Vue d'ensemble — CIS Critical Security Controls v8.1

Historique et origine

Les CIS Controls (anciennement SANS Top 20 ou Critical Security Controls) sont nés d'une collaboration entre experts de la NSA, du DoD américain et du secteur privé après une série de brèches gouvernementales majeures en 2008. L'idée centrale : identifier les actions de défense ayant le plus grand impact réel contre les attaques observées, plutôt que de produire des listes de contrôle théoriques.

Structure : 18 contrôles, 153 Safeguards

Chaque CIS Control est une catégorie thématique (ex. « Inventaire des actifs logiciels ») qui regroupe des Safeguards — des actions précises et mesurables à implémenter. Au total, la version 8.1 compte 153 Safeguards répartis ainsi :

Les 18 contrôles sont regroupés en 5 grandes familles :

1. Inventaire & Configuration — C1 Actifs, C2 Logiciels, C3 Données, C4 Configuration
2. Identité & Accès — C5 Comptes, C6 Accès
3. Détection & Défense — C7 Vulnérabilités, C8 Journaux, C9 Email/Web, C10 Anti-malware
4. Infrastructure réseau — C11 Récupération, C12 Infrastructure, C13 Surveillance réseau
5. Maturité & Gouvernance — C14 Sensibilisation, C15 Prestataires, C16 Applicatif, C17 Incidents, C18 Tests

Modèle CDM et lien avec MITRE ATT&CK

Chaque Safeguard est mappé à une ou plusieurs techniques d'attaque du référentiel MITRE ATT&CK v16. Ce mapping permet de :

• Identifier les lacunes de défense face aux tactiques réelles des attaquants
• Prioriser les Safeguards selon la probabilité d'une attaque donnée dans votre secteur
• Justifier l'investissement en sécurité auprès de la direction avec des données concrètes

Par exemple, le Safeguard 1.1 (inventaire des actifs) contrecarre directement la technique ATT&CK T1592 — Gather Victim Host Information. Sans inventaire, vous ne savez même pas ce qu'il faut défendre.

Nouveautés de la version 8.1.2 (mars 2025)