CIS Controls v8: o que é e por onde começar sua empresa

Se você já pesquisou sobre segurança da informação, provavelmente esbarrou em uma sopa de siglas — ISO 27001, NIST, LGPD, SOC 2. O CIS Controls v8 é diferente dos demais em um ponto prático: ele nasceu para ser aplicado, não só auditado. Este artigo explica o que ele é, como está organizado e por onde uma empresa de médio porte deve realmente começar.

O que é o CIS Controls

O CIS Controls é um conjunto de boas práticas de segurança da informação mantido pelo Center for Internet Security, organização sem fins lucrativos dos Estados Unidos. Ele existe desde os anos 2000 e passou por diversas revisões — a versão atual, a 8, foi reorganizada para refletir como as empresas realmente operam hoje: com serviços em nuvem, trabalho remoto e dispositivos móveis, não apenas servidores dentro de um data center próprio.

Diferente de normas mais amplas como a ISO 27001, que trata de gestão de segurança como um todo (processos, papéis, cultura), o CIS Controls é mais objetivo: ele lista o que fazer, na prática, para reduzir os riscos mais comuns — e nessa objetividade está a maior parte do seu valor para uma empresa que está começando a estruturar segurança agora.

Os 18 controles, em poucas palavras

A versão 8 organiza a segurança em 18 controles, agrupados por tipo de ativo — dispositivos, software, dados, usuários e rede — em vez de por departamento ou função, como versões antigas faziam. Isso importa porque reflete melhor uma empresa moderna: um mesmo dado sensível pode passar por um notebook, um serviço em nuvem, uma API e o celular de um colaborador, tudo no mesmo dia.

Alguns exemplos de controles que costumam gerar mais impacto logo no início: Inventário de Ativos (você não protege o que não sabe que existe), Gestão de Contas e Controle de Acesso (quem tem acesso a quê, e por quê), Gestão de Vulnerabilidades (varredura recorrente, não pontual) e Proteção de Dados (criptografia e classificação, especialmente relevante sob a LGPD).

Implementation Groups: nem toda empresa precisa do mesmo nível

Um dos pontos mais úteis — e menos conhecidos — do CIS Controls v8 é a divisão em três Implementation Groups, ou IGs:

• IG1 — higiene cibernética básica. Indicado para empresas menores, com equipe de TI enxuta e recursos limitados. É o piso mínimo que qualquer empresa deveria ter, independente do setor.
• IG2 — para empresas com mais complexidade operacional ou que lidam com dados sensíveis (dados de saúde, biométricos, financeiros). Adiciona controles de monitoramento e resposta mais sofisticados.
• IG3 — voltado a organizações que são alvo de ataques direcionados e sofisticados, como infraestrutura crítica ou grandes instituições financeiras.

Na prática, isso evita um erro comum: tentar implementar controles de nível bancário em uma empresa de 50 funcionários — o que costuma travar o projeto por falta de orçamento e equipe — ou, no sentido contrário, tratar dado sensível com o mesmo descaso de um dado qualquer só porque a empresa é pequena.

Por que isso importa também para a LGPD

A LGPD não prescreve controles técnicos específicos — ela exige "medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais". Isso é, propositalmente, vago. O CIS Controls v8 preenche essa lacuna: ele dá uma lista concreta de medidas que, quando implementadas, sustentam o argumento de que a empresa adotou práticas reconhecidas de mercado — algo relevante tanto para prevenção quanto para uma eventual resposta a incidente ou fiscalização.

Por onde começar, na prática

Se sua empresa ainda não tem nada estruturado, o caminho mais eficiente não é tentar implementar os 18 controles de uma vez. É:

• Fazer um diagnóstico de maturidade atual frente aos controles de IG1 — geralmente revela lacunas básicas (inventário desatualizado, contas de ex-funcionários ainda ativas, backup nunca testado) que custam pouco para corrigir e reduzem risco de forma desproporcional ao esforço.
• Priorizar pelo risco real do seu negócio, não pela ordem numérica dos controles — dado biométrico ou de saúde, por exemplo, empurra alguns controles de IG1 para IG2 mesmo em empresa pequena.
• Tratar isso como processo contínuo, não projeto com data de término — o próprio CIS reforça que segurança é ciclo de revisão, não checklist único.

Conclusão

O CIS Controls v8 não é a única forma de estruturar segurança, mas é uma das mais aplicáveis para empresas que precisam de resultado prático — não só de um documento de política guardado em uma pasta. Se você está avaliando por onde começar, um bom primeiro passo é um assessment estruturado contra esses 18 controles, calibrado ao seu porte e ao tipo de dado que sua empresa trata.