← Voltar ao Material de Estudo
Avançado · Aula 15

Frameworks de Segurança: NIST CSF e CIS Controls

⏱️ 30-35 minutos · 📚 Trilha Avançada

Empresas maduras não inventam segurança do zero — elas seguem frameworks reconhecidos, testados e continuamente atualizados por comunidades inteiras de especialistas. Nesta aula, os dois frameworks mais citados no mundo corporativo: o NIST CSF e os CIS Controls.

🎯 O que você vai aprender

  • As 6 funções do NIST Cybersecurity Framework 2.0
  • Os 18 CIS Controls e os 3 grupos de implementação (IG1/IG2/IG3)
  • Como esses frameworks se complementam na prática
  • Por que "framework" não é a mesma coisa que "produto de segurança"

NIST Cybersecurity Framework (CSF) 2.0

Organiza a gestão de risco cibernético em seis funções centrais:

  • Govern (Governar): definir estratégia, papéis, responsabilidades e política de risco — a função mais nova, adicionada na versão 2.0.
  • Identify (Identificar): entender ativos, riscos e vulnerabilidades da organização.
  • Protect (Proteger): implementar salvaguardas (controle de acesso, treinamento, proteção de dados).
  • Detect (Detectar): identificar eventos de segurança em tempo hábil.
  • Respond (Responder): agir diante de um incidente detectado (ligação direta com a Aula 12).
  • Recover (Recuperar): restaurar capacidades afetadas (ligação com a Aula 13, BCDR).

O CSF não é uma checklist rígida — é uma estrutura flexível que qualquer organização, de qualquer tamanho ou setor, pode adaptar ao seu próprio nível de maturidade e apetite de risco.

CIS Controls

O Center for Internet Security mantém uma lista de 18 controles prioritários, ordenados aproximadamente por impacto — a ideia é que os primeiros controles (inventário de ativos, inventário de software, proteção de dados, configuração segura) já eliminam boa parte do risco mais comum, mesmo antes de chegar aos controles mais avançados.

Os CIS Controls são organizados em três Grupos de Implementação (IG), pensados para diferentes níveis de maturidade organizacional:

  • IG1: higiene cibernética essencial — recomendado como piso mínimo para qualquer organização, inclusive pequenas empresas com poucos recursos de TI.
  • IG2: para organizações com dados mais sensíveis e maior exposição a risco.
  • IG3: para organizações com alta exposição, visadas por atacantes sofisticados (ex: infraestrutura crítica, grandes instituições financeiras).

Como os dois se complementam

O NIST CSF responde "o quê" fazer em termos de gestão de risco em nível estratégico (governança, categorias amplas de função). Os CIS Controls respondem "como" de forma mais tática e prática — uma lista concreta de ações técnicas priorizadas. Muitas organizações usam o CSF para estruturar a conversa com a liderança e os CIS Controls para guiar a implementação técnica do dia a dia.

💡 Exemplo prático

Uma empresa pequena, começando do zero em segurança, foca primeiro em atingir o IG1 dos CIS Controls (inventário de ativos, controle de configuração, gestão de contas, proteção de dados básica) — cobrindo boa parte da função "Protect" do NIST CSF — antes de investir em controles mais sofisticados de detecção avançada.

⚠️ Erro comum

Achar que comprar uma ferramenta específica ("compramos um SIEM") equivale a "estar em conformidade com o framework". Frameworks descrevem capacidades e processos, não produtos isolados — uma ferramenta sozinha, mal configurada ou sem processo em volta dela, não cumpre a função que o framework descreve.

✅ Pontos-chave

  • NIST CSF 2.0: Govern, Identify, Protect, Detect, Respond, Recover.
  • CIS Controls: 18 controles priorizados, organizados em 3 grupos de implementação por maturidade.
  • CSF orienta estratégia; CIS Controls orientam execução técnica.
  • Framework é processo e capacidade, não uma ferramenta comprada isoladamente.

🔗 Para se aprofundar