CIS Benchmark: cos'è e come si usa su AWS e Azure

La risposta breve: un CIS Benchmark è una guida gratuita di configurazione sicura per un sistema specifico (un sistema operativo, un database, un account AWS o Azure), pubblicata dal Center for Internet Security e scritta per consenso da esperti, produttori e comunità. Ogni raccomandazione dice cosa impostare, come verificarlo e come correggerlo. Serve a partire da una base riconosciuta invece che dalle impostazioni di fabbrica.

Qui vediamo com'è fatto un benchmark, cosa cambia tra Level 1 e Level 2, che differenza c'è con i CIS Controls, quali benchmark esistono per il cloud e come si applicano e si misurano senza fermare la produzione.

Cos'è un CIS Benchmark?

Il Center for Internet Security (CIS) definisce i suoi benchmark come best practice per la configurazione sicura di un sistema. Secondo la pagina ufficiale ne esistono più di 100, distribuiti su oltre 25 famiglie di prodotti: sistemi operativi, software server, provider cloud, dispositivi mobili, apparati di rete, software desktop, strumenti DevSecOps, storage.

Tre caratteristiche li distinguono da una checklist qualunque.

• Sono scritti per consenso. Volontari esperti, vendor tecnologici e membri della comunità discutono le bozze sulla piattaforma CIS WorkBench finché non si arriva a un accordo; solo allora il benchmark viene pubblicato.
• Sono indipendenti dai vendor. I produttori partecipano alla discussione, ma il testo nasce dal consenso della comunità, e il CIS li presenta come guide non legate a un fornitore.
• Sono gratuiti. Si scaricano in PDF senza costi per uso non commerciale. I membri di CIS SecureSuite, il programma a pagamento del CIS, ricevono anche altri formati (Word, Excel, XML) e possono adattare le raccomandazioni al proprio ambiente.

Non sono statici: le versioni nuove escono seguendo i rilasci delle tecnologie coperte, il CIS annuncia ogni mese per email i benchmark nuovi e quelli aggiornati, e per Windows si impegna a coprire l'ultima build entro 90 giorni dal rilascio.

Com'è fatta una raccomandazione?

È la parte che rende un benchmark utilizzabile davvero. Prendendo come esempio i benchmark per il cloud, il CIS spiega che ogni raccomandazione contiene le stesse sezioni:

• Profile Applicability: a quale profilo appartiene (Level 1 o Level 2).
• Description: cosa chiede e perché conta.
• Audit: come controllare lo stato attuale della configurazione.
• Remediation: i passi per applicarla.
• References e informazioni aggiuntive: la documentazione di supporto.
• CIS Controls: il controllo dei CIS Controls a cui la raccomandazione si collega.

La coppia Audit e Remediation è quella che fa risparmiare tempo: chi amministra il sistema non deve interpretare un principio generico, ha già il comando o il percorso in console per verificare e per correggere.

Level 1, Level 2 e profilo STIG: quale scegliere?

La maggior parte dei benchmark contiene più profili, e ogni raccomandazione appartiene ad almeno uno.

• Level 1 è la base. Secondo le FAQ del CIS si applica in tempi brevi, non ha un forte impatto sulle prestazioni e riduce la superficie d'attacco senza ostacolare il lavoro.
• Level 2 è pensato come difesa in profondità per gli ambienti dove la sicurezza ha la precedenza. Il CIS avverte che queste impostazioni possono avere effetti negativi se applicate senza la dovuta attenzione.
• Profilo STIG raccoglie le raccomandazioni specifiche delle guide STIG del Dipartimento della Difesa statunitense, e ha preso il posto del vecchio Level 3.

Per un'azienda mid-market la scelta pratica è quasi sempre questa: Level 1 su tutto il perimetro, Level 2 solo sui sistemi che trattano dati critici o sono esposti, dopo un test. Qualunque profilo si scelga, il CIS raccomanda di applicare le indicazioni prima in un ambiente di prova per capirne l'impatto.

CIS Benchmark e CIS Controls: che differenza c'è?

I due nomi si confondono spesso, ma lavorano a due altezze diverse.

