Le CIS (Center for Internet Security), socle concret de votre cybersécurité

Le CIS, Center for Internet Security, est l'une des références les plus citées en cybersécurité, et pourtant l'une des plus mal comprises. Beaucoup d'entreprises ont déjà entendu parler des CIS Controls ou des CIS Benchmarks sans savoir ce qui se cache derrière, ni comment les appliquer concrètement. Cet article explique ce qu'est le CIS, ses deux piliers, ce qu'il change pour une PME, et surtout comment un SOC MDR les met en oeuvre au quotidien, chiffres à l'appui.

Le CIS, qu'est-ce que c'est ?

Le Center for Internet Security est une organisation américaine à but non lucratif, indépendante des éditeurs. Sa mission consiste à rendre la cybersécurité concrète et accessible en publiant des bonnes pratiques consensuelles, construites par une communauté mondiale d'experts, des administrateurs système aux RSSI en passant par les chercheurs et les agences publiques. Ce ne sont pas des recommandations théoriques, puisque chaque mesure est priorisée selon son efficacité réelle face aux attaques observées.

Le CIS héberge aussi le MS-ISAC, le centre de partage d'information des collectivités américaines, et publie trois ressources phares, les CIS Controls, les CIS Benchmarks et les CIS Hardened Images (des images de machines virtuelles déjà durcies, disponibles sur les marketplaces cloud). Pour une PME européenne, son intérêt tient en peu de mots. C'est un référentiel gratuit, pragmatique, et directement aligné sur les grands cadres réglementaires comme NIS2, ISO 27001, NIST ou le RGPD.

Les deux piliers, CIS Controls et CIS Benchmarks

La confusion la plus fréquente consiste à mélanger les deux piliers du CIS. Ils sont complémentaires mais répondent à deux questions différentes.

Les CIS Controls (version actuelle v8.1) forment une liste priorisée de 18 contrôles regroupant 153 mesures de sécurité, appelées « safeguards ». Ils couvrent l'inventaire du matériel et des logiciels, la gestion des vulnérabilités, les droits d'administration, la journalisation, la sauvegarde, la sensibilisation ou encore la réponse à incident. C'est le « quoi faire », dans l'ordre de priorité.

Les CIS Benchmarks, eux, sont des guides de durcissement techniques. On en compte plus de 100, qui couvrent Windows, Linux, macOS, Microsoft 365, les navigateurs, les bases de données, Docker, Kubernetes, AWS ou Azure. Chaque Benchmark détaille, réglage par réglage, la configuration sécurisée attendue, par exemple désactiver SMBv1, forcer une longueur de mot de passe ou activer l'audit avancé. C'est le « comment », au niveau de chaque machine.

Les trois groupes d'implémentation, IG1 à IG3

Le CIS a compris qu'une TPE et une banque n'ont ni les mêmes moyens ni le même niveau de risque. Les 153 mesures sont donc réparties en trois groupes d'implémentation (Implementation Groups), par ordre de priorité.

• IG1, la cyber-hygiène essentielle. Une cinquantaine de mesures de base, réalisables par une organisation à ressources limitées, sans équipe sécurité dédiée. C'est le socle minimal que toute PME devrait atteindre.
• IG2. Pensé pour une organisation qui gère des données sensibles et dispose d'une équipe IT. Il ajoute la segmentation, la supervision et la gestion fine des accès.
• IG3. Destiné aux organisations exposées à des attaques ciblées comme la santé, la finance ou les infrastructures critiques. Il couvre l'intégralité des 153 mesures.

Pour une PME, le bon objectif n'est pas « 100 % du CIS » mais atteindre et tenir l'IG1, puis progresser vers l'IG2 selon son secteur. Viser la perfection d'emblée est le meilleur moyen de ne rien faire.

Pourquoi le CIS concerne votre PME

Le CIS n'est pas qu'une affaire de spécialistes. Il répond à quatre enjeux très concrets pour une entreprise, même petite.

