Contrôles CIS (CIS Critical Security Controls)

Les contrôles CIS sont un référentiel de mesures de sécurité classées par ordre de priorité, publié par le Center for Internet Security (CIS), organisation américaine à but non lucratif. Le référentiel est né à la fin des années 2000 sous le nom de « 20 contrôles critiques », longtemps diffusé par le SANS Institute, d'où le surnom de SANS Top 20 qu'on croise encore dans des questionnaires. La version 8, publiée en 2021, ramène la liste à 18 contrôles, chacun découpé en mesures de protection plus fines. Elle les répartit en trois groupes de mise en œuvre. Le groupe IG1 rassemble ce que le CIS appelle l'hygiène cyber essentielle, le minimum qu'il juge à la portée d'une entreprise sans équipe sécurité dédiée ; IG2 et IG3 s'ajoutent à mesure que la structure et la sensibilité des données grossissent. L'ordre dit quelque chose. L'inventaire des actifs matériels et celui des logiciels passent en premier, avant toute protection, sur l'idée qu'on ne protège pas ce qu'on ne connaît pas. À la différence de l'ISO 27001, qui fait certifier un système de management par un organisme accrédité, les contrôles CIS sont une liste de mesures techniques, et le CIS ne délivre pas de certificat de conformité à ses contrôles. Le souscripteur cyber y retrouve, dans un autre ordre, l'essentiel de son propre questionnaire : l'authentification multifacteur (MFA), les sauvegardes, la gestion des vulnérabilités, la journalisation. D'où la tentation, chez l'assuré, de répondre « nous sommes alignés CIS IG1 » en lieu et place du détail. Sans auditeur, la phrase ne prouve rien. Le souscripteur demande quelle autoévaluation a été faite, quand et par qui, puis vérifie au scan externe ce qui peut l'être, à commencer par les services exposés et la messagerie.