Glossaire de conformité
Qu’est-ce que les CIS Controls v8?
Les CIS Controls v8 sont les 18 contrôles de cybersécurité priorisés tenus à jour par le Center for Internet Security. Chaque contrôle est divisé en mesures de protection attribuées à l’un de trois groupes de mise en œuvre (IG1, IG2, IG3) selon la maturité de l’organisation.
En une phrase : les CIS Controls v8 sont une liste concrète et priorisée de 18 éléments à sécuriser en premier, répartis par groupe de mise en œuvre pour que toute organisation, quelle que soit sa taille, sache par où commencer.
Définition
Les CIS Controls ont été créés en 2008 sous le nom de « Top 20 Critical Security Controls » du SANS, puis transférés au CIS et améliorés au fil de plusieurs versions. La version 8 (2021) a ramené les 20 contrôles précédents à 18 et introduit les groupes de mise en œuvre pour aider les organisations de tailles différentes à établir leurs priorités.
Les groupes de mise en œuvre rendent les CIS exceptionnellement pragmatiques. L’IG1 est la base que toute organisation devrait atteindre, peu importe sa taille ou son secteur. L’IG2 ajoute des mesures de protection pour les organisations qui détiennent des données sensibles et dont la complexité TI est modérée. L’IG3 ajoute les mesures les plus rigoureuses pour les organisations dont la complexité est grande, qui détiennent des données réglementées et que des adversaires ciblent précisément.
Les CIS Benchmarks sont les guides connexes de durcissement de configuration pour des systèmes d’exploitation, des applications et des services infonuagiques précis. Ils sont largement utilisés comme référence pratique pour répondre à « comment configurer ceci de façon sécuritaire » derrière de nombreux CIS Controls et d’autres cadres.
Composantes principales
- Dix-huit contrôles. Inventaire des actifs, inventaire des logiciels, protection des données, configuration sécurisée, gestion des comptes, contrôle d’accès, gestion des vulnérabilités, gestion des journaux d’audit, protections du courriel et du navigateur, défenses contre les logiciels malveillants, récupération des données, gestion de l’infrastructure réseau, surveillance du réseau, sensibilisation à la sécurité, gestion des fournisseurs de services, sécurité des logiciels d’application, réponse aux incidents et tests d’intrusion.
- Groupe de mise en œuvre 1 (IG1). Hygiène de base en cybersécurité. Toute organisation devrait atteindre au moins l’IG1.
- Groupe de mise en œuvre 2 (IG2). Mesures de protection supplémentaires pour les organisations qui détiennent des données sensibles et dont la complexité TI est modérée.
- Groupe de mise en œuvre 3 (IG3). Les mesures de protection les plus rigoureuses pour les organisations dont la complexité TI est grande, qui détiennent des données réglementées et qui sont ciblées par des adversaires.
- Mesures de protection. Actions de mise en œuvre précises au sein de chaque contrôle, chacune attribuée à l’IG1, à l’IG2 ou à l’IG3.
- CIS Benchmarks. Guides de durcissement de configuration pour Windows, macOS, Linux, M365, Azure, AWS, GCP, les navigateurs et de nombreuses autres cibles.
Pourquoi c’est important
Les CIS Controls v8 sont largement cités par les assureurs en cyberassurance, par les gouvernements d’États américains (dont la Californie, New York et le Texas) et par les programmes de sécurité des grandes entreprises. La structure en groupes de mise en œuvre les rend adoptables par des organisations de tous les niveaux de maturité.
Pour les FSG, les CIS combinés aux CIS Benchmarks forment l’un des couples de cadres les plus concrets à livrer. Ils sont précis, priorisés et largement acceptés par les assureurs et les évaluateurs.
Les évaluations de cyberassurance posent de plus en plus de questions précisément sur la mise en œuvre de l’IG1 des CIS, parce qu’elle constitue la base démontrable d’hygiène en cybersécurité.
Comment Lavawall® vous aide avec les CIS Controls v8
Lavawall® correspond directement aux CIS Controls v8, pour les 18 contrôles et les mesures de protection des IG1, IG2 et IG3. Les preuves de configuration sont recueillies en continu sur les postes Windows, macOS et Linux, et les résultats sont alignés sur les CIS Benchmarks.
Les preuves d’application des correctifs (contrôle 7), l’inventaire des logiciels (contrôle 2), l’inventaire des comptes (contrôle 5), le contrôle des applications (contrôle 2.5), la gestion des journaux d’audit (contrôle 8) et d’autres contrôles proviennent directement du même agent, sans intégration distincte.
Pour les évaluations de cyberassurance en particulier, le rapport de posture aligné sur les CIS couvre ce que la plupart des assureurs demandent et produit un livrable en marque partagée que le FSG peut remettre au client.
Questions fréquentes
- Quelle est la différence entre les CIS Controls et les CIS Benchmarks?
- Les Controls sont les 18 exigences de sécurité priorisées de haut niveau. Les Benchmarks sont les guides de durcissement de configuration pour des systèmes précis qui mettent en pratique bon nombre d’entre elles.
- Qu’est-ce qui a changé dans la v8 par rapport à la v7?
- La version 8 a ramené 20 contrôles à 18, a introduit les groupes de mise en œuvre et s’est réorganisée autour de tâches comme la gestion des comptes plutôt qu’autour de types d’actifs.
- Les CIS sont-ils la même chose que le NIST CSF?
- Non. Le NIST CSF est un cadre de haut niveau axé sur les résultats. Les CIS forment un ensemble priorisé de contrôles précis. Les CIS figurent comme référence informative dans les correspondances du NIST CSF.