Référentiel
CIS Controls v8.1
De quoi il s'agit
L'ensemble priorisé de 18 contrôles et 153 safeguards du Center for Internet Security, regroupés en trois groupes de mise en œuvre (IG1 à IG3). IG1 correspond à la référence « hygiène cyber essentielle ». La version 8.1 (2024) a aligné les contrôles sur la fonction Gouverner (Govern) du NIST CSF 2.0.
À qui il s'adresse
Organisations qui recherchent une référence technique prescriptive et priorisée, en particulier les petites et moyennes structures qui débutent par IG1.
Comment l'évaluation est réalisée
Aucune certification. Les organisations réalisent une auto-évaluation, souvent à l'aide de l'outil d'évaluation de CIS, ou font appel à un évaluateur tiers.
153
Mesures de protection
153
Mis en correspondance avec un autre référentiel
76%
Sujets couverts (38/50)
Le crosswalk publié par le CIS couvre 49 des 153 mesures de sauvegarde ; ControlMapping a établi les autres liens par jugement éditorial, avec une justification pour chacun. Vérifiez-les avant de vous y fier.
Comparaisons
Exigences
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
| ID | Exigence | Sujets | Mis en correspondance dans |
|---|---|---|---|
| 1. Inventory and Control of Enterprise Assets · 5 | |||
| CIS 1.1 | Establish and Maintain Detailed Enterprise Asset Inventory | Gestion des actifs | 13 sur 13 |
| CIS 1.2 | Address Unauthorized Assets | Gestion des actifs | 13 sur 13 |
| CIS 1.3 | Utilize an Active Discovery Tool | Gestion des actifs | 13 sur 13 |
| CIS 1.4 | Use Dynamic Host Configuration Protocol (DHCP) Logging to Update Enterprise Asset Inventory | Gestion des actifs | 13 sur 13 |
| CIS 1.5 | Use a Passive Asset Discovery Tool | Gestion des actifs | 13 sur 13 |
| 2. Inventory and Control of Software Assets · 7 | |||
| CIS 2.1 | Establish and Maintain a Software Inventory | Gestion des actifs | 13 sur 13 |
| CIS 2.2 | Ensure Authorized Software is Currently Supported | Gestion des correctifs | 10 sur 13 |
| CIS 2.3 | Address Unauthorized Software | Gestion des actifs | 13 sur 13 |
| CIS 2.4 | Utilize Automated Software Inventory Tools | Gestion des actifs | 13 sur 13 |
| CIS 2.5 | Allowlist Authorized Software | Protection des terminaux | 10 sur 13 |
| CIS 2.6 | Allowlist Authorized Libraries | Protection des terminaux | 10 sur 13 |
| CIS 2.7 | Allowlist Authorized Scripts | Protection des terminaux | 10 sur 13 |
| 3. Data Protection · 14 | |||
| CIS 3.1 | Establish and Maintain a Data Management Process | Protection des données | 11 sur 13 |
| CIS 3.2 | Establish and Maintain a Data Inventory | Classification des données | 9 sur 13 |
| CIS 3.3 | Configure Data Access Control Lists | Contrôle d'accès | 11 sur 13 |
| CIS 3.4 | Enforce Data Retention | Protection des données | 11 sur 13 |
| CIS 3.5 | Securely Dispose of Data | Protection des données | 11 sur 13 |
| CIS 3.6 | Encrypt Data on End-User Devices | Chiffrement | 10 sur 13 |
| CIS 3.7 | Establish and Maintain a Data Classification Scheme | Classification des données | 9 sur 13 |
| CIS 3.8 | Document Data Flows | Classification des données | 9 sur 13 |
| CIS 3.9 | Encrypt Data on Removable Media | Chiffrement | 10 sur 13 |
| CIS 3.10 | Encrypt Sensitive Data in Transit | Chiffrement | 10 sur 13 |
| CIS 3.11 | Encrypt Sensitive Data at Rest | Chiffrement, Protection des données | 11 sur 13 |
| CIS 3.12 | Segment Data Processing and Storage Based on Sensitivity | Protection des données | 11 sur 13 |
| CIS 3.13 | Deploy a Data Loss Prevention Solution | DLP | 7 sur 13 |
| CIS 3.14 | Log Sensitive Data Access | Journalisation et audit | 10 sur 13 |
| 4. Secure Configuration of Enterprise Assets and Software · 12 | |||
