CIS Controls e ISO 27001: come si parlano, e dove no

Che cosa sono, in una riga ciascuno

Le ISO/IEC 27001 definiscono un sistema di gestione della sicurezza delle informazioni (SGSI) certificabile da un ente terzo. La norma si divide in due parti: le clausole da 4 a 10, che descrivono il sistema di gestione — contesto, leadership, pianificazione, supporto, attività operative, valutazione delle prestazioni, miglioramento — e l'Allegato A, che elenca 93 controlli raggruppati in quattro temi: organizzativi (37), relativi alle persone (8), fisici (14) e tecnologici (34). L'edizione 2022 ne ha introdotti 11 nuovi, fra cui threat intelligence, sicurezza dei servizi cloud, mascheramento dei dati e prevenzione della fuga di dati.

I CIS Critical Security Controls, alla versione 8.1, sono un elenco prioritizzato di 18 controlli articolati in 153 salvaguardie, ordinate per efficacia contro gli attacchi reali. Non sono una norma e non sono certificabili: sono una lista di cose da fare, messe in ordine. La caratteristica che li rende utili è la suddivisione in tre Implementation Group: IG1 è l'igiene informatica essenziale, il minimo che ogni organizzazione dovrebbe avere; IG2 e IG3 aggiungono via via quello che serve a chi ha un profilo di rischio e risorse maggiori.

La differenza in una frase: la ISO 27001 non ti dice da dove cominciare, i CIS Controls sì. La ISO 27001 ti dà un certificato, i CIS Controls no.

La differenza che conta di più: uno si certifica, l'altro no

Non esiste una «certificazione CIS Controls». Nessun organismo accreditato rilascia un attestato di conformità ai CIS Controls, e gli stessi termini d'uso del CIS vietano di dichiarare un determinato livello di conformità o coerenza con i loro prodotti. Chi in una gara d'appalto chiede «certificazione CIS» sta chiedendo una cosa che non esiste: al massimo si può dichiarare di aver adottato le salvaguardie, con un'autovalutazione.

La ISO/IEC 27001, invece, si certifica: un organismo terzo verifica che il sistema di gestione funzioni, e il certificato ha una validità di tre anni con sorveglianze annuali. È questa la ragione per cui, quando un cliente o un bando chiede «la certificazione», il percorso è la ISO e non i CIS Controls, per quanto le salvaguardie siano ben implementate.

Dove si sovrappongono davvero

Il terreno comune è il tema tecnologico dell'Allegato A: i 34 controlli che parlano di gestione degli accessi, protezione degli endpoint, registrazione degli eventi, gestione delle vulnerabilità, configurazione sicura, backup, protezione delle reti e sviluppo sicuro. Su questi le due cose dicono la stessa cosa a due livelli di dettaglio diversi.

L'Allegato A è deliberatamente sintetico: dice che cosa deve esistere, non come realizzarlo. Un controllo sull'inventario degli asset occupa poche righe. La salvaguardia CIS corrispondente arriva a dire che l'inventario va aggiornato con una certa frequenza e che deve contenere determinati campi. Le due cose non sono in conflitto: la seconda è un modo concreto di soddisfare la prima.

Questo è l'uso più sensato dei CIS Controls dentro un percorso ISO: come repertorio di implementazioni e come fonte di evidenze per l'audit. Chi ha già le salvaguardie in piedi arriva alla verifica con qualcosa di documentato da mostrare, invece che con una procedura scritta il mese prima.

Dove non si sovrappongono, ed è qui che nascono le sorprese

Le clausole da 4 a 10 della ISO 27001 non hanno alcun equivalente nei CIS Controls. Nessuna salvaguardia CIS parla di:

• Contesto e parti interessate — capire quali requisiti esterni e interni deve soddisfare il sistema.
• Leadership e politica — l'impegno formale della direzione, i ruoli, le responsabilità assegnate.
• Valutazione e trattamento del rischio — un metodo documentato, ripetibile, con criteri di accettazione decisi in anticipo. La ISO non ammette che si decida caso per caso.
• Dichiarazione di applicabilità (SoA) — il documento che, controllo per controllo, dice se si applica e perché. È il primo che un auditor apre.
• Competenza, consapevolezza, comunicazione — la formazione delle persone e la prova che sia stata fatta.
• Audit interno e riesame di direzione — il sistema deve controllarsi da solo, con cadenza definita.
• Non conformità e azioni correttive — che cosa si fa quando qualcosa non funziona, e come lo si registra.

