CIS Controls : le cadre de sécurité pour les MSP

Selon le rapport Kaseya « State of the MSP » de 2026, 71 % des MSP ont fait état d'une croissance de leur chiffre d'affaires d'une année sur l'autre dans le domaine de la cybersécurité, mais près de la moitié d'entre eux citent la complexité des produits de sécurité comme principal frein à leur croissance.

Lorsque les organisations se demandent « par où commencer en matière de cybersécurité ? », la réponse est rarement simple. Il existe des dizaines de référentiels, des centaines de documents d’orientation et une multitude de mesures de sécurité à prendre en compte. Les « CIS Controls » simplifient cette complexité en proposant une réponse résolument pratique : voici les 18 mesures de sécurité les plus importantes, classées par ordre de priorité, accompagnées de conseils de mise en œuvre spécifiques adaptés aux organisations de différentes tailles.

C'est précisément cette hiérarchisation des priorités qui fait la particularité des contrôles CIS. Plutôt que de constituer un catalogue exhaustif de toutes les mesures qu'une organisation devrait mettre en œuvre à terme, ces contrôles se concentrent sur les actions fondamentales qui permettent de contrer les vecteurs d'attaque les plus courants et d'obtenir la plus forte réduction des risques par unité d'effort.

Mettre en œuvre et assurer le suivi des contrôles CIS à l'aide de Compliance Manager GRC

Compliance Manager GRC comprend des modèles spécialement conçus pour les trois groupes de mise en œuvre de la norme CIS v8.1, permettant de suivre la mise en œuvre des mesures de protection, d'identifier les lacunes et de générer automatiquement des rapports de preuves prêts pour l'audit.

Découvrir Compliance Manager GRC

Que sont les contrôles CIS ?

Les « CIS Controls » constituent un ensemble hiérarchisé de bonnes pratiques en matière de cybersécurité, élaboré et mis à jour par le Center for Internet Security, une organisation à but non lucratif. Initialement publiés sous le nom de « SANS Top 20 », puis adoptés et développés par le CIS, ces contrôles reflètent un consensus sur les mesures défensives les plus efficaces contre les attaques les plus courantes.

Ce référentiel est largement cité par les organismes de réglementation et les normes de conformité. Le NIST, la loi HIPAA, la norme PCI DSS et de nombreuses réglementations en matière de cybersécurité au niveau des États font référence aux contrôles CIS ou s’alignent sur ceux-ci. Pour les organisations soumises à de multiples exigences de conformité, la mise en œuvre des contrôles CIS permet souvent de couvrir de manière significative plusieurs référentiels à la fois.

Les contrôles sont gratuits et accessibles au public ; ils s'accompagnent d'une documentation comprenant des conseils de mise en œuvre, des correspondances avec d'autres référentiels et des critères de référence pour des technologies spécifiques. Les critères de référence CIS fournissent des conseils de renforcement de la sécurité pour les systèmes d'exploitation, les applications et les services cloud.

CIS Controls v8.1 : le cadre actuel

CIS Controls v8.1 est la version actuelle du framework. La version v8, sortie en 2021, constituait l'évolution la plus importante depuis des années, et la version v8.1 a permis d'affiner et de mettre à jour les détails relatifs aux mesures de protection. Principales modifications par rapport à la version v7 :

Priorité au cloud et au mobile. La version 8 a été repensée pour tenir compte du fait que les environnements informatiques s'étendent désormais aux infrastructures sur site, aux services cloud, aux appareils mobiles et au télétravail, et ne se limitent plus au périmètre traditionnel de l'entreprise.

Le nombre de contrôles a été ramené de 20 à 18. Plusieurs contrôles qui se recoupaient ont été fusionnés, et le référentiel a été réorganisé autour de trois groupes de mise en œuvre (IG1, IG2 et IG3) qui permettent aux organisations d’adapter le référentiel en fonction de leur taille et de leur profil de risque.

Modèle des mesures de protection. La version 8 a introduit le concept de « mesures de protection » pour désigner les actions détaillées au sein de chaque contrôle, remplaçant ainsi la terminologie précédente de « sous-contrôles ». La version 8.1 des contrôles CIS comprend 153 mesures de protection réparties sur les 18 contrôles.