• Réduire la surface d'attaque. La majorité des compromissions exploitent des configurations par défaut ou des failles connues, et durcir selon les Benchmarks ferme ces portes avant qu'un attaquant ne les trouve.
• Rassurer la cyber-assurance. Les assureurs exigent de plus en plus des preuves de bonnes pratiques comme le MFA, les sauvegardes ou la journalisation, et un rapport de conformité CIS est exactement ce type de preuve.
• Avancer sur NIS2 et ISO 27001. Le CIS se mappe directement sur ces cadres, donc travailler le CIS fait progresser votre conformité réglementaire sans repartir de zéro.
• Parler un langage commun. Dire « nous sommes alignés IG1 sur le CIS Benchmark Windows 11 » résume en une phrase un niveau de sécurité vérifiable, pour un client, un auditeur ou un assureur.

Le piège, connaître le CIS ne suffit pas

Télécharger un Benchmark de 1 000 pages est gratuit. Le problème n'est pas de savoir, mais de faire, mesurer, et surtout tenir dans le temps. Trois écueils reviennent systématiquement.

Le durcissement CIS n'est donc pas un projet ponctuel mais un processus continu. Il faut mesurer l'état réel, corriger par paliers sans casser la production, documenter, puis surveiller la dérive. C'est exactement le rôle d'un SOC.

Comment ONYX-CYBER applique le CIS, concrètement

Chez ONYX, le CIS n'est pas un argument marketing, il est intégré à notre service MDR. Voici la démarche que nous appliquons sur chaque poste et serveur supervisé.

• 1. Mesurer. Nos agents Wazuh embarquent le module SCA (Security Configuration Assessment), qui évalue chaque machine contre le CIS Benchmark correspondant, comme le CIS Microsoft Windows 11 Benchmark. On obtient un score de conformité et la liste exacte des contrôles en échec.
• 2. Durcir par paliers. On corrige d'abord les gains rapides sans risque comme SMBv1, WDigest, LLMNR ou AutoRun, jusqu'au chiffrement du disque, en validant à chaque étape pour ne jamais bloquer l'utilisateur.
• 3. Prouver. On produit un rapport de conformité avant / après, exploitable pour un assureur ou un audit.
• 4. Surveiller la dérive. Le score est suivi en continu dans le SOC, et si une mise à jour ou un nouveau poste fait chuter la conformité, l'alerte remonte et on corrige.

Le 100 % n'est pas l'objectif sur un poste de travail, car certains contrôles CIS cassent des usages métier et ne sont pas pertinents en poste autonome. La cible réaliste se situe entre 70 et 85 %, documentée, maintenue, et prouvée. Comme on le résume en clientèle, ONYX ne fait pas que détecter, ONYX durcit vos postes selon le CIS et vous le prouve, chiffres à l'appui.

Questions fréquentes

Quelle différence entre les CIS Controls et les CIS Benchmarks ?
Les CIS Controls sont une liste priorisée de 18 mesures à l'échelle de l'organisation, soit la stratégie. Les CIS Benchmarks sont des guides de durcissement techniques, réglage par réglage, pour une technologie précise comme Windows ou Microsoft 365, soit la mise en oeuvre. Les Controls disent quoi faire, les Benchmarks disent comment configurer.

Le CIS est-il adapté à une PME ?
Oui. Le groupe IG1, la cyber-hygiène essentielle, est pensé pour les organisations à ressources limitées. Une PME peut viser ce socle d'une cinquantaine de mesures sans équipe sécurité dédiée, puis monter vers IG2 selon son niveau de risque.

Comment mesure-t-on sa conformité au CIS ?
On compare la configuration réelle de chaque machine au CIS Benchmark correspondant avec un outil d'évaluation comme CIS-CAT ou le module SCA de Wazuh. Il produit un score, la liste des contrôles en échec et les corrections à appliquer, suivis dans le temps par le SOC.

Le durcissement et la mesure CIS font partie intégrante de notre service MDR 24/7. Nous mesurons, durcissons et surveillons la conformité de votre parc en continu. Vous pouvez aussi en savoir plus sur les groupes d'implémentation et les Benchmarks directement sur le site du CIS.