O NIST Cybersecurity Framework organiza a segurança por função e serve para medir e comunicar maturidade. A ISO 27001 define um sistema de gestão certificável e serve para comprovar conformidade a terceiros. O CIS Controls lista ações técnicas priorizadas e indica por onde começar. Os três se complementam, e muitas empresas maduras usam os três, cada um para um fim.
A escolha depende da pergunta que a empresa precisa responder: medir e comunicar, comprovar para um terceiro ou definir a próxima ação técnica.
NIST CSF 2.0: a base para medir e comunicar
Mantido pelo instituto de padrões dos Estados Unidos e atualizado para a versão 2.0 em 2024, o NIST CSF organiza a segurança em seis funções: governar, identificar, proteger, detectar, responder e recuperar. São 22 categorias e 106 subcategorias. A função governar foi a principal novidade da versão 2.0, que também ampliou o público para organizações de qualquer porte e setor.
O NIST não oferece certificação de organizações no CSF. Sua força está na linguagem acessível a executivos e na possibilidade de comparação entre empresas, o que o torna a base comum de avaliações de maturidade. No Panorama do Risco Cibernético 2026, estudo da Vultus com 132 organizações, as funções proteger (1,94) e detectar (1,82) ficaram à frente, com recuperar e governar atrás.
ISO 27001: quando um terceiro precisa comprovar
A ISO/IEC 27001 não define quais controles técnicos usar. Ela exige um sistema de gestão, com política, análise de risco, controles escolhidos com justificativa, auditoria interna, revisão pela direção e melhoria contínua, atestado por um organismo certificador. Na versão de 2022, o Anexo A traz 93 controles em quatro temas: organizacionais, pessoas, físicos e tecnológicos.
O motivo mais comum para buscar a certificação é externo: um cliente que exige, uma licitação ou um parceiro internacional. A certificação comprova que o sistema de gestão existe e funciona, mas não substitui o teste de intrusão: empresas certificadas também têm falhas exploráveis.
CIS Controls: por onde começar
O CIS Controls é o mais prático dos três. A versão 8 tem 18 controles, do inventário de ativos ao teste de intrusão, cada um com salvaguardas específicas organizadas em grupos de implementação. O primeiro grupo reúne a higiene cibernética essencial para empresas de qualquer porte.
O CIS conversa com o que os testes encontram. No Panorama, 38,1% das organizações tinham ambiente em nuvem sem autenticação multifator, e em 35,7% a tentativa de senhas previsíveis em escala funcionou. Gestão de contas e de acessos está entre os controles básicos.
Dados da ENISA, a agência europeia de cibersegurança, mostram por que o básico vem primeiro: o phishing respondeu por cerca de 60% das intrusões iniciais analisadas na Europa entre julho de 2024 e junho de 2025, seguido pela exploração de vulnerabilidades, com 21,3%.
Como combinar os três
Uma combinação que funciona para boa parte das empresas médias e grandes:
- NIST CSF 2.0 como base: para medir maturidade, definir metas e reportar ao conselho.
- CIS Controls como lista de execução: para traduzir as lacunas do NIST em ações técnicas priorizadas.
- ISO 27001 quando houver demanda externa: para formalizar o sistema de gestão e certificar.
Os três têm mapeamentos entre si, então o trabalho feito em um aproveita nos outros. Normas específicas entram conforme o caso: ISO 22301 para continuidade de negócio, PCI DSS para quem processa cartão, resoluções do Banco Central para instituições autorizadas e LGPD para quem trata dado pessoal.
Frameworks no diagnóstico da Vultus
Nos diagnósticos de maturidade e nos planos diretores, a Vultus usa o NIST como régua e a ISO e o CIS como referências de controle. Leia sobre maturidade em cibersegurança e conheça a avaliação de maturidade da Vultus.