| CIS 4.1 | Establish and Maintain a Secure Configuration Process | Configuration sécurisée | 9 sur 13 |
| CIS 4.2 | Establish and Maintain a Secure Configuration Process for Network Infrastructure | Configuration sécurisée | 9 sur 13 |
| CIS 4.3 | Configure Automatic Session Locking on Enterprise Assets | Configuration sécurisée | 9 sur 13 |
| CIS 4.4 | Implement and Manage a Firewall on Servers | Pare-feu / Segmentation réseau | 9 sur 13 |
| CIS 4.5 | Implement and Manage a Firewall on End-User Devices | Pare-feu / Segmentation réseau | 9 sur 13 |
| CIS 4.6 | Securely Manage Enterprise Assets and Software | Configuration sécurisée | 9 sur 13 |
| CIS 4.7 | Manage Default Accounts on Enterprise Assets and Software | Configuration sécurisée | 9 sur 13 |
| CIS 4.8 | Uninstall or Disable Unnecessary Services on Enterprise Assets and Software | Configuration sécurisée | 9 sur 13 |
| CIS 4.9 | Configure Trusted DNS Servers on Enterprise Assets | Sécurité DNS | 3 sur 13 |
| CIS 4.10 | Enforce Automatic Device Lockout on Portable End-User Devices | Sécurité mobile | 7 sur 13 |
| CIS 4.11 | Enforce Remote Wipe Capability on Portable End-User Devices | Sécurité mobile | 7 sur 13 |
| CIS 4.12 | Separate Enterprise Workspaces on Mobile End-User Devices | Sécurité mobile | 7 sur 13 |
| 5. Account Management · 6 | |||
| CIS 5.1 | Establish and Maintain an Inventory of Accounts | Contrôle d'accès | 11 sur 13 |
| CIS 5.2 | Use Unique Passwords | Contrôle d'accès | 11 sur 13 |
| CIS 5.3 | Disable Dormant Accounts | Contrôle d'accès | 11 sur 13 |
| CIS 5.4 | Restrict Administrator Privileges to Dedicated Administrator Accounts | Accès privilégiés | 10 sur 13 |
| CIS 5.5 | Establish and Maintain an Inventory of Service Accounts | Contrôle d'accès | 11 sur 13 |
| CIS 5.6 | Centralize Account Management | Contrôle d'accès | 11 sur 13 |
| 6. Access Control Management · 8 | |||
| CIS 6.1 | Establish an Access Granting Process | Contrôle d'accès | 11 sur 13 |
| CIS 6.2 | Establish an Access Revoking Process | Contrôle d'accès | 11 sur 13 |
| CIS 6.3 | Require MFA for Externally-Exposed Applications | Authentification multifacteur | 10 sur 13 |
| CIS 6.4 | Require MFA for Remote Network Access | Authentification multifacteur | 10 sur 13 |
| CIS 6.5 | Require MFA for Administrative Access | Authentification multifacteur | 10 sur 13 |
| CIS 6.6 | Establish and Maintain an Inventory of Authentication and Authorization Systems | Contrôle d'accès | 11 sur 13 |
| CIS 6.7 | Centralize Access Control | Contrôle d'accès | 11 sur 13 |
| CIS 6.8 | Define and Maintain Role-Based Access Control | Contrôle d'accès, Zero Trust | 11 sur 13 |
| 7. Continuous Vulnerability Management · 7 | |||
| CIS 7.1 | Establish and Maintain a Vulnerability Management Process | Gestion des vulnérabilités | 13 sur 13 |
| CIS 7.2 | Establish and Maintain a Remediation Process | Gestion des vulnérabilités | 13 sur 13 |
| CIS 7.3 | Perform Automated Operating System Patch Management | Gestion des correctifs | 10 sur 13 |
| CIS 7.4 | Perform Automated Application Patch Management | Gestion des correctifs | 10 sur 13 |
| CIS 7.5 | Perform Automated Vulnerability Scans of Internal Enterprise Assets | Gestion des vulnérabilités | 13 sur 13 |
| CIS 7.6 | Perform Automated Vulnerability Scans of Externally-Exposed Enterprise Assets | Gestion des vulnérabilités | 13 sur 13 |
| CIS 7.7 | Remediate Detected Vulnerabilities | Gestion des vulnérabilités | 13 sur 13 |
| 8. Audit Log Management · 12 | |||
| CIS 8.1 | Establish and Maintain an Audit Log Management Process | Journalisation et audit | 10 sur 13 |
