Comparaison
ISO 27001 vs CIS Controls : le système de management rencontre la référence technique de base
ISO/IEC 27001:2022 · CIS Controls v8.1 · données du 2026-10-27
Par Paul Gillet · Mis à jour le 2026-10-17
La norme ISO/IEC 27001 et les CIS Critical Security Controls répondent à des problèmes différents. ISO 27001 est un système de management certifiable : il vous oblige à identifier les risques, à choisir des mesures de sécurité et à prouver que vous les appliquez. CIS Controls v8.1 est une référence technique hiérarchisée : 18 contrôles et 153 mesures de sauvegarde, regroupés en Groupes de mise en œuvre afin que les organisations de plus petite taille sachent par où commencer.
En passant d'ISO 27001 à CIS, chaque mesure de sauvegarde CIS correspond à un élément de l'ISO dans nos données, car l'Annexe A couvre les mêmes domaines à un niveau plus général : inventaire des actifs, accès, journalisation, gestion des vulnérabilités, logiciels malveillants, sauvegardes. CIS apporte en plus de la précision, comme les outils de découverte automatisée, la journalisation des lignes de commande ou la détection comportementale des logiciels malveillants. Une organisation ISO devrait donc utiliser CIS comme liste de contrôle pour déterminer jusqu'où chaque mesure doit aller. La plupart des liens CIS relèvent de l'éditorial de ControlMapping, car la correspondance publiée par CIS elle-même ne couvre que 49 mesures de sauvegarde.
En passant de CIS à ISO 27001, le travail nouveau porte sur le système de management (périmètre, objectifs, appréciation et traitement des risques, déclaration d'applicabilité, audit interne, revue de direction), ainsi que sur des domaines que CIS laisse de côté : sécurité physique, renseignement sur les menaces, gestion des changements et obligations légales telles que la protection de la vie privée.
En bref
| ISO 27001 | CIS v8.1 | |
|---|---|---|
| Nature | Norme de système de management certifiable | Mesures techniques de sécurité hiérarchisées |
| Certification | Oui | Non |
| Structure | Articles 4 à 10 et 93 mesures de l'Annexe A | 18 contrôles, 153 mesures de sauvegarde, 3 Groupes de mise en œuvre |
| Coût d'utilisation | Norme vendue par l'ISO, audits en sus | Utilisation gratuite (CC BY-NC-ND) |
Points clés à retenir
- Utilisez CIS IG1 à IG2 comme plan de mise en œuvre technique au sein d'un SMSI ISO 27001.
- CIS vers ISO : prévoyez un budget pour les articles du SMSI et pour la sécurité physique.
- ISO vers CIS : attendez-vous à peu de sujets nouveaux, mais à des paramétrages techniques plus approfondis et plus précis.
Télécharger cette comparaison (CSV) Ouvrir dans l'analyse des écarts →
Avoir ISO 27001 → viser CIS v8.1
153 exig. 153 mis en correspondance · · 0 sans correspondance Ouvrir dans la vue des écarts →Sur 153 exigences CIS Controls v8.1, 153 correspondent à un élément de ISO 27001, 0 sont seulement faiblement liées et 0 n'ont aucune correspondance dans nos données.
Le crosswalk publié par le CIS couvre 49 des 153 mesures de sauvegarde ; ControlMapping a établi les autres liens par jugement éditorial, avec une justification pour chacun. Vérifiez-les avant de vous y fier.
Mis en correspondance (153)
| CIS v8.1 | Exigence | Correspondance | ISO 27001 | Preuves |
|---|---|---|---|---|
| 1. Inventory and Control of Enterprise Assets · 5 | ||||
| CIS 1.1 | Establish and Maintain Detailed Enterprise Asset Inventory | Correspondance | A.5.9A.5.11A.7.14 | Même sujet : Gestion des actifs |
| CIS 1.2 | Address Unauthorized Assets | Éditorial | A.5.9A.5.11A.7.14 | Même sujet : Gestion des actifs (choix de la rédaction) |
| CIS 1.3 | Utilize an Active Discovery Tool | Éditorial | A.5.9A.5.11A.7.14 | Même sujet : Gestion des actifs (choix de la rédaction) |
| CIS 1.4 | Use Dynamic Host Configuration Protocol (DHCP) Logging to Update Enterprise Asset Inventory | Éditorial | A.5.9A.5.11A.7.14 | Même sujet : Gestion des actifs (choix de la rédaction) |
| CIS 1.5 | Use a Passive Asset Discovery Tool | Éditorial | A.5.9A.5.11A.7.14 | Même sujet : Gestion des actifs (choix de la rédaction) |
| 2. Inventory and Control of Software Assets · 7 | ||||
| CIS 2.1 | Establish and Maintain a Software Inventory | Correspondance | A.5.9A.5.11A.7.14 | Même sujet : Gestion des actifs |
| CIS 2.2 | Ensure Authorized Software is Currently Supported | Correspondance | A.8.8 | Même sujet : Gestion des correctifs |
| CIS 2.3 | Address Unauthorized Software | Éditorial | A.5.9A.5.11A.7.14 | Même sujet : Gestion des actifs (choix de la rédaction) |
| CIS 2.4 | Utilize Automated Software Inventory Tools | Éditorial | A.5.9A.5.11A.7.14 | Même sujet : Gestion des actifs (choix de la rédaction) |
| CIS 2.5 | Allowlist Authorized Software | Correspondance | A.8.19A.8.1A.8.7 | Même sujet : Protection des terminaux |
| CIS 2.6 | Allowlist Authorized Libraries | Éditorial | A.8.1A.8.7A.8.19 | Même sujet : Protection des terminaux (choix de la rédaction) |
| CIS 2.7 | Allowlist Authorized Scripts | Éditorial | A.8.1A.8.7A.8.19 | Même sujet : Protection des terminaux (choix de la rédaction) |
| 3. Data Protection · 14 | ||||
| CIS 3.1 | Establish and Maintain a Data Management Process | Éditorial | A.5.14A.8.10A.8.11 | Même sujet : Protection des données (choix de la rédaction) |
| CIS 3.2 | Establish and Maintain a Data Inventory | Correspondance | A.5.12A.5.13 | Même sujet : Classification des données |
