Les 18 CIS Controls et groupes IG1 à IG3
Comprendre la structure des 18 CIS Controls et prioriser leur mise en œuvre par groupes d'implémentation.
À retenir
- Les CIS Controls v8 comptent 18 mesures, déclinées en safeguards classés IG1/IG2/IG3.
- IG1 est le socle de cyber-hygiène essentielle recommandé pour toute organisation.
- L'inventaire des actifs matériels et logiciels (Contrôles 1 et 2) conditionne l'efficacité des autres mesures.
- L'outil CIS CSAT permet de mesurer l'écart d'implémentation et de prioriser la remédiation.
Un référentiel priorisé, pas une simple check-list
Le Center for Internet Security publie les CIS Critical Security Controls (CIS Controls v8), un ensemble de 18 mesures de sécurité couvrant l'inventaire des actifs, la gestion des vulnérabilités, le contrôle des accès ou encore la réponse aux incidents. Contrairement à un référentiel exhaustif comme NIST SP 800-53, les CIS Controls sont pensés pour être appliqués progressivement, selon la maturité et les ressources de l'organisation.
Les groupes d'implémentation (IG)
Chaque sous-mesure (safeguard) est classée dans un ou plusieurs groupes :
| Groupe | Profil organisationnel | Objectif |
|---|---|---|
| IG1 | Petite structure, ressources limitées, faible exposition | Cyber-hygiène essentielle : ~56 safeguards |
| IG2 | Organisation avec équipe IT dédiée, données sensibles | Défense en profondeur : ajoute ~74 safeguards |
| IG3 | Grande organisation, cible d'attaques ciblées, forte exigence réglementaire | Résilience avancée : ajoute ~23 safeguards |
Point clé
IG1 constitue le socle minimal recommandé pour toute organisation, quelle que soit sa taille — il correspond à ce que le CIS appelle la « cyber-hygiène essentielle ».
Les 18 contrôles en un coup d'œil
- Inventaire et contrôle des actifs matériels
- Inventaire et contrôle des actifs logiciels
- Protection des données
- Configuration sécurisée des actifs et logiciels
- Gestion des comptes
- Gestion des accès à privilèges
- Gestion continue des vulnérabilités
- Gestion des journaux d'audit
- Protection des navigateurs et de la messagerie
- Défense contre les malwares
- Sauvegarde des données
- Gestion de l'infrastructure réseau
- Surveillance et défense du réseau
- Sensibilisation et formation à la sécurité
- Gestion des prestataires
- Sécurité des applications
- Gestion des incidents
- Tests d'intrusion
Attention
un déploiement « à la carte » sans respecter la logique IG1 → IG2 → IG3 conduit souvent à des angles morts : une organisation peut investir dans un SOC avancé (IG3) tout en négligeant l'inventaire des actifs (IG1), qui est pourtant le fondement de tout le reste.
Pourquoi commencer par l'inventaire
Les Contrôles 1 et 2 (inventaire matériel et logiciel) sont volontairement en tête de liste : on ne peut protéger que ce que l'on connaît. Un actif non inventorié — un serveur de test oublié, une application shadow IT — devient statistiquement le point d'entrée le plus probable d'un incident.
Sur le terrain
dans les audits CIS que nous menons, le contrôle le plus souvent en échec chez les organisations de taille moyenne n'est pas un contrôle technique avancé, mais l'inventaire logiciel : plus de la moitié des postes analysés font remonter des applications non répertoriées par l'équipe IT.
Mesurer l'écart avec les CIS Controls Self Assessment Tool
Le CIS met à disposition un outil gratuit (CIS CSAT) permettant de suivre, safeguard par safeguard, le niveau d'implémentation réel par rapport à la cible IG choisie, et de générer un plan de remédiation priorisé.
Astuce
avant un audit externe, faites tourner une auto-évaluation CIS CSAT en interne ; les écarts identifiés en amont sont bien moins coûteux à corriger que ceux découverts par un auditeur.