Groupes de mise en œuvre : adapter les contrôles à votre organisation

L'une des fonctionnalités les plus utiles sur le plan pratique des « CIS Controls » est le modèle des groupes de mise en œuvre, qui permet aux organisations d'adapter le cadre à leur taille, à leurs ressources et à leur profil de risque, plutôt que de considérer l'ensemble des 153 mesures de protection comme une liste indifférenciée.

IG1, « Hygiène informatique essentielle » (56 mesures de protection) : Conçu pour les petites organisations disposant d’un personnel informatique et de cybersécurité limité. L’IG1 représente le niveau de référence que toute organisation devrait atteindre, quelle que soit sa taille ; il s’agit des contrôles permettant de contrer les attaques les plus courantes et les moins sophistiquées qui touchent la grande majorité des organisations. Même si une organisation ne met en œuvre aucune autre mesure, le simple fait d’atteindre le niveau IG1 améliore considérablement son niveau de sécurité.

IG2 (130 mesures de protection, incluant l'ensemble des mesures de l'IG1) : Convient aux organisations gérant des données sensibles et disposant d'un personnel informatique et de sécurité dédié. L'IG2 ajoute 74 mesures de protection supplémentaires pour faire face à des menaces plus sophistiquées, répondre à des exigences de conformité et gérer des environnements plus complexes. Certaines mesures de protection de ce niveau nécessitent une technologie de niveau entreprise et une expertise spécialisée.

IG3 (les 153 mesures de sécurité, y compris IG1 et IG2) : Convient aux grandes organisations ou à celles disposant d’équipes de sécurité expérimentées chargées de gérer des actifs de grande valeur ou des infrastructures critiques. L’IG3 ajoute 23 mesures de sécurité destinées à lutter contre les menaces avancées et nécessite une expertise spécifique en matière de sécurité pour être pleinement mis en œuvre.

Pour la plupart des PME et des clients des MSP, les niveaux IG1 et IG2 constituent les objectifs pertinents. Une conformité totale au niveau IG1 permet de contrer la grande majorité des vecteurs d'attaque réels auxquels sont confrontées les PME.

Compliance Manager GRC comprend des modèles distincts pour chaque groupe de mise en œuvre, qui chargent automatiquement les mesures de sécurité spécifiques requises pour le niveau sélectionné.

Les 18 contrôles CIS

Mesure de contrôle n° 1 : Inventaire et contrôle des actifs de l'entreprise. Identifiez chaque appareil présent dans l'environnement. Vous ne pouvez pas protéger ce que vous ne connaissez pas.

Mesure de contrôle n° 2 : Inventaire et contrôle des actifs logiciels. Assurez le suivi de tous les logiciels et n'autorisez l'exécution que des logiciels autorisés. Les logiciels non autorisés constituent un point d'entrée privilégié pour les logiciels malveillants.

Mesure de contrôle n° 3 : Protection des données. Mettre en place des processus et des contrôles techniques permettant d'identifier, de classer, de sécuriser, de conserver et d'éliminer les données. Cela inclut le chiffrement et la prévention des pertes de données.

Contrôle n° 4 : Configuration sécurisée des actifs et des logiciels de l'entreprise. Mettre en place et maintenir des configurations sécurisées pour l'ensemble du matériel et des logiciels. Les configurations par défaut présentent souvent des failles de sécurité.

Contrôle n° 5 : Gestion des comptes. Utiliser des processus et des outils pour attribuer et gérer les identifiants de tous les comptes, y compris les comptes d'administrateur, de service et d'application, en respectant les principes du principe du moindre privilège.

Mesure de contrôle n° 6 : Gestion du contrôle d'accès. Créer et gérer les identifiants d'accès selon les principes du « besoin d'en connaître » et du « besoin d'utiliser ». Cette mesure couvre la mise en œuvre de l'authentification multifactorielle (MFA), la gestion des privilèges et les contrôles d'accès.

Mesure de contrôle n° 7 : Gestion continue des vulnérabilités. Collecter, évaluer et exploiter en permanence les nouvelles informations relatives aux menaces et aux vulnérabilités afin d'identifier et de corriger ces dernières, et de réduire au minimum la fenêtre d'opportunité dont disposent les attaquants.