| CIS 3.3 | Configure Data Access Control Lists | Correspondance | A.5.15A.5.16A.5.18+1 | Même sujet : Contrôle d'accès |
| CIS 3.4 | Enforce Data Retention | Éditorial | A.5.14A.8.10A.8.11 | Même sujet : Protection des données (choix de la rédaction) |
| CIS 3.5 | Securely Dispose of Data | Éditorial | A.5.14A.8.10A.8.11 | Même sujet : Protection des données (choix de la rédaction) |
| CIS 3.6 | Encrypt Data on End-User Devices | Éditorial | A.8.24 | Même sujet : Chiffrement (choix de la rédaction) |
| CIS 3.7 | Establish and Maintain a Data Classification Scheme | Correspondance | A.5.12A.5.13 | Même sujet : Classification des données |
| CIS 3.8 | Document Data Flows | Éditorial | A.5.12A.5.13 | Même sujet : Classification des données (choix de la rédaction) |
| CIS 3.9 | Encrypt Data on Removable Media | Éditorial | A.8.24 | Même sujet : Chiffrement (choix de la rédaction) |
| CIS 3.10 | Encrypt Sensitive Data in Transit | Correspondance | A.8.24 | Même sujet : Chiffrement |
| CIS 3.11 | Encrypt Sensitive Data at Rest | Correspondance | A.5.14A.8.10A.8.11+1 | Même sujet : Protection des données |
| CIS 3.12 | Segment Data Processing and Storage Based on Sensitivity | Éditorial | A.5.14A.8.10A.8.11 | Même sujet : Protection des données (choix de la rédaction) |
| CIS 3.13 | Deploy a Data Loss Prevention Solution | Éditorial | A.8.12 | Même sujet : DLP (choix de la rédaction) |
| CIS 3.14 | Log Sensitive Data Access | Éditorial | A.8.15A.8.17 | Même sujet : Journalisation et audit (choix de la rédaction) |
| 4. Secure Configuration of Enterprise Assets and Software · 12 | ||||
| CIS 4.1 | Establish and Maintain a Secure Configuration Process | Correspondance | A.8.9 | Même sujet : Configuration sécurisée |
| CIS 4.2 | Establish and Maintain a Secure Configuration Process for Network Infrastructure | Correspondance | A.8.9 | Même sujet : Configuration sécurisée |
| CIS 4.3 | Configure Automatic Session Locking on Enterprise Assets | Éditorial | A.8.9 | Même sujet : Configuration sécurisée (choix de la rédaction) |
| CIS 4.4 | Implement and Manage a Firewall on Servers | Éditorial | A.8.20A.8.21A.8.22 | Même sujet : Pare-feu / Segmentation réseau (choix de la rédaction) |
| CIS 4.5 | Implement and Manage a Firewall on End-User Devices | Éditorial | A.8.20A.8.21A.8.22 | Même sujet : Pare-feu / Segmentation réseau (choix de la rédaction) |
| CIS 4.6 | Securely Manage Enterprise Assets and Software | Éditorial | A.8.9 | Même sujet : Configuration sécurisée (choix de la rédaction) |
| CIS 4.7 | Manage Default Accounts on Enterprise Assets and Software | Éditorial | A.8.9 | Même sujet : Configuration sécurisée (choix de la rédaction) |
| CIS 4.8 | Uninstall or Disable Unnecessary Services on Enterprise Assets and Software | Éditorial | A.8.9 | Même sujet : Configuration sécurisée (choix de la rédaction) |
| CIS 4.9 | Configure Trusted DNS Servers on Enterprise Assets | Éditorial | A.8.20A.8.21 | Même sujet : Sécurité DNS (choix de la rédaction) |
| CIS 4.10 | Enforce Automatic Device Lockout on Portable End-User Devices | Éditorial | A.6.7A.8.1 | Même sujet : Sécurité mobile (choix de la rédaction) |
| CIS 4.11 | Enforce Remote Wipe Capability on Portable End-User Devices | Éditorial | A.6.7A.8.1 | Même sujet : Sécurité mobile (choix de la rédaction) |
| CIS 4.12 | Separate Enterprise Workspaces on Mobile End-User Devices | Éditorial | A.6.7A.8.1 | Même sujet : Sécurité mobile (choix de la rédaction) |
| 5. Account Management · 6 | ||||
| CIS 5.1 | Establish and Maintain an Inventory of Accounts | Correspondance | A.5.15A.5.16A.5.18+1 | Même sujet : Contrôle d'accès |
| CIS 5.2 | Use Unique Passwords | Éditorial | A.5.15A.5.16A.5.18+1 | Même sujet : Contrôle d'accès (choix de la rédaction) |
| CIS 5.3 | Disable Dormant Accounts | Éditorial | A.5.15A.5.16A.5.18+1 | Même sujet : Contrôle d'accès (choix de la rédaction) |
| CIS 5.4 | Restrict Administrator Privileges to Dedicated Administrator Accounts | Éditorial | A.8.2A.8.18 | Même sujet : Accès privilégiés (choix de la rédaction) |
| CIS 5.5 | Establish and Maintain an Inventory of Service Accounts | Éditorial | A.5.15A.5.16A.5.18+1 | Même sujet : Contrôle d'accès (choix de la rédaction) |
| CIS 5.6 | Centralize Account Management | Correspondance | A.5.15A.5.16A.5.18+1 | Même sujet : Contrôle d'accès |
| 6. Access Control Management · 8 | ||||
| CIS 6.1 | Establish an Access Granting Process | Éditorial | A.5.15A.5.16A.5.18+1 | Même sujet : Contrôle d'accès (choix de la rédaction) |
| CIS 6.2 | Establish an Access Revoking Process | Éditorial | A.5.15A.5.16A.5.18+1 | Même sujet : Contrôle d'accès (choix de la rédaction) |
| CIS 6.3 | Require MFA for Externally-Exposed Applications | Éditorial | A.8.5 | Même sujet : Authentification multifacteur (choix de la rédaction) |
| CIS 6.4 | Require MFA for Remote Network Access | Éditorial | A.8.5 | Même sujet : Authentification multifacteur (choix de la rédaction) |
| CIS 6.5 | Require MFA for Administrative Access | Éditorial | A.8.5 | Même sujet : Authentification multifacteur (choix de la rédaction) |
| CIS 6.6 | Establish and Maintain an Inventory of Authentication and Authorization Systems | Éditorial | A.5.15A.5.16A.5.18+1 | Même sujet : Contrôle d'accès (choix de la rédaction) |
| CIS 6.7 | Centralize Access Control | Correspondance | A.5.15A.5.16A.5.18+1 | Même sujet : Contrôle d'accès |