| CIS 8.2 | Collect Audit Logs | Journalisation et audit | 10 sur 13 |
| CIS 8.3 | Ensure Adequate Audit Log Storage | Journalisation et audit | 10 sur 13 |
| CIS 8.4 | Standardize Time Synchronization | Journalisation et audit | 10 sur 13 |
| CIS 8.5 | Collect Detailed Audit Logs | Journalisation et audit | 10 sur 13 |
| CIS 8.6 | Collect DNS Query Audit Logs | Sécurité DNS | 3 sur 13 |
| CIS 8.7 | Collect URL Request Audit Logs | Journalisation et audit | 10 sur 13 |
| CIS 8.8 | Collect Command-Line Audit Logs | Journalisation et audit | 10 sur 13 |
| CIS 8.9 | Centralize Audit Logs | SIEM / SOC | 10 sur 13 |
| CIS 8.10 | Retain Audit Logs | Journalisation et audit | 10 sur 13 |
| CIS 8.11 | Conduct Audit Log Reviews | Détection d'anomalies | 9 sur 13 |
| CIS 8.12 | Collect Service Provider Logs | Journalisation et audit | 10 sur 13 |
| 9. Email and Web Browser Protections · 7 | |||
| CIS 9.1 | Ensure Use of Only Fully Supported Browsers and Email Clients | Sécurité de la messagerie | 8 sur 13 |
| CIS 9.2 | Use DNS Filtering Services | Sécurité DNS | 3 sur 13 |
| CIS 9.3 | Maintain and Enforce Network-Based URL Filters | Sécurité web | 6 sur 13 |
| CIS 9.4 | Restrict Unnecessary or Unauthorized Browser and Email Client Extensions | Sécurité de la messagerie | 8 sur 13 |
| CIS 9.5 | Implement DMARC | Sécurité de la messagerie | 8 sur 13 |
| CIS 9.6 | Block Unnecessary File Types | Sécurité de la messagerie | 8 sur 13 |
| CIS 9.7 | Deploy and Maintain Email Server Anti-Malware Protections | Sécurité de la messagerie | 8 sur 13 |
| 10. Malware Defenses · 7 | |||
| CIS 10.1 | Deploy and Maintain Anti-Malware Software | Protection des terminaux | 10 sur 13 |
| CIS 10.2 | Configure Automatic Anti-Malware Signature Updates | Protection des terminaux | 10 sur 13 |
| CIS 10.3 | Disable Autorun and Autoplay for Removable Media | Protection des terminaux | 10 sur 13 |
| CIS 10.4 | Configure Automatic Anti-Malware Scanning of Removable Media | Protection des terminaux | 10 sur 13 |
| CIS 10.5 | Enable Anti-Exploitation Features | Protection des terminaux | 10 sur 13 |
| CIS 10.6 | Centrally Manage Anti-Malware Software | Protection des terminaux | 10 sur 13 |
| CIS 10.7 | Use Behavior-Based Anti-Malware Software | Protection des terminaux | 10 sur 13 |
| 11. Data Recovery · 5 | |||
| CIS 11.1 | Establish and Maintain a Data Recovery Process | Planification de la reprise, Reprise après sinistre | 10 sur 13 |
| CIS 11.2 | Perform Automated Backups | Sauvegarde et restauration | 11 sur 13 |
| CIS 11.3 | Protect Recovery Data | Sauvegarde et restauration | 11 sur 13 |
| CIS 11.4 | Establish and Maintain an Isolated Instance of Recovery Data | Sauvegarde et restauration | 11 sur 13 |
| CIS 11.5 | Test Data Recovery | Sauvegarde et restauration | 11 sur 13 |
| 12. Network Infrastructure Management · 8 | |||
| CIS 12.1 | Ensure Network Infrastructure is Up-to-Date | Gestion des correctifs | 10 sur 13 |
| CIS 12.2 | Establish and Maintain a Secure Network Architecture | Pare-feu / Segmentation réseau, Zero Trust | 9 sur 13 |
| CIS 12.3 | Securely Manage Network Infrastructure | Pare-feu / Segmentation réseau | 9 sur 13 |
| CIS 12.4 | Establish and Maintain Architecture Diagram(s) | Pare-feu / Segmentation réseau | 9 sur 13 |
| CIS 12.5 | Centralize Network Authentication, Authorization, and Auditing (AAA) | Contrôle d'accès | 11 sur 13 |
| CIS 12.6 | Use of Secure Network Management and Communication Protocols | Pare-feu / Segmentation réseau | 9 sur 13 |
| CIS 12.7 | Ensure Remote Devices Utilize a VPN and are Connecting to an Enterprise's AAA Infrastructure | Zero Trust | 7 sur 13 |