Mesure de contrôle n° 8 : Gestion des journaux d'audit. Collecter, signaler, examiner et conserver les journaux d'audit afin de faciliter la détection des incidents et l'analyse forensic post-incident.

Mesure de contrôle n° 9 : Protection des messageries électroniques et des navigateurs Web. Renforcer les mesures de protection contre les menaces véhiculées par les messageries électroniques et les navigateurs Web, qui constituent les deux vecteurs d'accès initiaux les plus courants.

Mesure de contrôle n° 10 : Protection contre les logiciels malveillants. Utiliser des outils automatisés pour empêcher ou contrôler l'installation et l'exécution de code malveillant sur les terminaux.

Mesure de contrôle n° 11 : Récupération des données. Mettre en place et maintenir des procédures de récupération des données permettant de restaurer les données concernées dans leur état antérieur à l'incident, dans le respect des objectifs RTO et RPO définis.

Mesure de contrôle n° 12 : Gestion de l'infrastructure réseau. Mettre en place, déployer et gérer l'infrastructure réseau afin d'empêcher les attaquants d'exploiter les vulnérabilités des services et des configurations réseau.

Mesure de contrôle n° 13 : Surveillance et protection du réseau. Surveiller le réseau afin de détecter toute activité anormale ou malveillante et mettre en place des mécanismes permettant de détecter ces activités et d'y répondre.

Mesure de contrôle n° 14 : Sensibilisation à la sécurité et formation aux compétences. Mettre en place et maintenir un programme de sensibilisation à la sécurité qui traite du facteur de risque humain par le biais de formations et de simulations d'hameçonnage.

Mesure de contrôle n° 15 : Gestion des prestataires de services. Mettre en place un processus permettant d'évaluer et de gérer les prestataires de services (y compris les MSP) en fonction du risque qu'ils représentent pour les données et les systèmes de l'organisation.

Mesure de contrôle n° 16 : Sécurité des logiciels d'application. Gérer le cycle de vie de la sécurité des logiciels développés en interne, hébergés ou acquis afin de prévenir, détecter et corriger les failles de sécurité.

Mesure de contrôle n° 17 : Gestion des interventions en cas d'incident. Mettre en place un programme visant à développer et à maintenir une capacité d'intervention en cas d'incident, comprenant des guides d'intervention bien définis et des procédures testées.

Mesure de contrôle n° 18 : Tests d'intrusion. Tester l'efficacité des défenses au moyen d'attaques simulées et contrôlées afin d'identifier les vulnérabilités exploitables avant que les attaquants ne le fassent.

Contrôles CIS et autres référentiels

Les contrôles CIS ne sont pas isolés. Ils correspondent directement à d'autres référentiels auxquels les organisations doivent se conformer, ce qui constitue l'une des principales raisons pour lesquelles la mise en œuvre des contrôles CIS représente un investissement rentable, même pour les organisations qui ne sont pas spécifiquement tenues de suivre la norme CIS.

NIST CSF : Les contrôles CIS correspondent largement aux fonctions du NIST CSF (Identifier, Protéger, Détecter, Réagir, Restaurer). Les organisations qui utilisent le NIST CSF constatent que les contrôles CIS fournissent les détails au niveau de la mise en œuvre dont les fonctions plus abstraites du CSF ont besoin.

PCI DSS : les mesures de contrôle n° 1 à 7 et n° 10 à 12 correspondent étroitement aux exigences de la norme PCI DSS. La mise en œuvre des mesures de contrôle CIS réduit considérablement l'effort de préparation aux audits PCI DSS.

HIPAA : Les contrôles CIS répondent à bon nombre des exigences en matière de mesures de protection administratives, physiques et techniques prévues par la règle de sécurité HIPAA.

ISO 27001 : Il existe une forte convergence entre les contrôles CIS et ceux de l'annexe A de la norme ISO 27001. Les organisations qui souhaitent obtenir la certification ISO 27001 tirent parti de la mise en œuvre des contrôles CIS déjà en place, qui constitue une preuve de la maturité de leurs contrôles.