| CIS 6.8 | Define and Maintain Role-Based Access Control | Correspondance | A.5.15A.5.16A.5.18+3 | Même sujet : Contrôle d'accès, Zero Trust |
| 7. Continuous Vulnerability Management · 7 | ||||
| CIS 7.1 | Establish and Maintain a Vulnerability Management Process | Correspondance | A.8.8 | Même sujet : Gestion des vulnérabilités |
| CIS 7.2 | Establish and Maintain a Remediation Process | Correspondance | A.8.8 | Même sujet : Gestion des vulnérabilités |
| CIS 7.3 | Perform Automated Operating System Patch Management | Éditorial | A.8.8 | Même sujet : Gestion des correctifs (choix de la rédaction) |
| CIS 7.4 | Perform Automated Application Patch Management | Éditorial | A.8.8 | Même sujet : Gestion des correctifs (choix de la rédaction) |
| CIS 7.5 | Perform Automated Vulnerability Scans of Internal Enterprise Assets | Éditorial | A.8.8 | Même sujet : Gestion des vulnérabilités (choix de la rédaction) |
| CIS 7.6 | Perform Automated Vulnerability Scans of Externally-Exposed Enterprise Assets | Éditorial | A.8.8 | Même sujet : Gestion des vulnérabilités (choix de la rédaction) |
| CIS 7.7 | Remediate Detected Vulnerabilities | Éditorial | A.8.8 | Même sujet : Gestion des vulnérabilités (choix de la rédaction) |
| 8. Audit Log Management · 12 | ||||
| CIS 8.1 | Establish and Maintain an Audit Log Management Process | Éditorial | A.8.15A.8.17 | Même sujet : Journalisation et audit (choix de la rédaction) |
| CIS 8.2 | Collect Audit Logs | Correspondance | A.8.15A.8.17 | Même sujet : Journalisation et audit |
| CIS 8.3 | Ensure Adequate Audit Log Storage | Éditorial | A.8.15A.8.17 | Même sujet : Journalisation et audit (choix de la rédaction) |
| CIS 8.4 | Standardize Time Synchronization | Éditorial | A.8.15A.8.17 | Même sujet : Journalisation et audit (choix de la rédaction) |
| CIS 8.5 | Collect Detailed Audit Logs | Éditorial | A.8.15A.8.17 | Même sujet : Journalisation et audit (choix de la rédaction) |
| CIS 8.6 | Collect DNS Query Audit Logs | Éditorial | A.8.20A.8.21 | Même sujet : Sécurité DNS (choix de la rédaction) |
| CIS 8.7 | Collect URL Request Audit Logs | Éditorial | A.8.15A.8.17 | Même sujet : Journalisation et audit (choix de la rédaction) |
| CIS 8.8 | Collect Command-Line Audit Logs | Éditorial | A.8.15A.8.17 | Même sujet : Journalisation et audit (choix de la rédaction) |
| CIS 8.9 | Centralize Audit Logs | Éditorial | A.5.25A.8.16 | Même sujet : SIEM / SOC (choix de la rédaction) |
| CIS 8.10 | Retain Audit Logs | Éditorial | A.8.15A.8.17 | Même sujet : Journalisation et audit (choix de la rédaction) |
| CIS 8.11 | Conduct Audit Log Reviews | Correspondance | A.8.16 | Même sujet : Détection d'anomalies |
| CIS 8.12 | Collect Service Provider Logs | Éditorial | A.8.15A.8.17 | Même sujet : Journalisation et audit (choix de la rédaction) |
| 9. Email and Web Browser Protections · 7 | ||||
| CIS 9.1 | Ensure Use of Only Fully Supported Browsers and Email Clients | Éditorial | A.5.14 | Même sujet : Sécurité de la messagerie (choix de la rédaction) |
| CIS 9.2 | Use DNS Filtering Services | Éditorial | A.8.20A.8.21 | Même sujet : Sécurité DNS (choix de la rédaction) |
| CIS 9.3 | Maintain and Enforce Network-Based URL Filters | Éditorial | A.8.26 | Même sujet : Sécurité web (choix de la rédaction) |
| CIS 9.4 | Restrict Unnecessary or Unauthorized Browser and Email Client Extensions | Éditorial | A.5.14 | Même sujet : Sécurité de la messagerie (choix de la rédaction) |
| CIS 9.5 | Implement DMARC | Éditorial | A.5.14 | Même sujet : Sécurité de la messagerie (choix de la rédaction) |
| CIS 9.6 | Block Unnecessary File Types | Éditorial | A.5.14 | Même sujet : Sécurité de la messagerie (choix de la rédaction) |
| CIS 9.7 | Deploy and Maintain Email Server Anti-Malware Protections | Éditorial | A.5.14 | Même sujet : Sécurité de la messagerie (choix de la rédaction) |
| 10. Malware Defenses · 7 | ||||
| CIS 10.1 | Deploy and Maintain Anti-Malware Software | Correspondance | A.8.19A.8.1A.8.7 | Même sujet : Protection des terminaux |
| CIS 10.2 | Configure Automatic Anti-Malware Signature Updates | Éditorial | A.8.1A.8.7A.8.19 | Même sujet : Protection des terminaux (choix de la rédaction) |
| CIS 10.3 | Disable Autorun and Autoplay for Removable Media | Éditorial | A.8.1A.8.7A.8.19 | Même sujet : Protection des terminaux (choix de la rédaction) |
| CIS 10.4 | Configure Automatic Anti-Malware Scanning of Removable Media | Éditorial | A.8.1A.8.7A.8.19 | Même sujet : Protection des terminaux (choix de la rédaction) |
| CIS 10.5 | Enable Anti-Exploitation Features | Éditorial | A.8.1A.8.7A.8.19 | Même sujet : Protection des terminaux (choix de la rédaction) |
| CIS 10.6 | Centrally Manage Anti-Malware Software | Éditorial | A.8.1A.8.7A.8.19 | Même sujet : Protection des terminaux (choix de la rédaction) |
| CIS 10.7 | Use Behavior-Based Anti-Malware Software | Éditorial | A.8.1A.8.7A.8.19 | Même sujet : Protection des terminaux (choix de la rédaction) |
| 11. Data Recovery · 5 | ||||
| CIS 11.1 | Establish and Maintain a Data Recovery Process | Éditorial | A.5.29A.5.30A.8.14 | Même sujet : Planification de la reprise, Reprise après sinistre (choix de la rédaction) |
| CIS 11.2 | Perform Automated Backups | Correspondance | A.8.13 | Même sujet : Sauvegarde et restauration |
| CIS 11.3 | Protect Recovery Data | Correspondance | A.8.13 | Même sujet : Sauvegarde et restauration |
| CIS 11.4 | Establish and Maintain an Isolated Instance of Recovery Data | Éditorial | A.8.13 | Même sujet : Sauvegarde et restauration (choix de la rédaction) |
