Le CIS pour renforcer votre stratégie de sécurité informatique

Temps de lecture estimé : 6 minutes

Dans le contexte informatique actuel où les cyberattaques ne cessent d’augmenter, la cybersécurité des entreprises devient de plus en plus complexe à mettre en place.

Avec l’évolution constante des nouveaux types de cyberattaque et les nombreuses failles internes que l’on peut retrouver au sein d’un réseau, il devient plus que jamais nécessaire d’être à jour et d’intégrer les nouvelles pratiques informatiques. Mais, avec les nouvelles réglementations mises en place par les instances gouvernementales, il faut également suivre les normes internationales de cyberdéfense pour être conformes aux nouveaux standards de sécurité et garantir la survie d’une entreprise.

C’est pour cela que des organismes tels que le CIS (Center for Internet Security) ont vu le jour pour aider les entreprises dans leur démarche de cybersécurité.

Dans cet article, nous allons voir comment le benchmarking CIS opère pour aider les entreprises à renforcer la sécurité de leur environnement de travail. Le renforcement de la sécurité est une activité qui se doit d'être régulière. CIS synthétise et propose une baseline de sécurité informatique à respecter, qui pose les premières briques de cyberdéfense au sein de l’entreprise.

01. Qu’est-ce qu’est le CIS ?
02. Les services CIS
03. Le CIS dans le processus SCA d’une entreprise

01. Qu’est-ce qu’est le CIS ?

Le CIS (center for internet security) est un organisme à but non lucratif crée en 2000, et basé à New York. Cet organisme a vu le jour dans le but d’aider les entreprises à disposer d’un haut niveau de sécurité, par l’implémentation de recommandations et l'application de techniques de benchmarking.

Le CIS est composé de diverses entités, tels que les PME, GE, universités et institutions gouvernementales, experts dans le domaine de la cybersécurité. Ensemble, ces entités cherchent à partager les meilleures pratiques informatiques pour maintenir la sécurité des systèmes et la protection des données pour les entreprises.

Son objectif principal est de "faire du monde connecté un endroit plus sûr en développant, validant et promouvant en permanence les meilleures pratiques qui aident les personnes, les entreprises et les gouvernements à se protéger contre les cybermenaces omniprésentes", selon le site officiel du CIS.

Les professionnels de la sécurité collaborent pour produire les normes et les meilleures pratiques par prise de décision par consensus, entre les différentes entités, notamment en se basant sur les normes ISO, NIST, etc.

02. Les services CIS

Le CIS propose non seulement des recommandations de sécurité, mais également des outils à la disposition du public, pour assurer la sécurité informatique à différents niveaux. Notamment, le CIS propose :

CIS Controls

Le CIS regroupe les meilleures pratiques/actions sécurité à implémenter pour faire face aux cyberattaques lorsque celles-ci surviennent. Ces actions sont regroupées en différentes catégories, avec un ordre de priorité, pour faciliter l'implémentation des actions selon les cas rencontrés et elles sont régulièrement mises à jour sur le site du CIS pour maintenir la sécurité informatique.

Plus précisément, le CIS Controls regroupe actuellement 20 grandes actions précises à mener pour bien sécuriser l’environnement informatique d’une entreprise.

Ces préconisations expliquent les différentes étapes à suivre et les actions qui couvrent tous les aspects touchant la cybersécurité, de la technique informatique aux aspects organisationnels, mais ces mesures doivent être appliquées en fonction des besoins d’une entreprise. Ces actions ne peuvent pas être effectuées en une seule étape et demandent une planification préalable sur l’évaluation et l’exécution vers le processus d’amélioration de la sécurité.

CIS Benchmarks

Contrairement au CIS Controls, le CIS Benchmarks regroupe les meilleures pratiques sécurité à effectuer pour bien configurer un système et garantir sa sécurité. Ces références sont créées par consensus des différents experts cybersécurité et mises à jour selon les nouveaux événements cybersécurité rencontres au cours de ces derniers temps. Les Benchmarks sont classés en fonction des systèmes d’exploitation (Linux, MacOS, Windows…).

Par exemple, parmi ces Benchmarks, pour un système d’exploitation donné, nous pouvons avoir des configurations à tester sur la politique de mot de passe et la restriction des possibilités d’accès privilégiés à distance dans leurs bases de données à exploiter. Pour chaque configuration, le CIS Benchmarks propose un audit préalable à travers des commandes à effectuer pour ensuite suggérer une remédiation en cas de problème ou de non-conformités aux CIS Controls.

03. Le CIS dans le processus SCA d’une entreprise

Le CIS joue un rôle majeur dans le Security Configuration Assessment (SCA) d'une entreprise. Le SCA se base sur les normes définies par le CIS pour analyser le niveau de sécurité informatique au sein d'une entreprise en comparant les pratiques organisationnelles aux meilleures pratiques définies par CIS.

Pour implémenter ces normes, la première recommandation du CIS pour bien configurer son SCA est le recensement des actifs informatiques physique et "virtuel" (tels que les systèmes d'exploitation, les logiciels employés) au sein de l'organisation.

Par la suite, un panel de contrôle sera instauré pour surveiller et évaluer la sécurité des différents actifs, en se basant sur les normes CIS.

En fonction des résultats, l’équipe informatique décidera si procéder au Security Hardening (le durcissement de la sécurité informatique au sein d’une entreprise). Le security hardening consiste à renforcer la sécurité numérique d’une organisation.

Sur les infrastructures d’infogérance Exodata, ce travail de suivi est réalisé de manière standard. Notre centre de sécurité opérationnel (SOC) teste de manière régulière les configurations systèmes et les compare aux préconisations du CIS, afin de relever les axes de renforcement de la sécurité numérique. L'expertise de nos analystes de sécurité permet alors de conseiller et accompagner les clients sur les actions techniques à réaliser pour être conforme aux normes instaurées par le CIS et garantir la cybersécurité des entreprises.

L’objectif d’Exodata est de contribuer quotidiennement au renforcement du niveau et de la posture sécurité chez nos clients. En ce sens, nous nous référons systématiquement aux normes, standards et organismes de références en plus des bonnes pratiques du métier.