| CIS 12.8 | Establish and Maintain Dedicated Computing Resources for All Administrative Work | Accès privilégiés | 10 sur 13 |
| 13. Network Monitoring and Defense · 11 | |||
| CIS 13.1 | Centralize Security Event Alerting | Surveillance continue, SIEM / SOC | 10 sur 13 |
| CIS 13.2 | Deploy a Host-Based Intrusion Detection Solution | Détection d'intrusion | 9 sur 13 |
| CIS 13.3 | Deploy a Network Intrusion Detection Solution | Détection d'intrusion | 9 sur 13 |
| CIS 13.4 | Perform Traffic Filtering Between Network Segments | Pare-feu / Segmentation réseau | 9 sur 13 |
| CIS 13.5 | Manage Access Control for Remote Assets | Zero Trust | 7 sur 13 |
| CIS 13.6 | Collect Network Traffic Flow Logs | Surveillance continue | 10 sur 13 |
| CIS 13.7 | Deploy a Host-Based Intrusion Prevention Solution | Détection d'intrusion | 9 sur 13 |
| CIS 13.8 | Deploy a Network Intrusion Prevention Solution | Détection d'intrusion | 9 sur 13 |
| CIS 13.9 | Deploy Port-Level Access Control | Pare-feu / Segmentation réseau | 9 sur 13 |
| CIS 13.10 | Perform Application Layer Filtering | Sécurité web, WAF | 6 sur 13 |
| CIS 13.11 | Tune Security Event Alerting Thresholds | SIEM / SOC | 10 sur 13 |
| 14. Security Awareness and Skills Training · 9 | |||
| CIS 14.1 | Establish and Maintain a Security Awareness Program | Sensibilisation et formation | 10 sur 13 |
| CIS 14.2 | Train Workforce Members to Recognize Social Engineering Attacks | Sensibilisation et formation | 10 sur 13 |
| CIS 14.3 | Train Workforce Members on Authentication Best Practices | Sensibilisation et formation | 10 sur 13 |
| CIS 14.4 | Train Workforce on Data Handling Best Practices | Sensibilisation et formation | 10 sur 13 |
| CIS 14.5 | Train Workforce Members on Causes of Unintentional Data Exposure | Sensibilisation et formation | 10 sur 13 |
| CIS 14.6 | Train Workforce Members on Recognizing and Reporting Security Incidents | Sensibilisation et formation | 10 sur 13 |
| CIS 14.7 | Train Workforce on How to Identify and Report if Their Enterprise Assets are Missing Security Updates | Sensibilisation et formation | 10 sur 13 |
| CIS 14.8 | Train Workforce on the Dangers of Connecting to and Transmitting Enterprise Data Over Insecure Networks | Sensibilisation et formation | 10 sur 13 |
| CIS 14.9 | Conduct Role-Specific Security Awareness and Skills Training | Sensibilisation et formation | 10 sur 13 |
| 15. Service Provider Management · 7 | |||
| CIS 15.1 | Establish and Maintain an Inventory of Service Providers | Sécurité du cloud, Gestion des risques fournisseurs | 12 sur 13 |
| CIS 15.2 | Establish and Maintain a Service Provider Management Policy | Risque lié à la chaîne d'approvisionnement | 9 sur 13 |
| CIS 15.3 | Classify Service Providers | Gestion des risques fournisseurs | 10 sur 13 |
| CIS 15.4 | Ensure Service Provider Contracts Include Security Requirements | Gestion des risques fournisseurs | 10 sur 13 |
| CIS 15.5 | Assess Service Providers | Gestion des risques fournisseurs | 10 sur 13 |
| CIS 15.6 | Monitor Service Providers | Gestion des risques fournisseurs | 10 sur 13 |
| CIS 15.7 | Securely Decommission Service Providers | Gestion des risques fournisseurs | 10 sur 13 |
| 16. Application Software Security · 14 | |||
| CIS 16.1 | Establish and Maintain a Secure Application Development Process | Développement sécurisé | 8 sur 13 |
| CIS 16.2 | Establish and Maintain a Process to Accept and Address Software Vulnerabilities | Développement sécurisé | 8 sur 13 |
| CIS 16.3 | Perform Root Cause Analysis on Security Vulnerabilities | Développement sécurisé | 8 sur 13 |