| CIS 11.5 | Test Data Recovery | Correspondance | A.8.13 | Même sujet : Sauvegarde et restauration |
| 12. Network Infrastructure Management · 8 | ||||
| CIS 12.1 | Ensure Network Infrastructure is Up-to-Date | Éditorial | A.8.8 | Même sujet : Gestion des correctifs (choix de la rédaction) |
| CIS 12.2 | Establish and Maintain a Secure Network Architecture | Correspondance | A.5.15A.8.5A.8.20+2 | Même sujet : Zero Trust, Pare-feu / Segmentation réseau |
| CIS 12.3 | Securely Manage Network Infrastructure | Éditorial | A.8.20A.8.21A.8.22 | Même sujet : Pare-feu / Segmentation réseau (choix de la rédaction) |
| CIS 12.4 | Establish and Maintain Architecture Diagram(s) | Éditorial | A.8.20A.8.21A.8.22 | Même sujet : Pare-feu / Segmentation réseau (choix de la rédaction) |
| CIS 12.5 | Centralize Network Authentication, Authorization, and Auditing (AAA) | Éditorial | A.5.15A.5.16A.5.18+1 | Même sujet : Contrôle d'accès (choix de la rédaction) |
| CIS 12.6 | Use of Secure Network Management and Communication Protocols | Éditorial | A.8.20A.8.21A.8.22 | Même sujet : Pare-feu / Segmentation réseau (choix de la rédaction) |
| CIS 12.7 | Ensure Remote Devices Utilize a VPN and are Connecting to an Enterprise's AAA Infrastructure | Éditorial | A.5.15A.8.5A.8.22 | Même sujet : Zero Trust (choix de la rédaction) |
| CIS 12.8 | Establish and Maintain Dedicated Computing Resources for All Administrative Work | Éditorial | A.8.2A.8.18 | Même sujet : Accès privilégiés (choix de la rédaction) |
| 13. Network Monitoring and Defense · 11 | ||||
| CIS 13.1 | Centralize Security Event Alerting | Correspondance | A.8.16A.5.25 | Même sujet : Surveillance continue, SIEM / SOC |
| CIS 13.2 | Deploy a Host-Based Intrusion Detection Solution | Éditorial | A.8.16 | Même sujet : Détection d'intrusion (choix de la rédaction) |
| CIS 13.3 | Deploy a Network Intrusion Detection Solution | Éditorial | A.8.16 | Même sujet : Détection d'intrusion (choix de la rédaction) |
| CIS 13.4 | Perform Traffic Filtering Between Network Segments | Éditorial | A.8.20A.8.21A.8.22 | Même sujet : Pare-feu / Segmentation réseau (choix de la rédaction) |
| CIS 13.5 | Manage Access Control for Remote Assets | Éditorial | A.5.15A.8.5A.8.22 | Même sujet : Zero Trust (choix de la rédaction) |
| CIS 13.6 | Collect Network Traffic Flow Logs | Éditorial | A.8.16 | Même sujet : Surveillance continue (choix de la rédaction) |
| CIS 13.7 | Deploy a Host-Based Intrusion Prevention Solution | Éditorial | A.8.16 | Même sujet : Détection d'intrusion (choix de la rédaction) |
| CIS 13.8 | Deploy a Network Intrusion Prevention Solution | Éditorial | A.8.16 | Même sujet : Détection d'intrusion (choix de la rédaction) |
| CIS 13.9 | Deploy Port-Level Access Control | Éditorial | A.8.20A.8.21A.8.22 | Même sujet : Pare-feu / Segmentation réseau (choix de la rédaction) |
| CIS 13.10 | Perform Application Layer Filtering | Éditorial | A.8.20A.8.26 | Même sujet : WAF, Sécurité web (choix de la rédaction) |
| CIS 13.11 | Tune Security Event Alerting Thresholds | Éditorial | A.5.25A.8.16 | Même sujet : SIEM / SOC (choix de la rédaction) |
| 14. Security Awareness and Skills Training · 9 | ||||
| CIS 14.1 | Establish and Maintain a Security Awareness Program | Correspondance | A.6.3Clause 7.3 | Même sujet : Sensibilisation et formation |
| CIS 14.2 | Train Workforce Members to Recognize Social Engineering Attacks | Éditorial | A.6.3Clause 7.3 | Même sujet : Sensibilisation et formation (choix de la rédaction) |
| CIS 14.3 | Train Workforce Members on Authentication Best Practices | Éditorial | A.6.3Clause 7.3 | Même sujet : Sensibilisation et formation (choix de la rédaction) |
| CIS 14.4 | Train Workforce on Data Handling Best Practices | Éditorial | A.6.3Clause 7.3 | Même sujet : Sensibilisation et formation (choix de la rédaction) |
| CIS 14.5 | Train Workforce Members on Causes of Unintentional Data Exposure | Éditorial | A.6.3Clause 7.3 | Même sujet : Sensibilisation et formation (choix de la rédaction) |
| CIS 14.6 | Train Workforce Members on Recognizing and Reporting Security Incidents | Éditorial | A.6.3Clause 7.3 | Même sujet : Sensibilisation et formation (choix de la rédaction) |
| CIS 14.7 | Train Workforce on How to Identify and Report if Their Enterprise Assets are Missing Security Updates | Éditorial | A.6.3Clause 7.3 | Même sujet : Sensibilisation et formation (choix de la rédaction) |
| CIS 14.8 | Train Workforce on the Dangers of Connecting to and Transmitting Enterprise Data Over Insecure Networks | Éditorial | A.6.3Clause 7.3 | Même sujet : Sensibilisation et formation (choix de la rédaction) |
| CIS 14.9 | Conduct Role-Specific Security Awareness and Skills Training | Correspondance | A.6.3Clause 7.3 | Même sujet : Sensibilisation et formation |
| 15. Service Provider Management · 7 | ||||
| CIS 15.1 | Establish and Maintain an Inventory of Service Providers | Correspondance | A.5.19A.5.20A.5.22+1 | Même sujet : Gestion des risques fournisseurs |
| CIS 15.2 | Establish and Maintain a Service Provider Management Policy | Correspondance | A.5.19A.5.21 | Même sujet : Risque lié à la chaîne d'approvisionnement |
| CIS 15.3 | Classify Service Providers | Correspondance | A.5.19A.5.20A.5.22 | Même sujet : Gestion des risques fournisseurs |
