CIS Controls.
Hiérarchiser la cyberdéfense, justifier l’Implementation Group adapté et vérifier la mise en œuvre dans votre exploitation de manière traçable.
- CIS Critical Security Controls v8.1
- Par Jonathan Bezdek
- À jour au 22/10/2026
- Temps de lecture : 9 min
Réponse courte.
Les CIS Controls sont des recommandations prioritaires du Center for Internet Security pour la cyberdéfense. La version 8.1 organise 153 Safeguards en 18 domaines. Les Implementation Groups aident à démarrer selon les risques et les ressources disponibles. Les groupes sont cumulatifs ; une mise en œuvre documentée ne constitue automatiquement ni une certification ni la preuve de toutes les obligations légales.
Les CIS Controls v8.1 comme repères pratiques.
Les CIS Controls structurent le choix des pratiques de protection des systèmes et réseaux. Un Control est un domaine thématique ; les Safeguards associés décrivent des champs d’action plus précis. La page de l’éditeur sur v8.1 la présente comme une révision itérative de v8, notamment avec des termes précisés, des classes d’actifs adaptées et un lien au NIST CSF 2.0.
Ces recommandations ne constituent pas une obligation légale générale. Une organisation peut les adopter comme base de travail ; les clients ou contrats peuvent demander certaines preuves. La FAQ de CIS précise explicitement que les Controls ne remplacent pas les autres procédures réglementaires ou formelles de preuve. Le choix doit donc correspondre aux services propres et aux obligations supplémentaires.
Les CIS Controls et les CIS Benchmarks ont des fonctions différentes. Les Controls concernent les pratiques générales de protection, les Benchmarks la configuration sûre de produits et technologies précis. Un constat de configuration peut soutenir l’évaluation de mise en œuvre, mais ne répond pas à toutes les questions organisationnelles. L’éditeur décrit cette distinction dans sa FAQ Controls.
Choisir les Implementation Groups selon les risques et les ressources.
Les Implementation Groups aident des organisations de différentes tailles à hiérarchiser leurs actions. Selon la présentation CIS des groupes, le profil de risque et les ressources disponibles comptent. IG1 comprend 56 Safeguards fondamentaux ; CIS recommande ce point de départ à toute organisation. Des ressources de sécurité limitées expliquent cette orientation, mais ne constituent pas une exception générale aux risques supplémentaires ou aux exigences contractuelles.
IG2 ajoute 74 Safeguards à la sélection IG1 pour une complexité opérationnelle supérieure. La page de l’éditeur cite notamment des responsables informatiques internes, différents départements et des informations plus sensibles. IG2 ne signifie donc pas traiter uniquement les ajouts et omettre les fondamentaux. L’ensemble du périmètre convenu est déterminant.
IG3 ajoute 23 Safeguards et couvre ainsi les 153. CIS décrit notamment des compétences spécialisées en sécurité et la prise en compte d’attaques ciblées. Ces groupes ne sont pas une échelle générale de maturité : le choix d’un groupe ne dit à lui seul ni si ses mesures fonctionnent ni quels risques résiduels l’organisation a acceptés.
Les principaux domaines de la cyberdéfense.
Les six domaines suivants regroupent éditorialement le travail sur les CIS Controls ; ils ne constituent pas une nouvelle structure officielle du catalogue. La version publiée, l’Implementation Group convenu et l’exploitation considérée restent déterminants pour le choix concret.
Comprendre l’existant et les données.
Les décisions de protection nécessitent une vue traçable des systèmes, logiciels et informations réellement utilisés. Pour préparer le travail, les responsables doivent clarifier le service considéré et ses dépendances. Un inventaire perd sa valeur si les changements opérationnels n’y sont plus répercutés ou si personne ne peut juger de son exhaustivité.
Relier configuration sûre et traitement des vulnérabilités.
Configuration, logiciels pris en charge et traitement des vulnérabilités connues sont liés. Pour la mise en œuvre, il est recommandé de définir aussi la responsabilité et le circuit de changement, au-delà de la prescription technique. Les Benchmarks propres aux produits peuvent aider à évaluer une configuration ; ils ne remplacent pas le choix des systèmes et conditions opérationnelles inclus dans l’évaluation.
Gérer les identités et les accès.
Les habilitations doivent correspondre aux tâches et aux besoins de protection. Une évaluation pratique doit examiner les paramètres et les étapes d’arrivée, de mobilité et de départ des personnes. Un type de compte correctement configuré ne prouve pas que les accès obsolètes sont détectés et retirés de manière fiable ; des enregistrements opérationnels adaptés sont utiles pour cela.
Coordonner la surveillance et la réponse.
Les informations de sécurité doivent parvenir aux personnes capables de les évaluer et de les traiter. Clarifiez qui examine les alertes, comment un incident est transmis et qui assure la suppléance. La seule disponibilité d’un outil n’explique pas ces responsabilités. Un exercice de réponse peut montrer si le processus convenu fonctionne réellement.
Prendre en compte le rétablissement et les prestataires.
La prestation considérée dépend souvent de sauvegardes, de services externes et de circuits d’assistance convenus. Vérifiez concrètement qui peut rétablir quelle prestation lors d’une interruption et quelles informations sont nécessaires. Une preuve doit montrer le périmètre de votre usage ; le rapport d’un prestataire ne répond pas automatiquement à toutes les tâches de ses clients.
Associer les personnes et la vérification.
