Qué son los CIS Benchmarks y cómo elegir entre Level 1 y Level 2

Si su auditor le pidió “alinear los servidores a CIS”, lo primero es entender qué documento le están pidiendo seguir y qué nivel de exigencia corresponde a cada equipo. Esta guía lo resume con nuestras palabras; el texto oficial de cada benchmark está en cisecurity.org y es la referencia que debe consultar antes de aplicar cualquier cambio.

Qué son los CIS Benchmarks

Los CIS Benchmarks son guías de configuración segura que publica el Center for Internet Security (CIS), una organización sin fines de lucro con sede en Estados Unidos. Cada benchmark cubre una tecnología concreta: sistemas operativos como Windows Server o Red Hat Enterprise Linux, servicios en la nube como Microsoft 365, bases de datos, navegadores y equipos de red como Cisco IOS, entre muchas otras.

Cada benchmark está atado a una versión del producto. No existe “el benchmark de Windows”: existe uno para Windows Server 2022, otro para Windows Server 2025, y cada uno tiene su propio número de versión, que CIS actualiza cuando cambia el producto o el contexto de amenazas. Por eso, cuando documente su cumplimiento, registre siempre el nombre y la versión exacta del benchmark que usó.

Cómo se elaboran: el proceso de consenso

CIS describe sus benchmarks como el resultado de un esfuerzo basado en consenso. En la práctica, las recomendaciones se proponen, discuten y revisan en comunidades donde participan administradores, auditores, fabricantes y especialistas en seguridad. Los borradores pasan por revisión antes de publicarse, y las versiones nuevas recogen observaciones de quienes aplican el benchmark en entornos reales.

Este origen explica por qué los auditores y muchos marcos regulatorios lo aceptan como referencia: no es la opinión de un solo fabricante ni de un solo consultor, sino un criterio común y verificable.

Cómo está estructurada una recomendación

Cada recomendación sigue una estructura similar. Conocerla le ayuda a leer el documento con criterio y a explicar sus decisiones al auditor:

• Título y numeración: identifica la configuración y la ubica dentro de su sección (por ejemplo, políticas de cuentas, opciones de seguridad o firewall).
• Perfil aplicable: indica a qué perfil pertenece (Level 1, Level 2 u otro) y, en Windows Server, a qué rol de servidor.
• Tipo de evaluación: automatizada, cuando una herramienta puede verificarla, o manual, cuando requiere revisión humana.
• Descripción y justificación: qué hace la configuración y qué riesgo reduce.
• Impacto: qué puede dejar de funcionar o cambiar al aplicarla. Es la sección que más se omite y la que más problemas evita.
• Auditoría y remediación: cómo comprobar el valor actual y cómo corregirlo, por GPO, registro o comando.
• Valor por defecto y referencias: el comportamiento de fábrica y los documentos relacionados, incluido el mapeo a los CIS Controls.

Level 1 y Level 2: la diferencia práctica

Las recomendaciones se agrupan en perfiles. Los dos más usados son Level 1 y Level 2, y Level 2 incluye todo lo de Level 1 más configuraciones adicionales.

Aspecto	Level 1	Level 2
Objetivo	Una base de seguridad razonable	Defensa en profundidad
Impacto en la operación	Bajo: pensado para no afectar la funcionalidad	Puede limitar funciones o compatibilidad
Dónde aplica	Casi todos los servidores	Entornos de alta sensibilidad
Esfuerzo de prueba	Moderado	Alto: requiere análisis de impacto
Relación entre perfiles	Base mínima	Incluye Level 1 y agrega controles

“Bajo impacto” no significa “cero impacto”. Incluso en Level 1 hay configuraciones que pueden afectar a una aplicación antigua, a un servicio que usa protocolos heredados o a un proceso de administración remota. La diferencia es que en Level 2 esos efectos son más probables, y CIS los asume conscientemente a cambio de reducir más la superficie de ataque.

Perfiles por rol en Windows Server

En los benchmarks de Windows Server, los perfiles se dividen además por rol. Encontrará variantes de Level 1 y Level 2 para Domain Controller (controlador de dominio) y para Member Server (servidor miembro del dominio). Una misma configuración puede tener un valor distinto según el rol, porque un controlador de dominio necesita permitir ciertos accesos que un servidor de aplicaciones no.

CIS también publica, como documentos aparte, una variante para servidores Stand-alone (que no pertenecen a un dominio) y variantes alineadas a los STIG (Security Technical Implementation Guides) del Departamento de Defensa de Estados Unidos. Puede verlas en la página de benchmarks de Windows Server.

Next Generation Windows Security

En algunas versiones de los benchmarks de Windows aparece un perfil adicional, Next Generation Windows Security, con sus propias variantes por rol. Agrupa configuraciones que dependen de capacidades de hardware y virtualización más recientes, como la seguridad basada en virtualización (VBS, por sus siglas en inglés) y Credential Guard. Funciona como un complemento: tiene sentido cuando el hardware, el hipervisor y las aplicaciones lo soportan, y conviene validarlo por separado.

CIS Benchmarks y CIS Controls: no son lo mismo

Es frecuente confundir ambos documentos. Los CIS Controls, hoy en su versión 8.1, son un marco de 18 controles priorizados que describen qué debe hacer una organización: inventariar activos, gestionar vulnerabilidades, controlar accesos y proteger datos, entre otros. Se organizan en grupos de implementación según la madurez y los recursos de cada organización.

