18 Controls
Le niveau supérieur regroupe des objectifs de protection apparentés – de l'inventaire au contrôle d'accès et à la protection des données, jusqu'à la réponse aux incidents et aux tests d'intrusion.
GRC · Gestion des risques
CIS Critical Security Controls Une cyber-hygiène priorisée et efficace
Les CIS Controls v8.1 traduisent des exigences de conformité abstraites en 18 mesures concrètes, priorisées selon leur impact. Nous vous amenons méthodiquement au niveau de cyber-hygiène essentielle (IG1) et au-delà.
v8.1 (2024)Version actuelle, publiée le 25 juin 2024
18 / 153Controls et Safeguards (mesures)
Non certifiableCadre de bonnes pratiques neutre vis-à-vis des éditeurs
Socle pour NIS2Couche de mesures priorisées sous ISO 27001 et NIS2
Ce qu'apportent les CIS Controls
Les CIS Critical Security Controls (publiés par le Center for Internet Security, CIS) sont un catalogue priorisé et neutre de mesures de sécurité. Au lieu de demander « Qu'exige la norme ? », ils répondent à la question pratique « Qu'est-ce qui nous protège en premier et le plus efficacement ? ». La version actuelle 8.1 s'articule en 18 Controls et 153 Safeguards (mesures individuelles concrètes).
Le cœur du dispositif est la priorisation via trois Implementation Groups (IG1–IG3). L'IG1 définit la cyber-hygiène essentielle pour les petites organisations aux ressources limitées, tandis que l'IG2 et l'IG3 s'adressent aux environnements plus matures et critiques. Les CIS Controls ne sont donc pas une contrainte de conformité supplémentaire, mais une feuille de route de mise en œuvre pragmatique sous ISO 27001, NIS2 et DORA.
La structure des CIS Controls v8.1
Cinq composants qui transforment un catalogue en une feuille de route robuste.
153 Safeguards
Chaque Control se décline en mesures individuelles concrètes, actionnables et mesurables (Safeguards). Cette granularité rend le progrès démontrable.
Implementation Group 1 (IG1)
Cyber-hygiène essentielle : le sous-ensemble de Safeguards que toute organisation devrait mettre en œuvre comme socle. Le point d'entrée pragmatique.
Implementation Groups 2 et 3
L'IG2 pour les organisations traitant des données sensibles et comptant plusieurs services ; l'IG3 pour les environnements matures ou critiques au profil de menace élevé.
Fonction de gouvernance (nouveauté v8.1)
La version 8.1 ajoute la fonction de sécurité « Govern » dans la lignée du NIST CSF 2.0, renforçant le pilotage organisationnel.
Mapping actualisé
La v8.1 comprend des correspondances réalignées, notamment vers le NIST CSF 2.0, ainsi que des classes d'actifs précisées pour une affectation plus nette des mesures.
Le pont vers vos obligations
Pourquoi les CIS Controls sont la voie la plus rapide vers une conformité robuste.
NIS2 et loi nationale sur la sécurité
NIS2 exige des mesures techniques « appropriées et proportionnées » sans les nommer en détail. Les CIS Controls fournissent précisément cette couche de mesures concrètes et priorisées comme preuve.
ISO/IEC 27001
Là où ISO 27001 décrit le système de management et le « quoi », les CIS Controls livrent le « comment » opérationnel. Les Safeguards se rattachent directement aux mesures de l'Annexe A.
DORA et CRA
Qu'il s'agisse de résilience opérationnelle numérique (DORA) ou de sécurité produit (Cyber Resilience Act) : l'inventaire, la gestion des correctifs et le contrôle d'accès de l'IG1 constituent le socle technique commun.
NIST CSF 2.0, PCI DSS et RGPD
Grâce au mapping fourni, des Safeguards mises en œuvre une seule fois servent de preuve pour plusieurs cadres à la fois – « mettre en œuvre une fois, prouver plusieurs fois ».
