Ce que sont les CIS Controls
Le Center for Internet Security publie dix-huit contrôles, chacun divisé en mesures de protection (safeguards) : des actions précises comme tenir un inventaire des équipements, les configurer de manière sécurisée, gérer les vulnérabilités, encadrer les droits d’administration, conserver des journaux d’audit, protéger la messagerie et les navigateurs, se défendre contre les logiciels malveillants, restaurer les données, former le personnel, gérer les prestataires de services, tester les applications, répondre aux incidents et réaliser des tests d’intrusion. La version 8.1, parue en 2024, a aligné les mesures de protection sur le NIST Cybersecurity Framework 2.0 et ajouté la gouvernance comme fonction.
Les mesures de protection sont réparties en trois Implementation Groups. IG1 est le socle que toute organisation devrait atteindre. IG2 ajoute ce dont a besoin une organisation qui détient des données sensibles et dispose de son propre personnel informatique. IG3 s’adresse aux organisations confrontées à des attaquants déterminés.
Ce que demande un questionnaire fondé sur les CIS Controls
Les clients qui utilisent les CIS Controls, souvent dans le secteur public, la santé et les entreprises américaines, posent des questions qui ressemblent à une liste de contrôle : tenez-vous un inventaire de tous les équipements et logiciels de l’entreprise, en combien de temps les correctifs critiques sont-ils appliqués, l’authentification multifacteur est-elle exigée pour les accès à distance et d’administration, les journaux d’audit sont-ils conservés et pendant combien de temps, les sauvegardes sont-elles isolées et testées, quel Implementation Group atteignez-vous. Les questions sont concrètes, et les réponses attendues le sont tout autant.
Répondre en tant que fournisseur
Répondez à chaque mesure de protection en indiquant ce qui est fait, comment et à quelle fréquence, et où se trouve la preuve. « Correctifs critiques sous 14 jours, suivis dans le scanner de vulnérabilités, exceptions approuvées par le CTO » répond à une question sur les correctifs. Si vous vous évaluez par rapport aux Controls, indiquez quel Implementation Group vous atteignez et joignez l’évaluation ; le CIS publie un outil gratuit à cet effet. Lorsqu’une mesure de protection relève de votre hébergeur, comme les serveurs physiques, dites-le et citez sa certification.
Les réponses techniques recoupent presque tous les autres questionnaires. Les mêmes faits sur les correctifs, les accès, la journalisation et les sauvegardes répondent à ISO 27001, à SOC 2 et au SIG, alors conservez-les au même endroit.
Dans Responsemate
La réponse à chaque mesure de protection figure une seule fois dans la base de connaissances, avec la preuve et sa date d’expiration jointes, et chaque questionnaire est rédigé à partir d’elle avec les sources affichées sur la ligne. Les connaissances dans Responsemate.
Questions fréquentes
Pouvons-nous être certifiés selon les CIS Controls ?
Non. Il n’existe pas de certification CIS. Les clients demandent quel Implementation Group vous atteignez et des preuves des mesures de protection, et certains auditeurs évaluent la conformité aux contrôles dans le cadre d’autres missions.
Quel Implementation Group un petit fournisseur SaaS devrait-il viser ?
Au moins l’Implementation Group 1, que le Center for Internet Security qualifie d’hygiène cyber essentielle. La plupart des clients qui utilisent les CIS Controls attendent d’un fournisseur SaaS qu’il satisfasse entièrement à IG1 et en partie à IG2.