CIS Controls : la liste courte, dans le bon ordre
Nous vous évaluons au regard des CIS Critical Security Controls, choisissons le groupe de mise en œuvre adapté et vous aidons à déployer les safeguards prioritaires.
Présentation
Ce que sont les CIS Controls
Les CIS Critical Security Controls sont un ensemble priorisé de pratiques défensives maintenu par le Center for Internet Security. La version actuelle compte 18 contrôles, de l'inventaire des actifs et la protection des données à la réponse aux incidents et aux tests d'intrusion, chacun décliné en safeguards précis.
Les safeguards sont répartis en trois groupes de mise en œuvre (implementation groups). L'IG1 correspond à l'hygiène informatique essentielle, le socle de toute organisation. L'IG2 et l'IG3 ajoutent des safeguards pour des environnements plus complexes, des données plus sensibles ou des attaquants plus capables. Chaque groupe inclut le précédent : on monte d'un niveau plutôt que de choisir.
Il n'existe pas de certification CIS Controls. Le cadre est fait pour être appliqué, mesuré et amélioré. Black Fox mesure où vous en êtes et vous aide dans le travail, sur les documents comme sur la configuration technique.
À qui s'adresse ce service
Les petites et moyennes organisations qui cherchent un point de départ concret et priorisé, les équipes informatiques qui préfèrent une liste de tâches à un système de management, et les organisations qui suivent déjà un cadre comme l'ISO/IEC 27001 et veulent un socle technique en dessous.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Groupe de mise en œuvre
Nous vous aidons à choisir le groupe adapté à votre taille, à vos données et à votre exposition, pour viser les bons safeguards.
Évaluation des safeguards
Chaque safeguard du périmètre vérifié sur preuves : en place, partiellement en place ou absent.
Inventaire des actifs et logiciels
Les premiers contrôles demandent de savoir ce que vous exploitez. Nous vous aidons à bâtir des inventaires qui restent à jour.
Mise en œuvre technique
Durcissement concret des postes, serveurs, équipements réseau et comptes, en s'appuyant entre autres sur des référentiels de configuration comme les CIS Benchmarks.
Correspondance avec d'autres cadres
Les CIS Controls se rattachent au NIST CSF, à l'ISO/IEC 27001 et à d'autres. Nous exploitons ces correspondances pour que le travail compte plusieurs fois.
Déroulement de la mission
Lancement
Nous convenons du périmètre, des interlocuteurs et des accès nécessaires, et signons d'abord un accord de confidentialité si vous le souhaitez.
Proposition
Une proposition commerciale précisant la méthode, le périmètre et le type de contrat qui vous convient.
Évaluation
Entretiens, revue de configuration et échantillonnage de preuves au regard des safeguards de votre groupe.
Restitution
Une vue notée de chaque safeguard, un rapport de synthèse et un rapport technique détaillant comment combler chaque écart.
Accompagnement à la mise en œuvre
En option, un travail concret sur les écarts de votre choix, dans l'ordre suggéré par les contrôles.
Clôture
Clôture du projet avec vos retours et, en option, une nouvelle évaluation pour mesurer les progrès.
Ce que vous recevez
- Recommandation de groupe de mise en œuvre
- Évaluation safeguard par safeguard
- Plan de remédiation priorisé
- Rapport de synthèse pour la direction
- Rapport technique avec recommandations de configuration
- Correspondance avec le NIST CSF ou l'ISO/IEC 27001 si utile
Questions
Peut-on être certifié CIS Controls ?
Non. Le CIS publie les contrôles et des outils pour les mesurer, mais il n'existe pas de schéma de certification pour les organisations. Une évaluation indépendante comme la nôtre montre où vous en êtes. S'il vous faut un certificat, regardez l'ISO/IEC 27001.
Quelle différence entre les CIS Controls et les CIS Benchmarks ?
Les Controls décrivent ce qu'il faut faire dans votre programme de sécurité. Les Benchmarks sont des guides détaillés de configuration sécurisée pour des produits précis, par exemple des systèmes d'exploitation et des plateformes cloud. Plusieurs safeguards demandent une configuration sécurisée, et c'est là qu'interviennent les Benchmarks.
Quel groupe de mise en œuvre viser ?
Toute organisation devrait couvrir l'IG1. L'IG2 ou l'IG3 dépendent de la sensibilité de vos données, de la complexité de votre environnement et des attentes de vos clients et autorités. Nous vous aidons à trancher pendant l'évaluation.
Est-ce un exercice purement documentaire ?
Non. La plupart des safeguards sont techniques. Nous vérifions les configurations et les preuves, et pouvons mener le durcissement avec vous.
Services associés
- Gouvernance et risquesNIST Cybersecurity FrameworkNIST CSF 2.0 avec Black Fox Security : profils actuel et cible sur Govern, Identify, Protect, Detect, Respond et Recover, et un plan pour combler l'écart.
- Sécurité managéeDurcissement de la sécuritéDurcissement par Black Fox Security : postes de travail, serveurs et réseaux, référentiels de configuration sécurisée, supervision et sécurité personnelle.
- Sécurité managéeGestion des vulnérabilitésRevues de vulnérabilités récurrentes par Black Fox Security : scans, tri, priorisation selon l'exploitabilité et l'exposition, suivi des correctifs.
- Gouvernance et risquesAudit de sécurité de l'informationAudits indépendants de sécurité de l'information par Black Fox Security selon l'ISO/IEC 27001, la 27002, le RGPD, PCI DSS, vos politiques ou un questionnaire client.
Commencez par l'IG1
Dites-nous ce que vous exploitez. Nous vous dirons quels safeguards traiter d'abord et vous aiderons à les mettre en place.