È per questo che l'organizzazione che ha completato IG1 non è «quasi certificata». Ha fatto un ottimo lavoro sulla metà tecnica e non ha ancora cominciato quella gestionale, che è anche la parte su cui gli audit trovano più rilievi.

Vale anche il contrario, e si vede meno spesso ma succede: c'è chi ottiene il certificato con un SGSI formalmente ineccepibile e una postura tecnica mediocre, perché la ISO lascia all'organizzazione la scelta di che cosa è applicabile. La norma chiede coerenza con il rischio dichiarato, non un livello minimo di difesa. I CIS Controls quel minimo lo indicano.

Come usarli insieme, in pratica

L'ordine che funziona, per un'organizzazione che parte da zero e vuole arrivare alla certificazione, è questo.

Primo: usare IG1 come piano di lavoro tecnico dei primi mesi. Mentre il sistema di gestione è ancora da costruire, le salvaguardie essenziali si possono implementare subito e riducono il rischio da subito. È lavoro che non va sprecato, perché servirà come evidenza più avanti.

Secondo: fare la valutazione del rischio secondo la ISO, non secondo i CIS. La scelta di che cosa è applicabile deve nascere dal rischio dell'organizzazione, non da un elenco preconfezionato. Un auditor se ne accorge quando la SoA sembra copiata: non ci sono esclusioni motivate, non c'è traccia di una decisione.

Terzo: ricondurre le salvaguardie già implementate ai controlli dell'Allegato A, come evidenza a supporto. La mappatura la si costruisce sul proprio caso: quali salvaguardie sono state adottate, dove sono documentate, quale controllo dell'Allegato A contribuiscono a soddisfare.

Quarto: non confondere la copertura tecnica con la conformità. Le clausole 4-10 vanno affrontate come lavoro a sé, e sono la parte che richiede più tempo perché coinvolge la direzione, non solo l'IT.

Gli errori che vediamo più spesso

Scambiare una mappatura per una prova di conformità. Una tabella che accosta salvaguardie e controlli mostra una corrispondenza concettuale, non che nella vostra organizzazione quel controllo sia attuato. L'evidenza è un'altra cosa.

Adottare IG3 «per sicurezza». Gli Implementation Group esistono perché le organizzazioni sono diverse. Dichiarare IG3 e non riuscire a mantenerlo è peggio che dichiarare IG1 e farlo bene: in audit, un controllo dichiarato applicabile e non attuato è una non conformità.

Trattare l'Allegato A come una checklist. I 93 controlli non vanno «fatti tutti»: vanno valutati tutti, e per ciascuno si decide, motivando. L'esclusione motivata è legittima; l'esclusione silenziosa no.

Dimenticare che l'Allegato A 2022 ha 11 controlli nuovi. Chi lavora ancora su materiale tarato sulla versione 2013 arriva in audit senza aver considerato threat intelligence, sicurezza del cloud, mascheramento dei dati, prevenzione della fuga di dati e filtraggio web.

Dove trovare i documenti originali

I CIS Critical Security Controls sono pubblicati dal Center for Internet Security, che ne distribuisce direttamente la versione corrente e le mappature verso gli altri schemi. Sono rilasciati con licenza Creative Commons Attribuzione – Non commerciale – Non opere derivate, e vanno scaricati dal sito del CIS: questa pagina li descrive e li commenta, non li riproduce.

Il testo della ISO/IEC 27001:2022 è acquistabile dall'ISO e, in versione italiana, da UNI. Non è disponibile gratuitamente.

Se stai valutando il percorso di certificazione, sul sito trovi il confronto fra ISO 27001 e ISO 27002, quanto costa la certificazione ISO 27001 e il rapporto fra NIS 2 e ISO 27001, oltre ai corsi ISO 27001 nei livelli Foundation, Auditor e Lead Auditor.

Domande frequenti