| CIS 15.4 | Ensure Service Provider Contracts Include Security Requirements | Éditorial | A.5.19A.5.20A.5.22 | Même sujet : Gestion des risques fournisseurs (choix de la rédaction) |
| CIS 15.5 | Assess Service Providers | Correspondance | A.5.19A.5.20A.5.22 | Même sujet : Gestion des risques fournisseurs |
| CIS 15.6 | Monitor Service Providers | Correspondance | A.5.19A.5.20A.5.22 | Même sujet : Gestion des risques fournisseurs |
| CIS 15.7 | Securely Decommission Service Providers | Éditorial | A.5.19A.5.20A.5.22 | Même sujet : Gestion des risques fournisseurs (choix de la rédaction) |
| 16. Application Software Security · 14 | ||||
| CIS 16.1 | Establish and Maintain a Secure Application Development Process | Correspondance | A.8.25A.8.26A.8.28+1 | Même sujet : Développement sécurisé |
| CIS 16.2 | Establish and Maintain a Process to Accept and Address Software Vulnerabilities | Éditorial | A.8.25A.8.26A.8.28+1 | Même sujet : Développement sécurisé (choix de la rédaction) |
| CIS 16.3 | Perform Root Cause Analysis on Security Vulnerabilities | Éditorial | A.8.25A.8.26A.8.28+1 | Même sujet : Développement sécurisé (choix de la rédaction) |
| CIS 16.4 | Establish and Manage an Inventory of Third-Party Software Components | Éditorial | A.5.9A.5.11A.7.14 | Même sujet : Gestion des actifs (choix de la rédaction) |
| CIS 16.5 | Use Up-to-Date and Trusted Third-Party Software Components | Éditorial | A.8.25A.8.26A.8.28+1 | Même sujet : Développement sécurisé (choix de la rédaction) |
| CIS 16.6 | Establish and Maintain a Severity Rating System and Process for Application Vulnerabilities | Éditorial | A.8.8 | Même sujet : Gestion des vulnérabilités (choix de la rédaction) |
| CIS 16.7 | Use Standard Hardening Configuration Templates for Application Infrastructure | Éditorial | A.8.9 | Même sujet : Configuration sécurisée (choix de la rédaction) |
| CIS 16.8 | Separate Production and Non-Production Systems | Éditorial | A.8.25A.8.26A.8.28+1 | Même sujet : Développement sécurisé (choix de la rédaction) |
| CIS 16.9 | Train Developers in Application Security Concepts and Secure Coding | Éditorial | A.8.25A.8.26A.8.28+1 | Même sujet : Développement sécurisé (choix de la rédaction) |
| CIS 16.10 | Apply Secure Design Principles in Application Architectures | Éditorial | A.8.5A.8.26 | Même sujet : Sécurité des API, Sécurité web (choix de la rédaction) |
| CIS 16.11 | Leverage Vetted Modules or Services for Application Security Components | Éditorial | A.8.25A.8.26A.8.28+1 | Même sujet : Développement sécurisé (choix de la rédaction) |
| CIS 16.12 | Implement Code-Level Security Checks | Éditorial | A.8.5A.8.25A.8.26+2 | Même sujet : Sécurité des API, Développement sécurisé (choix de la rédaction) |
| CIS 16.13 | Conduct Application Penetration Testing | Éditorial | A.8.25A.8.26A.8.28+1 | Même sujet : Développement sécurisé (choix de la rédaction) |
| CIS 16.14 | Conduct Threat Modeling | Éditorial | A.8.25A.8.26A.8.28+1 | Même sujet : Développement sécurisé (choix de la rédaction) |
| 17. Incident Response Management · 9 | ||||
| CIS 17.1 | Designate Personnel to Manage Incident Handling | Éditorial | A.5.24A.5.25A.5.26 | Même sujet : Réponse aux incidents (choix de la rédaction) |
| CIS 17.2 | Establish and Maintain Contact Information for Reporting Security Incidents | Correspondance | Clause 7.4A.5.6 | Même sujet : Communication |
| CIS 17.3 | Establish and Maintain an Enterprise Process for Reporting Incidents | Éditorial | A.5.5A.6.8 | Même sujet : Notification (choix de la rédaction) |
| CIS 17.4 | Establish and Maintain an Incident Response Process | Correspondance | A.5.24A.5.25A.5.26 | Même sujet : Réponse aux incidents |
| CIS 17.5 | Assign Key Roles and Responsibilities | Éditorial | A.5.24A.5.25A.5.26 | Même sujet : Réponse aux incidents (choix de la rédaction) |
| CIS 17.6 | Define Mechanisms for Communicating During Incident Response | Correspondance | A.5.26Clause 7.4A.5.6 | Même sujet : Communication et rétablissement, Communication |
| CIS 17.7 | Conduct Routine Incident Response Exercises | Éditorial | A.5.24A.5.25A.5.26 | Même sujet : Réponse aux incidents (choix de la rédaction) |
| CIS 17.8 | Conduct Post-Incident Reviews | Éditorial | A.5.27Clause 10.1 | Même sujet : Enseignements tirés (choix de la rédaction) |
| CIS 17.9 | Establish and Maintain Security Incident Thresholds | Éditorial | A.5.24A.5.25A.5.26 | Même sujet : Réponse aux incidents (choix de la rédaction) |
| 18. Penetration Testing · 5 | ||||
| CIS 18.1 | Establish and Maintain a Penetration Testing Program | Éditorial | A.8.8 | Même sujet : Gestion des vulnérabilités (choix de la rédaction) |
| CIS 18.2 | Perform Periodic External Penetration Tests | Éditorial | A.8.8 | Même sujet : Gestion des vulnérabilités (choix de la rédaction) |
| CIS 18.3 | Remediate Penetration Test Findings | Éditorial | A.8.8 | Même sujet : Gestion des vulnérabilités (choix de la rédaction) |
| CIS 18.4 | Validate Security Measures | Éditorial | A.8.8 | Même sujet : Gestion des vulnérabilités (choix de la rédaction) |
| CIS 18.5 | Perform Periodic Internal Penetration Tests | Éditorial | A.8.8 | Même sujet : Gestion des vulnérabilités (choix de la rédaction) |
Avoir CIS v8.1 → viser ISO 27001
123 exig. 53 mis en correspondance · · 32 sans correspondance Ouvrir dans la vue des écarts →Sur 123 exigences ISO/IEC 27001:2022, 53 correspondent à un élément de CIS v8.1, 38 sont seulement faiblement liées et 32 n'ont aucune correspondance dans nos données.