Notre démarche
De l'état des lieux à une cyber-hygiène démontrable – en quatre étapes.
01
1 · Analyse d'écart par rapport à l'IG1
Nous évaluons votre état actuel au regard des Safeguards IG1 et identifions les lacunes les plus critiques – priorisées par risque et effort.
02
2 · Feuille de route priorisée
Vous recevez une feuille de route actionnable : quelles Safeguards d'abord, à quel effort, avec quel impact et quelle responsabilité (RACI).
03
3 · Mise en œuvre et automatisation
Nous accompagnons la réalisation technique – inventaire, gestion des correctifs et des vulnérabilités, MFA, sauvegarde – et automatisons la mesure.
04
4 · Preuve et montée en maturité
Un reporting continu atteste de votre maturité et bâtit le pont vers l'IG2/IG3 ainsi que vers ISO 27001 et NIS2.
Auto-évaluation : atteignez-vous l'IG1 (cyber-hygiène essentielle) ?
Quatre questions sur les piliers porteurs de l'Implementation Group 1. Répondez honnêtement par Oui, Partiellement ou Non.
1Tenez-vous un inventaire à jour de tous les actifs matériels et des logiciels autorisés (y compris les services cloud) ?
2Exploitez-vous une gestion centralisée et continue des vulnérabilités et des correctifs avec des délais définis ?
3L'authentification multifacteur (MFA) est-elle active pour tous les accès pertinents, et le contrôle d'accès suit-il le moindre privilège ?
4Réalisez-vous des sauvegardes régulières – et en avez-vous testé la restauration de manière démontrable ?
L'auto-évaluation est une première orientation et ne remplace pas une évaluation complète des 153 Safeguards.
Ressources et thèmes connexes
Sources primaires sur le standard et services VamiSec adaptés.
Sources primaires (externes)
CIS Critical Security Controls v8.1 Page de présentation officielle du Center for Internet Security sur la version actuelle 8.1.CIS Controls – Téléchargement et guide Liste complète des 18 Controls et 153 Safeguards, avec l'affectation aux Implementation Groups.CIS Implementation Groups Explication des trois Implementation Groups (IG1–IG3) et de leur logique de priorisation.
Services VamiSec adaptés
Questions fréquentes
Les questions essentielles sur les CIS Controls, en bref.
Peut-on se faire certifier selon les CIS Controls ?
Non. Les CIS Controls sont un cadre de bonnes pratiques neutre et non certifiable. Ils fournissent toutefois la couche de mesures priorisées qui étaie opérationnellement une certification ISO 27001 ou une attestation NIS2.
Quelle est la différence entre les CIS Controls et ISO 27001 ?
ISO 27001 décrit un système de management et le « quoi » de la sécurité de l'information. Les CIS Controls concrétisent le « comment » opérationnel par des mesures priorisées et techniques – les deux se complètent idéalement.
Que signifie l'Implementation Group 1 (IG1) ?
L'IG1 est le sous-ensemble de Safeguards considéré comme la cyber-hygiène essentielle. C'est le point d'entrée pragmatique pour les petites organisations et il protège déjà contre les schémas d'attaque les plus courants.
Quelles nouveautés dans la version 8.1 par rapport à la v8 ?
La version 8.1 (juin 2024) ajoute la fonction de sécurité « Govern », précise les classes d'actifs et met à jour les correspondances – notamment l'alignement sur le NIST CSF 2.0. La structure (18 Controls) et le décompte restent inchangés.
Les CIS Controls aident-ils à la mise en œuvre de NIS2 ?
Oui. NIS2 exige des mesures techniques appropriées sans les nommer en détail. Les CIS Controls – l'IG1 en particulier – fournissent précisément cette couche de mesures concrètes, priorisées et démontrables.
Portez votre cyber-hygiène à un niveau démontrable
Nous évaluons votre maturité au regard des CIS Controls v8.1, priorisons les étapes les plus efficaces et accompagnons la mise en œuvre jusqu'à une preuve robuste.