• I CIS Controls (oggi alla versione 8.1) sono 18 controlli di sicurezza in ordine di priorità, ciascuno articolato in Safeguard: inventario degli asset, gestione degli account, gestione delle vulnerabilità, log, risposta agli incidenti e così via. Dicono cosa deve fare un programma di sicurezza.
• I CIS Benchmark dicono come configurare un prodotto preciso. Sono il dettaglio tecnico di uno di quei controlli in particolare, il CIS Control 4, che chiede di stabilire e mantenere la configurazione sicura di asset e software aziendali.

Il legame è esplicito: ogni raccomandazione di un benchmark cita il controllo a cui si collega. Così un risultato tecnico (MFA non attiva su un account amministrativo) si può leggere anche come lacuna di programma.

CIS Benchmark per il cloud: AWS, Azure e Google Cloud

Nel cloud la configurazione è la parte che resta al cliente. Il CIS lo dice nel suo articolo sui benchmark cloud: le organizzazioni non possono contare solo sul provider per la sicurezza. Per questo i benchmark cloud sono su due livelli.

I Foundations Benchmark, a livello di account

I CIS Foundations Benchmark sono il punto di partenza per configurare un account di cloud pubblico. Esistono per Amazon Web Services, Microsoft Azure, Google Cloud, Oracle Cloud Infrastructure, IBM Cloud e Alibaba Cloud. Ognuno è adattato al suo provider, ma tutti coprono almeno identità e accessi, log e monitoraggio, rete, e tutti contengono almeno una raccomandazione sull'autenticazione a più fattori.

Alla data del 1° ottobre 2026 le versioni più recenti elencate dal CIS sono la 7.0.0 per AWS Foundations, la 6.0.0 per Azure Foundations e la 5.0.0 per Google Cloud Platform Foundation. Il numero conta: quando un auditor o un cliente chiede la conformità al CIS AWS, la prima domanda giusta è quale versione.

I benchmark di servizio

Il CIS precisa che i Foundations non coprono tutti i servizi di un provider. Sopra ci sono i benchmark di prodotto e di servizio. Per AWS oggi il CIS elenca, oltre ai Foundations, i benchmark per i servizi di calcolo, database, storage ed end user computing; per Azure quelli per calcolo, database e storage. Per Kubernetes gestito ci sono benchmark dedicati, per esempio per Amazon EKS e Google GKE.

In pratica, chi cerca CIS benchmark AWS o CIS benchmark Azure deve partire dai Foundations e aggiungere solo i benchmark dei servizi che usa davvero.

Le CIS Hardened Images

Per le macchine virtuali il CIS offre le CIS Hardened Images: immagini già configurate secondo i benchmark, disponibili nei marketplace di AWS, Azure, Google Cloud e Oracle Cloud e aggiornate ogni mese. Partire da un'immagine già indurita evita di correggere a posteriori ogni server appena creato.

Come si applica un CIS Benchmark senza rompere la produzione?

Applicare tutto in un colpo è il modo più rapido per bloccare un'applicazione. Questa è la sequenza che regge.

1. Scegli benchmark e versione. Uno per ogni tecnologia nel perimetro, alla versione corrente.
2. Scegli il profilo. Level 1 come base, Level 2 dove il rischio lo giustifica.
3. Misura prima di cambiare. Un primo controllo dice quante raccomandazioni sono già rispettate e dove sono i buchi.
4. Prova in un ambiente di test. È l'indicazione del CIS, e vale doppio per il Level 2.
5. Documenta le eccezioni. Alcune raccomandazioni non si applicano al tuo contesto: scrivi quali e perché. È la parte che un auditor legge con più attenzione.
6. Ricontrolla nel tempo. Una configurazione corretta oggi si sposta con il prossimo rilascio. Nel cloud la deriva è quotidiana.

Se ti interessa il tema più ampio, cioè l'hardening di server e postazioni e come tenerlo nel tempo, l'abbiamo trattato in hardening dei sistemi: cosa significa e come si fa.

Come si misura la conformità a un CIS Benchmark?

Controllare a mano centinaia di raccomandazioni su decine di sistemi non è sostenibile. Gli strumenti si dividono in due famiglie.