Los CIS Benchmarks, en cambio, describen cómo configurar una tecnología concreta. Aplicar un benchmark contribuye sobre todo al control de configuración segura de activos y software, y cada recomendación indica a qué salvaguarda de los CIS Controls se vincula. Dicho de otro modo: los Controls son el programa; los Benchmarks son las instrucciones técnicas para una parte de ese programa.

Cómo elegir el nivel para cada servidor

La decisión no es por empresa, sino por rol y por riesgo. Un controlador de dominio expuesto a toda la red no se trata igual que un servidor de pruebas aislado. Estas preguntas le ayudan a decidir:

1. ¿Qué rol cumple el servidor? Controlador de dominio, archivos, web, base de datos o aplicación. El rol define qué variante del benchmark aplica.
2. ¿Qué datos procesa? Datos personales, información financiera o transacciones de clientes elevan el nivel de protección esperado.
3. ¿Cuán expuesto está? Un servidor publicado a internet o accesible desde muchas redes justifica más controles que uno segmentado.
4. ¿Qué tan crítica es su disponibilidad? Si una interrupción afecta la operación, el análisis de impacto previo es obligatorio, sea cual sea el nivel.
5. ¿Qué exige su marco regulatorio o su auditor? Algunos requerimientos piden explícitamente un nivel; otros, solo una línea base reconocida.

Como regla práctica, Level 1 es el punto de partida para todo el parque de servidores. Level 2 se evalúa servidor por servidor donde las respuestas anteriores lo justifiquen, y siempre después de medir el impacto.

Cómo documentar las excepciones

Ningún entorno real cumple el cien por ciento de un benchmark, y el auditor lo sabe. Lo que sí espera es que cada desviación esté justificada, aprobada y revisada. Una excepción bien documentada incluye:

• Recomendación afectada: número y título del control, y versión del benchmark.
• Servidores alcanzados: nombres o grupo de servidores, y su rol.
• Motivo técnico: qué aplicación o proceso depende de la configuración actual.
• Control compensatorio: qué medida reduce el riesgo mientras la excepción exista (segmentación, monitoreo, restricción de accesos).
• Responsable y aprobación: quién asume el riesgo por parte del negocio.
• Fecha de revisión: cuándo se volverá a evaluar, por ejemplo al migrar o actualizar la aplicación.

Un registro de excepciones vivo, revisado periódicamente, suele pesar más en una auditoría que un porcentaje alto de cumplimiento sin sustento.

Cómo medir el cumplimiento

Medir antes de corregir le da una línea base y le permite demostrar avance. Las herramientas más utilizadas son:

• CIS-CAT: la herramienta de evaluación del propio CIS. CIS-CAT Pro Assessor analiza los sistemas contra los benchmarks y requiere membresía CIS SecureSuite; CIS-CAT Lite es gratuita y cubre un conjunto limitado de tecnologías.
• Qualys Policy Audit: el módulo de cumplimiento de configuración de la plataforma Qualys, antes conocido como Policy Compliance. Permite evaluar de forma recurrente contra políticas basadas en CIS, con agente o por escaneo autenticado, y obtener reportes por servidor o por control.
• Herramientas nativas: en Windows, el Security Compliance Toolkit de Microsoft ayuda a comparar configuraciones, aunque está orientado a los baselines de Microsoft y no a los de CIS.

Lo importante es que la medición se repita. Una evaluación aislada muestra una foto; una medición periódica le indica si los servidores se mantienen alineados o si la configuración se va desviando con el tiempo.

Cómo aplicar las configuraciones

En entornos Windows con Active Directory, la vía más común es la directiva de grupo (GPO, Group Policy Object). CIS ofrece a sus miembros objetos de directiva preconstruidos que facilitan el despliegue. El riesgo de aplicarlos sin análisis previo es conocido: una configuración correcta en papel puede cortar la comunicación de una aplicación que depende de un protocolo antiguo.

Por eso recomendamos un despliegue por fases: piloto en un grupo reducido de servidores representativos, observación del comportamiento y ampliación gradual por unidades organizativas. Herramientas de hardening automatizado como CalCom Hardening agregan un paso intermedio: analizan el impacto de cada cambio en el servidor antes de aplicarlo y luego vigilan que la configuración no se desvíe.

Checklist para empezar

• Inventaríe sus servidores por rol: controladores de dominio, web, base de datos, archivos y aplicación.
• Identifique qué benchmark y qué versión aplica a cada sistema operativo, y regístrelo.
• Defina el perfil objetivo por servidor: Level 1 para todos; Level 2 solo donde el riesgo lo justifique.
• Mida la brecha inicial con CIS-CAT, Qualys Policy Audit u otra herramienta equivalente.
• Lea la sección de impacto de cada recomendación que falle antes de corregirla.
• Pruebe los cambios en un grupo piloto y despliegue por fases.
• Documente cada excepción con motivo, control compensatorio, responsable y fecha de revisión.
• Programe mediciones periódicas para detectar desviaciones de configuración.
• Revise el alcance cuando CIS publique una nueva versión del benchmark.