| CIS 16.4 | Establish and Manage an Inventory of Third-Party Software Components | Gestion des actifs | 13 sur 13 |
| CIS 16.5 | Use Up-to-Date and Trusted Third-Party Software Components | Développement sécurisé | 8 sur 13 |
| CIS 16.6 | Establish and Maintain a Severity Rating System and Process for Application Vulnerabilities | Gestion des vulnérabilités | 13 sur 13 |
| CIS 16.7 | Use Standard Hardening Configuration Templates for Application Infrastructure | Configuration sécurisée | 9 sur 13 |
| CIS 16.8 | Separate Production and Non-Production Systems | Développement sécurisé | 8 sur 13 |
| CIS 16.9 | Train Developers in Application Security Concepts and Secure Coding | Développement sécurisé | 8 sur 13 |
| CIS 16.10 | Apply Secure Design Principles in Application Architectures | Sécurité web, Sécurité des API | 6 sur 13 |
| CIS 16.11 | Leverage Vetted Modules or Services for Application Security Components | Développement sécurisé | 8 sur 13 |
| CIS 16.12 | Implement Code-Level Security Checks | Développement sécurisé, Sécurité des API | 8 sur 13 |
| CIS 16.13 | Conduct Application Penetration Testing | Développement sécurisé | 8 sur 13 |
| CIS 16.14 | Conduct Threat Modeling | Développement sécurisé | 8 sur 13 |
| 17. Incident Response Management · 9 | |||
| CIS 17.1 | Designate Personnel to Manage Incident Handling | Réponse aux incidents | 12 sur 13 |
| CIS 17.2 | Establish and Maintain Contact Information for Reporting Security Incidents | Communication | 8 sur 13 |
| CIS 17.3 | Establish and Maintain an Enterprise Process for Reporting Incidents | Notification | 12 sur 13 |
| CIS 17.4 | Establish and Maintain an Incident Response Process | Réponse aux incidents | 12 sur 13 |
| CIS 17.5 | Assign Key Roles and Responsibilities | Réponse aux incidents | 12 sur 13 |
| CIS 17.6 | Define Mechanisms for Communicating During Incident Response | Communication, Communication et rétablissement | 9 sur 13 |
| CIS 17.7 | Conduct Routine Incident Response Exercises | Réponse aux incidents | 12 sur 13 |
| CIS 17.8 | Conduct Post-Incident Reviews | Enseignements tirés | 9 sur 13 |
| CIS 17.9 | Establish and Maintain Security Incident Thresholds | Réponse aux incidents | 12 sur 13 |
| 18. Penetration Testing · 5 | |||
| CIS 18.1 | Establish and Maintain a Penetration Testing Program | Gestion des vulnérabilités | 13 sur 13 |
| CIS 18.2 | Perform Periodic External Penetration Tests | Gestion des vulnérabilités | 13 sur 13 |
| CIS 18.3 | Remediate Penetration Test Findings | Gestion des vulnérabilités | 13 sur 13 |
| CIS 18.4 | Validate Security Measures | Gestion des vulnérabilités | 13 sur 13 |
| CIS 18.5 | Perform Periodic Internal Penetration Tests | Gestion des vulnérabilités | 13 sur 13 |
Couverture du sujet
Thèmes avec des exigences CIS v8.1 mappées (38) :
Sensibilisation et formationRisque lié à la chaîne d'approvisionnementGestion des actifsClassification des donnéesGestion des vulnérabilitésContrôle d'accèsAuthentification multifacteurChiffrementProtection des donnéesSauvegarde et restaurationAccès privilégiésPare-feu / Segmentation réseauProtection des terminauxGestion des correctifsConfiguration sécuriséeDéveloppement sécuriséSécurité de la messagerieSécurité webZero TrustSécurité mobileSécurité du cloudSécurité DNSWAFDLPSurveillance continueJournalisation et auditDétection d'intrusionDétection d'anomaliesSIEM / SOCRéponse aux incidentsCommunicationNotificationPlanification de la repriseEnseignements tirésCommunication et rétablissementReprise après sinistreSécurité des APIGestion des risques fournisseurs
Aucune correspondance dans nos données Aucune exigence CIS v8.1 (12) :