Les pratiques de protection nécessitent des tâches compréhensibles et une évaluation de leur mise en œuvre. Les équipes peuvent consigner qui fait fonctionner une mesure, quelle observation révèle son état et quand la réexaminer. Des adaptations sont utiles lorsque les services, menaces ou responsabilités changent. Un questionnaire rempli une seule fois ne reflète pas automatiquement ces évolutions.
Appliquer les CIS Controls par étapes.
Délimiter le service considéré.
Pour commencer concrètement, décrivez le service, ses systèmes, informations et dépendances externes de façon à donner une limite identifiable à l’évaluation ultérieure.
Justifier le groupe et les exigences supplémentaires.
Choisissez un Implementation Group selon les risques et ressources, puis consignez les exigences légales ou contractuelles supplémentaires à considérer séparément.
Convenir de la mise en œuvre et des responsabilités.
Traduisez la base de travail retenue en tâches concrètes et désignez pour chacune une personne disposant des responsabilités et pouvoirs adaptés.
Recueillir les enregistrements opérationnels.
Reliez la mise en œuvre aux configurations, enregistrements d’examen ou justificatifs de processus adaptés, en précisant leur périmètre et leur période.
Relier évaluation et amélioration.
Vérifiez la portée des preuves, traitez les écarts constatés et définissez comment l’efficacité d’une correction pourra être observée.
Revoir les décisions en cas de changement.
Réexaminez le choix, les responsabilités et les preuves lorsque le service, le profil de risque ou les ressources disponibles changent sensiblement.
La portée d’une évaluation CIS Controls.
Une évaluation est significative uniquement dans son périmètre décrit. Consignez la version et la sélection évaluées, les systèmes couverts et les preuves fondant le résultat. Une autoévaluation peut structurer le travail ; un label de groupe ou un score global isolé n’explique pas la mise en œuvre réelle.
La CIS Controls Assessment Specification fournit une base commune pour comprendre l’évaluation des Safeguards. La documentation publique propose une version pour v8.1. La procédure concrète et les échantillons nécessaires à votre objectif doivent être convenus avant l’examen ; cette présentation ne reproduit pas d’instructions détaillées de contrôle.
CIS Controls Accreditation concerne les prestataires qualifiés de mise en œuvre, d’audit ou d’évaluation. La page publique du programme décrit l’attestation de leurs compétences et le choix d’un prestataire adapté. Cela se distingue de l’évaluation de l’organisation cliente. Il n’en découle ni certificat général pour chaque utilisateur des Controls ni durée fixe de validité de ses propres enregistrements de mise en œuvre.
Examiner les autres référentiels en complément.
Le NIST CSF structure les résultats de sécurité souhaités, tandis que les CIS Controls aident à hiérarchiser les pratiques de protection. ISO 27001 traite du système de management et de sa certification indépendante. NIST SP 800-53 propose un catalogue plus large de contrôles de sécurité et de protection des données. PCI DSS impose des exigences distinctes de protection des données de cartes de paiement ; une sélection de Controls ne remplace pas la preuve correspondante.
Dans Secani.
Secani propose son propre catalogue éditorial pour les entreprises, fondé sur CIS Controls v8.1. Les informations de profil recensent notamment l’Implementation Group convenu, le cloud, l’OT et le développement logiciel interne. Les groupes sont traités comme une hiérarchisation cumulative, sans constituer une certification ou une évaluation de maturité ; le catalogue n’est pas une traduction officielle de CIS et sa validation spécialisée indépendante reste à effectuer.
Commencer par une base de travail justifiée.
Choisissez un service dont les pratiques de protection doivent être améliorées de manière traçable. Convenez avec les responsables du périmètre, de la version retenue et de l’Implementation Group adapté. Consignez qui décide des mesures supplémentaires ou des risques acceptés.
Examinez ensuite les preuves opérationnelles déjà disponibles pour ce périmètre et les affirmations qu’elles permettent. Planifiez les travaux manquants avec des responsables et des échéances. Vous obtenez une tâche vérifiable avant d’étendre un vaste programme de mesures à toute l’organisation.
Sources.
- CIS Controls v8.1 – présentation de l’éditeur
- CIS – Implementation Groups
- CIS – Implementation Group 1
- CIS – Implementation Group 2
- CIS – Implementation Group 3
- FAQ CIS Controls – positionnement et Benchmarks
- CIS Controls Assessment Specification v8.1
- CIS Controls Accreditation – prestataires de services d’évaluation
Questions fréquentes.
Non. Les Implementation Groups hiérarchisent une sélection cumulative selon les risques et les ressources ; ils ne constituent ni une échelle de certification ni une échelle générale de maturité.
Oui. IG2 ajoute 74 Safeguards aux 56 d’IG1 ; IG3 en ajoute ensuite 23 et couvre ainsi les 153.
Non. Les Controls décrivent les pratiques générales de protection, les Benchmarks le durcissement de produits et technologies précis ; un contrôle de configuration n’évalue donc pas automatiquement toute la mise en œuvre des Controls.
Non. Une base de travail choisie parmi les Controls et l’évaluation indépendante d’un SMSI expriment des conclusions différentes ; les exigences supplémentaires de preuve légales ou contractuelles restent à examiner séparément.
Hiérarchiser la protection de manière traçable.
Discutons de la manière de traiter votre périmètre choisi, les responsabilités et les preuves dans Secani.
Cette page explique les CIS Controls dans ses propres termes et ne remplace ni les publications de l’éditeur ni une évaluation spécialisée. La version convenue, le périmètre considéré et les exigences applicables font foi.