Travaux probablement nouveaux : exigences ISO 27001 sans correspondance avec CIS v8.1 (32)
| ISO 27001 | Exigence | Correspondance | CIS v8.1 | Preuves |
|---|---|---|---|---|
| A.5 Organizational controls · 6 | ||||
| A.5.7 | Threat intelligence | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| A.5.32 | Intellectual property rights | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| A.5.34 | Privacy and protection of PII | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| A.5.35 | Independent review of information security | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| A.5.36 | Compliance with policies, rules and standards for information security | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| A.5.37 | Documented operating procedures | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| A.7 Physical controls · 8 | ||||
| A.7.1 | Physical security perimeters | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| A.7.2 | Physical entry | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| A.7.3 | Securing offices, rooms and facilities | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| A.7.5 | Protecting against physical and environmental threats | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| A.7.6 | Working in secure areas | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| A.7.8 | Equipment siting and protection | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| A.7.11 | Supporting utilities | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| A.7.12 | Cabling security | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| A.8 Technological controls · 3 | ||||
| A.8.30 | Outsourced development | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| A.8.32 | Change management | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| A.8.34 | Protection of information systems during audit testing | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| ISMS clauses 4–10 · 15 | ||||
| Clause 4.1 | Understanding the organization and its context | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| Clause 4.3 | Determining the scope of the ISMS | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| Clause 4.4 | Information security management system | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| Clause 5.1 | Leadership and commitment | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| Clause 6.2 | Information security objectives and planning to achieve them | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| Clause 6.3 | Planning of changes | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| Clause 7.1 | Resources | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| Clause 7.5.1 | General | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| Clause 7.5.2 | Creating and updating | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| Clause 7.5.3 | Control of documented information | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| Clause 8.2 | Information security risk assessment | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| Clause 8.3 | Information security risk treatment | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| Clause 9.2.1 | General | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| Clause 9.2.2 | Internal audit programme | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
| Clause 10.2 | Nonconformity and corrective action | Aucune correspondance dans nos données | — | Aucune correspondance avec CIS v8.1 dans nos données. |
À vérifier : liens seulement indirects (un résultat CSF commun, pas une correspondance) (38)
| ISO 27001 | Exigence | Correspondance | CIS v8.1 | Preuves |
|---|---|---|---|---|
| A.5 Organizational controls · 10 | ||||
| A.5.1 | Policies for information security | CIS 3.3CIS 3.11CIS 5.1+5 | Partage seulement les fonctions CSF PR.AA-05, PR.DS-01 : lien indicatif, pas une correspondance | |
| A.5.2 | Information security roles and responsibilities | CIS 14.9CIS 15.4CIS 14.2+5 | Partage seulement les fonctions CSF GV.RR-02, PR.AT-02, GV.SC-02 : lien indicatif, pas une correspondance | |
| A.5.3 | Segregation of duties | CIS 3.3CIS 3.10CIS 3.11+5 | Partage seulement les fonctions CSF PR.AA-05, PR.DS-02, PR.DS-01 : lien indicatif, pas une correspondance | |
| A.5.4 | Management responsibilities | CIS 14.1CIS 15.4 | Partage seulement les fonctions CSF GV.RR-01, GV.SC-02 : lien indicatif, pas une correspondance | |
| A.5.8 | Information security in project management | CIS 1.1CIS 3.5CIS 1.2+5 | Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance | |
| A.5.10 | Acceptable use of information and other associated assets | CIS 3.10CIS 3.11CIS 3.1+5 | Partage seulement les fonctions CSF PR.DS-02, PR.DS-01, PR.DS-10 : lien indicatif, pas une correspondance | |
| A.5.17 | Authentication information | CIS 3.3CIS 5.1CIS 6.8+5 | Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance | |
| A.5.28 | Collection of evidence | CIS 17.4CIS 17.1CIS 17.5+2 | Partage seulement les fonctions CSF RS.MA-01, RS.MA-02 : lien indicatif, pas une correspondance | |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | CIS 15.4CIS 15.5CIS 15.6+1 | Partage seulement les fonctions CSF GV.SC-05, GV.SC-06, GV.SC-07 : lien indicatif, pas une correspondance | |
| A.5.33 | Protection of records | CIS 3.11CIS 3.1CIS 3.4+5 | Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance | |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | CIS 3.10CIS 3.11CIS 6.1+5 | Partage seulement les fonctions CSF PR.DS-02, PR.DS-01, GV.RR-04 : lien indicatif, pas une correspondance | |
| A.6.2 | Terms and conditions of employment | CIS 3.10CIS 3.11CIS 6.1+5 | Partage seulement les fonctions CSF PR.DS-02, PR.DS-01, GV.RR-04 : lien indicatif, pas une correspondance | |
| A.6.4 | Disciplinary process | CIS 6.1CIS 6.2 | Partage seulement les fonctions CSF GV.RR-04 : lien indicatif, pas une correspondance | |
| A.6.5 | Responsibilities after termination or change of employment | CIS 3.10CIS 3.11CIS 6.1+5 | Partage seulement les fonctions CSF PR.DS-02, PR.DS-01, GV.RR-04 : lien indicatif, pas une correspondance | |