• Gli strumenti del CIS. CIS-CAT Lite è gratuito e verifica una selezione di tecnologie con un punteggio di conformità. CIS-CAT Pro Assessor, incluso nella membership CIS SecureSuite, esamina i sistemi rispetto ai benchmark, anche nelle versioni adattate, e produce report mappati sui CIS Controls e sui loro Implementation Group.
• Le piattaforme di sicurezza del cloud. Il CSPM, la componente di una CNAPP che controlla le configurazioni, legge gli account via API e confronta ogni risorsa con regole che includono i benchmark CIS. Il vantaggio rispetto a una scansione periodica è che il controllo è continuo, su tutti gli account e su tutti i cloud.

Un esempio è Wiz, di cui AmagisTech è partner. Wiz descrive i suoi framework di compliance precaricati, CIS compreso, come insiemi di regole di configurazione del cloud mappate sulle raccomandazioni di ciascun framework, con un punteggio di conformità per ogni framework (blog Wiz, 13 marzo 2023). L'inventario si legge via API, senza agenti.

Un avvertimento su questi punteggi: misurano l'aderenza alle regole, non il rischio. Un account con un punteggio alto può avere, tra le poche regole non rispettate, proprio il bucket pubblico con i dati dei clienti. Il punteggio dice dove sei; l'ordine di intervento lo decide il contesto, cioè cosa è esposto e cosa contiene.

CIS Benchmark, NIS2 e ISO 27001: il ponte con la compliance

Nessuna delle due norme cita i CIS Benchmark per nome. Danno però un modo concreto di rispondere a requisiti che chiedono configurazioni sicure senza dire quali.

• ISO/IEC 27001:2022. Nell'Annex A il tema corrisponde al controllo 8.9, gestione della configurazione. Un benchmark scelto, con le eccezioni documentate e le misure periodiche, è una base pronta. Il quadro completo è nella nostra guida ai requisiti e ai controlli dell'Annex A.
• NIS2. L'art. 24, comma 2, del D.Lgs. 138/2024 elenca gli elementi minimi delle misure di gestione del rischio. Tra questi la sicurezza dell'acquisizione, dello sviluppo e della manutenzione dei sistemi informativi e di rete (lettera e), le politiche e procedure per valutare l'efficacia delle misure (lettera f), le pratiche di igiene di base (lettera g) e l'uso dell'autenticazione a più fattori, ove opportuno (lettera l). Il report di conformità a un benchmark è un'evidenza che tocca tutte e quattro.

Il CIS segnala inoltre che i benchmark sono riconosciuti come standard di configurazione sicura da diversi schemi, tra cui PCI DSS e il National Checklist Program del NIST: per chi tratta pagamenti con carta è un riferimento già noto all'auditor.

I limiti da conoscere

• Non coprono tutto. I Foundations si fermano all'account; i servizi che usi possono non avere un benchmark dedicato.
• Non vedono le combinazioni. Ogni raccomandazione è un controllo singolo. Il rischio vero nel cloud nasce spesso dall'incrocio di tre problemi medi: esposizione, vulnerabilità, permesso troppo largo.
• Non sono un certificato. Il CIS li presenta come best practice di configurazione: la conformità la misuri e la documenti tu, e il valore sta nella misura ripetuta, non nel singolo report.
• La licenza gratuita è per uso non commerciale. Se integri i benchmark in un prodotto o in un servizio che vendi, verifica i termini del CIS.

In sintesi

In sintesi: un CIS Benchmark è una guida di configurazione sicura, gratuita e scritta per consenso, con raccomandazioni che dicono cosa impostare, come verificarlo e come correggerlo. Nel cloud si parte dai Foundations Benchmark di AWS, Azure o Google Cloud, si sceglie Level 1 come base e si misura la conformità in modo continuo, perché le configurazioni cambiano a ogni rilascio. Per sapere dove sei oggi rispetto ai CIS e quali scostamenti contano davvero, il primo passo è una fotografia del cloud: la facciamo con Wiz, via API e senza agenti, e trovi come funziona nella pagina della fotografia del cloud con Wiz.