Cadre de contrôles de sécurité critiques

Définition

Le cadre de contrôles de sécurité critiques, connu sous le nom de CIS Controls, est un référentiel de bonnes pratiques cybersécurité élaboré par le Center for Internet Security, qui définit un ensemble priorisé d'actions défensives concrètes pour réduire les risques les plus fréquents et les plus impactants. Le référentiel organise ses recommandations en dix-huit contrôles couvrant l'inventaire des actifs matériels et logiciels, la gestion des vulnérabilités, la protection des données, la gestion des comptes à privilèges, la journalisation centralisée, la formation à la sensibilisation et la réponse à incident, chacun décliné en sous-mesures appelées safeguards, réparties selon trois groupes d'implémentation adaptés à la maturité de l'organisation. Contrairement à des référentiels plus généralistes comme ISO 27001 ou le NIST CSF, qui structurent une démarche de gouvernance globale, les CIS Controls privilégient une approche opérationnelle et actionnable, directement dérivée de l'analyse de scénarios d'attaque réels et des techniques documentées dans MITRE ATT&CK. Ce cadre est particulièrement apprécié des petites et moyennes structures souhaitant prioriser leurs efforts avec des ressources limitées, ainsi que des équipes techniques cherchant une checklist concrète de durcissement. Il est régulièrement mis à jour pour refléter l'évolution des menaces et peut être utilisé en complément d'un système de management de la sécurité de l'information plus large.