuamente.

Sem essa estrutura, tanto o CIS quanto a ISO podem acabar reduzidos a diagnósticos extensos, planilhas fragmentadas e ações que não chegam à operação.

Na hunterstack.io, apoiamos empresas desde a avaliação inicial até a implementação e o acompanhamento contínuo dos controles. Nossa plataforma centraliza frameworks como CIS Controls e ISO 27001, conectando requisitos, riscos, tarefas, responsáveis e evidências em um só lugar.

Assim, a organização consegue escolher o caminho mais adequado ao seu momento e evoluir sua segurança sem perder a visibilidade sobre o que precisa ser feito.

Ainda não sabe se sua empresa deve começar pelo CIS ou pela ISO 27001?

Converse com nosso time e entenda qual caminho faz mais sentido para o seu cenário.