C'est précisément grâce à cette couverture multi-référentiels que les contrôles CIS constituent un point de départ pratique pour la plupart des organisations : leur mise en œuvre permet de fournir simultanément des preuves de conformité à plusieurs référentiels, ce qui réduit la charge administrative liée à la gestion indépendante de chacun d'entre eux.

Mise en œuvre des contrôles CIS avec Kaseya

La plateforme Kaseya offre une assistance technique directe pour la mise en œuvre de la plupart des contrôles CIS dans les environnements gérés :

Contrôles 1 et 2 (Inventaire des actifs) : la fonctionnalité de détection automatique des périphériques et d’inventaire des logiciels de VSA permet de créer et de tenir à jour les registres d’actifs requis par les contrôles 1 et 2. La solution « IT Glue » fournit la couche documentaire nécessaire au suivi des actifs et à la gestion des enregistrements de configuration.

Commandes 4 et 5 (Configuration sécurisée, Gestion des comptes) : la gestion de la configuration basée sur des politiques VSA garantit le respect des normes de configuration sécurisée sur l'ensemble des terminaux gérés. L'outil « Kaseya 365 User » prend en charge l'application de l'authentification multifactorielle (MFA) et la gestion des accès privilégiés.

Contrôle n° 7 (Gestion des vulnérabilités) : l'analyse des vulnérabilités et la gestion automatisée des correctifs proposées par Kaseya répondent directement aux exigences en matière de gestion continue des vulnérabilités.

Contrôles n° 9 et 10 (Protection des e-mails et du navigateur, Protection contre les logiciels malveillants) : Inky (sécurité des e-mails) et Datto EDR assurent les contrôles relatifs à la protection des e-mails, du navigateur et contre les logiciels malveillants.

Control 11 (récupération des données) : Datto BCDR offre les fonctionnalités de sauvegarde et de restauration requises par Control 11, avec une vérification automatisée et un stockage cloud immuable.

Mesure 14 (Sensibilisation à la sécurité) : BullPhish ID propose une formation à la sensibilisation à la sécurité et une simulation d'hameçonnage.

Contrôle n° 17 (Réponse aux incidents): Le service MDR de Kaseya offre une surveillance et une capacité d'intervention 24 h/24, 7 j/7, qui s'inscrit dans le cadre d'un programme géré de réponse aux incidents.

Compliance Manager GRC C'est là que tous ces éléments sont regroupés à des fins de conformité. La plateforme comprend des modèles CIS Controls v8.1 spécialement conçus pour les trois groupes de mise en œuvre (IG), qui intègrent automatiquement les mesures de sécurité spécifiques requises pour le niveau d'IG sélectionné. Elle suit l'avancement de la mise en œuvre des 153 mesures de sécurité, identifie les lacunes et génère automatiquement les manuels de conformité, les rapports de justification et la documentation d'audit qui démontrent le respect des CIS Controls aux clients, aux auditeurs et aux assureurs cyber.

Pour les MSP, cela transforme les « CIS Controls » d'un simple cadre à examiner en un service de conformité géré à fournir. Découvrez Compliance Manager GRC.

Points clés à retenir

CIS Controls v8.1 propose 18 mesures de sécurité classées par ordre de priorité, regroupées en « groupes de mise en œuvre » (IG) adaptés à la taille de l'organisation. L'IG1 (56 mesures de protection) constitue le niveau de référence essentiel que toute organisation devrait atteindre.
Le modèle des groupes de mise en œuvre rend les contrôles CIS accessibles aux organisations de toutes tailles : les PME visent les groupes IG1 et IG2, tandis que les grandes entreprises visent le groupe IG3.
Les contrôles CIS correspondent aux normes NIST CSF, PCI DSS, HIPAA et ISO 27001, ce qui rend leur mise en œuvre particulièrement utile pour apporter la preuve de la conformité à plusieurs référentiels simultanément.
La plateforme Kaseya met directement en œuvre la plupart des contrôles CIS via VSA, Datto EDR, IT Glue, Inky, BullPhish ID et Datto BCDR.
Compliance Manager GRC fournit des modèles CIS v8.1 spécialement conçus pour les trois groupes de mise en œuvre, permettant de suivre la mise en œuvre des mesures de sauvegarde et de générer automatiquement une documentation justificative prête pour l'audit.