| A.6.6 | Confidentiality or non-disclosure agreements | CIS 6.1CIS 6.2 | Partage seulement les fonctions CSF GV.RR-04 : lien indicatif, pas une correspondance | |
| A.7 Physical controls · 5 | ||||
| A.7.4 | Physical security monitoring | CIS 10.7CIS 13.6 | Partage seulement les fonctions CSF DE.CM-03 : lien indicatif, pas une correspondance | |
| A.7.7 | Clear desk and clear screen | CIS 3.11CIS 3.1CIS 3.4+5 | Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance | |
| A.7.9 | Security of assets off-premises | CIS 3.11CIS 3.1CIS 3.4+5 | Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance | |
| A.7.10 | Storage media | CIS 3.5CIS 1.1CIS 3.11+5 | Partage seulement les fonctions CSF ID.AM-08, PR.DS-01 : lien indicatif, pas une correspondance | |
| A.7.13 | Equipment maintenance | CIS 1.1CIS 3.5CIS 1.2+5 | Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance | |
| A.8 Technological controls · 6 | ||||
| A.8.4 | Access to source code | CIS 3.3CIS 3.10CIS 3.11+5 | Partage seulement les fonctions CSF PR.AA-05, PR.DS-02, PR.DS-01 : lien indicatif, pas une correspondance | |
| A.8.6 | Capacity management | CIS 10.1CIS 2.6CIS 2.7+5 | Partage seulement les fonctions CSF DE.CM-09 : lien indicatif, pas une correspondance | |
| A.8.23 | Web filtering | CIS 3.12CIS 12.2CIS 4.4+5 | Partage seulement les fonctions CSF PR.IR-01 : lien indicatif, pas une correspondance | |
| A.8.27 | Secure system architecture and engineering principles | CIS 11.1 | Partage seulement les fonctions CSF PR.IR-03 : lien indicatif, pas une correspondance | |
| A.8.31 | Separation of development, test and production environments | CIS 16.1CIS 9.3CIS 13.10+5 | Partage seulement les fonctions CSF PR.PS-06 : lien indicatif, pas une correspondance | |
| A.8.33 | Test information | CIS 3.11CIS 3.1CIS 3.4+5 | Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance | |
| ISMS clauses 4–10 · 12 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | CIS 15.4CIS 3.10CIS 3.11+5 | Partage seulement les fonctions CSF GV.SC-05, GV.SC-06, PR.DS-02, PR.DS-01 : lien indicatif, pas une correspondance | |
| Clause 5.2 | Policy | CIS 3.10CIS 3.11CIS 3.1+5 | Partage seulement les fonctions CSF PR.DS-02, PR.DS-01, PR.DS-10 : lien indicatif, pas une correspondance | |
| Clause 5.3 | Organizational roles, responsibilities and authorities | CIS 15.4 | Partage seulement les fonctions CSF GV.SC-02 : lien indicatif, pas une correspondance | |
| Clause 6.1.1 | General | CIS 15.7CIS 15.6CIS 15.1+3 | Partage seulement les fonctions CSF GV.SC-04, GV.SC-07, GV.SC-10, GV.SC-09 : lien indicatif, pas une correspondance | |
| Clause 6.1.2 | Information security risk assessment | CIS 15.7CIS 15.6CIS 7.2+5 | Partage seulement les fonctions CSF GV.SC-04, GV.SC-07, GV.SC-10, GV.SC-09… : lien indicatif, pas une correspondance | |
| Clause 6.1.3 | Information security risk treatment | CIS 15.7CIS 15.1CIS 15.3+2 | Partage seulement les fonctions CSF GV.SC-04, GV.SC-07, GV.SC-10 : lien indicatif, pas une correspondance | |
| Clause 7.2 | Competence | CIS 14.1CIS 14.9 | Partage seulement les fonctions CSF GV.RR-01, GV.RR-02 : lien indicatif, pas une correspondance | |
| Clause 8.1 | Operational planning and control | CIS 15.2 | Partage seulement les fonctions CSF GV.SC-01 : lien indicatif, pas une correspondance | |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | CIS 10.7CIS 13.6 | Partage seulement les fonctions CSF DE.CM-03 : lien indicatif, pas une correspondance | |
| Clause 9.3.1 | General | CIS 4.1CIS 4.2CIS 4.3+5 | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
| Clause 9.3.2 | Management review inputs | CIS 4.1CIS 4.2CIS 4.3+5 | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
| Clause 9.3.3 | Management review results | CIS 4.1CIS 4.2CIS 4.3+5 | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
Mis en correspondance (53)
| ISO 27001 | Exigence | Correspondance | CIS v8.1 | Preuves |
|---|---|---|---|---|
| A.5 Organizational controls · 21 | ||||
| A.5.5 | Contact with authorities | Éditorial | CIS 17.3 | Même sujet : Notification (choix de la rédaction) |
| A.5.6 | Contact with special interest groups | Éditorial | CIS 17.2CIS 17.6 | Même sujet : Communication (choix de la rédaction) |
| A.5.9 | Inventory of information and other associated assets | Correspondance | CIS 1.1CIS 2.1CIS 1.2+6 | Même sujet : Gestion des actifs |
| A.5.11 | Return of assets | Correspondance | CIS 1.1CIS 2.1CIS 1.2+6 | Même sujet : Gestion des actifs |
| A.5.12 | Classification of information | Correspondance | CIS 3.2CIS 3.7CIS 3.8 | Même sujet : Classification des données |
| A.5.13 | Labelling of information | Correspondance | CIS 3.2CIS 3.7CIS 3.8 | Même sujet : Classification des données |
| A.5.14 | Information transfer | Correspondance | CIS 3.11CIS 3.1CIS 3.4+7 | Même sujet : Protection des données |
| A.5.15 | Access control | Correspondance | CIS 3.3CIS 5.1CIS 5.6+12 | Même sujet : Contrôle d'accès |
| A.5.16 | Identity management | Correspondance | CIS 3.3CIS 5.1CIS 5.6+9 | Même sujet : Contrôle d'accès |
| A.5.18 | Access rights | Correspondance | CIS 3.3CIS 5.1CIS 5.6+9 | Même sujet : Contrôle d'accès |
| A.5.19 | Information security in supplier relationships | Correspondance | CIS 15.1CIS 15.2CIS 15.3+4 | Même sujet : Gestion des risques fournisseurs, Risque lié à la chaîne d'approvisionnement |
| A.5.20 | Addressing information security within supplier agreements | Correspondance | CIS 15.1CIS 15.3CIS 15.5+3 | Même sujet : Gestion des risques fournisseurs |
| A.5.21 | Managing information security in the ICT supply chain | Correspondance | CIS 15.2 | Même sujet : Risque lié à la chaîne d'approvisionnement |
| A.5.22 | Monitoring, review and change management of supplier services | Correspondance | CIS 15.1CIS 15.3CIS 15.5+3 | Même sujet : Gestion des risques fournisseurs |
| A.5.23 | Information security for use of cloud services | Correspondance | CIS 15.1 | Même sujet : Sécurité du cloud |
| A.5.24 | Information security incident management planning and preparation | Correspondance | CIS 17.4CIS 17.1CIS 17.5+2 | Même sujet : Réponse aux incidents |
| A.5.25 | Assessment and decision on information security events | Correspondance | CIS 17.4CIS 8.9CIS 13.1+5 | Même sujet : Réponse aux incidents, SIEM / SOC |
| A.5.26 | Response to information security incidents | Correspondance | CIS 17.4CIS 17.6CIS 17.1+3 | Même sujet : Réponse aux incidents, Communication et rétablissement |
| A.5.27 | Learning from information security incidents | Éditorial | CIS 17.8 | Même sujet : Enseignements tirés (choix de la rédaction) |
| A.5.29 | Information security during disruption | Éditorial | CIS 11.1 | Même sujet : Planification de la reprise (choix de la rédaction) |
| A.5.30 | ICT readiness for business continuity | Éditorial | CIS 11.1 | Même sujet : Planification de la reprise, Reprise après sinistre (choix de la rédaction) |
| A.6 People controls · 3 | ||||
| A.6.3 | Information security awareness, education and training | Correspondance | CIS 14.1CIS 14.9CIS 14.2+6 | Même sujet : Sensibilisation et formation |
| A.6.7 | Remote working | Éditorial | CIS 4.10CIS 4.11CIS 4.12 | Même sujet : Sécurité mobile (choix de la rédaction) |
| A.6.8 | Information security event reporting | Éditorial | CIS 17.3 | Même sujet : Notification (choix de la rédaction) |
| A.7 Physical controls · 1 | ||||
| A.7.14 | Secure disposal or re-use of equipment | Correspondance | CIS 1.1CIS 2.1CIS 1.2+6 | Même sujet : Gestion des actifs |
| A.8 Technological controls · 25 | ||||
| A.8.1 | User endpoint devices | Éditorial | CIS 2.5CIS 2.6CIS 2.7+10 | Même sujet : Protection des terminaux (choix de la rédaction) |
| A.8.2 | Privileged access rights | Éditorial | CIS 5.4CIS 12.8 | Même sujet : Accès privilégiés (choix de la rédaction) |
| A.8.3 | Information access restriction | Correspondance | CIS 3.3CIS 5.1CIS 5.6+9 | Même sujet : Contrôle d'accès |
| A.8.5 | Secure authentication | Correspondance | CIS 6.8CIS 12.2CIS 6.3+6 | Même sujet : Zero Trust, Authentification multifacteur |
| A.8.7 | Protection against malware | Éditorial | CIS 2.5CIS 2.6CIS 2.7+7 | Même sujet : Protection des terminaux (choix de la rédaction) |
| A.8.8 | Management of technical vulnerabilities | Correspondance | CIS 2.2CIS 7.1CIS 7.2+12 | Même sujet : Gestion des correctifs, Gestion des vulnérabilités |
| A.8.9 | Configuration management | Correspondance | CIS 4.1CIS 4.2CIS 4.3+4 | Même sujet : Configuration sécurisée |
| A.8.10 | Information deletion | Correspondance | CIS 3.11CIS 3.1CIS 3.4+2 | Même sujet : Protection des données |
| A.8.11 | Data masking | Correspondance | CIS 3.11CIS 3.1CIS 3.4+2 | Même sujet : Protection des données |
| A.8.12 | Data leakage prevention | Éditorial | CIS 3.13 | Même sujet : DLP (choix de la rédaction) |
| A.8.13 | Information backup | Correspondance | CIS 11.2CIS 11.3CIS 11.5+1 | Même sujet : Sauvegarde et restauration |
| A.8.14 | Redundancy of information processing facilities | Éditorial | CIS 11.1 | Même sujet : Reprise après sinistre (choix de la rédaction) |
| A.8.15 | Logging | Correspondance | CIS 8.2CIS 3.14CIS 8.1+7 | Même sujet : Journalisation et audit |
| A.8.16 | Monitoring activities | Correspondance | CIS 8.11CIS 13.1CIS 8.9+6 | Même sujet : Détection d'anomalies, Surveillance continue, SIEM / SOC |
| A.8.17 | Clock synchronization | Correspondance | CIS 8.2CIS 3.14CIS 8.1+7 | Même sujet : Journalisation et audit |
| A.8.18 | Use of privileged utility programs | Éditorial | CIS 5.4CIS 12.8 | Même sujet : Accès privilégiés (choix de la rédaction) |
| A.8.19 | Installation of software on operational systems | Correspondance | CIS 2.5CIS 10.1CIS 2.6+7 | Même sujet : Protection des terminaux |
| A.8.20 | Networks security | Correspondance | CIS 12.2CIS 4.4CIS 4.5+9 | Même sujet : Pare-feu / Segmentation réseau |
| A.8.21 | Security of network services | Correspondance | CIS 12.2CIS 4.4CIS 4.5+8 | Même sujet : Pare-feu / Segmentation réseau |
| A.8.22 | Segregation of networks | Correspondance | CIS 6.8CIS 12.2CIS 4.4+8 | Même sujet : Zero Trust, Pare-feu / Segmentation réseau |
| A.8.24 | Use of cryptography | Correspondance | CIS 3.10CIS 3.11CIS 3.6+1 | Même sujet : Chiffrement |
| A.8.25 | Secure development life cycle | Correspondance | CIS 16.1CIS 16.2CIS 16.3+7 | Même sujet : Développement sécurisé |
| A.8.26 | Application security requirements | Correspondance | CIS 16.1CIS 9.3CIS 13.10+10 | Même sujet : Développement sécurisé, Sécurité web |
| A.8.28 | Secure coding | Correspondance | CIS 16.1CIS 16.2CIS 16.3+7 | Même sujet : Développement sécurisé |
| A.8.29 | Security testing in development and acceptance | Correspondance | CIS 16.1CIS 16.2CIS 16.3+7 | Même sujet : Développement sécurisé |
| ISMS clauses 4–10 · 3 | ||||
| Clause 7.3 | Awareness | Correspondance | CIS 14.1CIS 14.9CIS 14.2+6 | Même sujet : Sensibilisation et formation |
| Clause 7.4 | Communication | Correspondance | CIS 17.2CIS 17.6 | Même sujet : Communication, Communication et rétablissement |
| Clause 10.1 | Continual improvement | Éditorial | CIS 17.8 | Même sujet : Enseignements tirés (choix de la rédaction) |
Par thème
Les deux couvrent (38) :
Sensibilisation et formationRisque lié à la chaîne d'approvisionnementGestion des actifsClassification des donnéesGestion des vulnérabilitésContrôle d'accèsAuthentification multifacteurChiffrementProtection des donnéesSauvegarde et restaurationAccès privilégiésPare-feu / Segmentation réseauProtection des terminauxGestion des correctifsConfiguration sécuriséeDéveloppement sécuriséSécurité de la messagerieSécurité webZero TrustSécurité mobileSécurité du cloudSécurité DNSWAFDLPSurveillance continueJournalisation et auditDétection d'intrusionDétection d'anomaliesSIEM / SOCRéponse aux incidentsCommunicationNotificationPlanification de la repriseEnseignements tirésCommunication et rétablissementReprise après sinistreSécurité des APIGestion des risques fournisseurs
Seulement ISO 27001 (12) :
Questions
Les CIS Controls peuvent-ils remplacer ISO 27001 ?
Seulement si personne n'a besoin d'un certificat. CIS fournit des recommandations techniques solides, mais ni système de management ni certification.
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Mis en correspondance = regroupés ensemble dans un thème ControlMapping, ou directement liés. Les correspondances ne prouvent pas la conformité. Méthodologie · Télécharger les données · Signaler une erreur.