Contrôles de sécurité critiques CIS v8: aperçu, mises à jour et ce que cela signifie pour votre entreprise

Les CIS Critical Security Controls (CIS Controls) sont un ensemble de lignes directrices de meilleures pratiques créées par le Center for Internet Security (CIS) pour aider les organisations à se protéger contre les menaces cybernétiques. Les CIS Controls existent depuis 2008 et, à chaque nouvelle version, ils sont devenus de plus en plus complets et efficaces. La dernière version des CIS Controls, version 8, a été publiée en 2021, avec des mises à jour et des modifications par rapport à la version précédente 7.

Importance des contrôles CIS

Les contrôles CIS sont importants pour les organisations de toutes tailles et de tous secteurs, car ils offrent un moyen simple et efficace de mettre en œuvre une gamme de protocoles de cybersécurité qui peuvent considérablement réduire les chances d’une attaque réussie. Cet article fournit un aperçu des contrôles CIS, discute ce qui est nouveau dans la version 8, explique comment mettre en œuvre les contrôles CIS et comment Kiteworks peut aider les organisations à respecter les directives des contrôles CIS.

Aperçu des contrôles de sécurité critiques CIS

Les contrôles CIS sont conçus pour aider les organisations à se protéger contre les attaques cybernétiques les plus courantes et les plus réussies. Ce sont un ensemble de meilleures pratiques et de recommandations, élaborées au fil des ans et fondées sur les expériences d’experts en cybersécurité du monde entier. Les organisations devraient les intégrer dans leur cadre de cybersécurité plus large, car elles sont conçues pour être complémentaires à d’autres protocoles de cybersécurité.

La stratégie de gestion des risques en cybersécurité.

Contrôles de sécurité fondamentaux

Les contrôles de sécurité fondamentaux sont les contrôles les plus importants pour les organisations à mettre en œuvre, car ils sont conçus pour protéger contre les cyberattaques les plus courantes et les plus réussies. Les contrôles se concentrent sur des mesures préventives et proactives, telles que la gestion des correctifs, le contrôle des accès des utilisateurs et la configuration sécurisée.

Contrôles de sécurité avancés

Les contrôles de sécurité avancés sont conçus pour offrir une protection supplémentaire aux organisations et sont généralement plus complexes à mettre en œuvre. Ces contrôles se concentrent sur la protection contre les menaces de cybersécurité plus avancées et incluent des sujets tels que la protection contre les logiciels malveillants et les attaques basées sur des logiciels malveillants, la mise en œuvre d’une architecture de sécurité d’entreprise et l’institution d’une réponse aux incidents.

Contrôles de sécurité organisationnels

Les contrôles de sécurité organisationnels sont conçus pour garantir l’efficacité des deux autres catégories de contrôle et se concentrent sur le développement, la mise en œuvre et l’examen des politiques, procédures, normes et lignes directrices de sécurité.

Quelles sont les plus récentes versions 8 des CIS Controls ?

This control involves collecting and analyzing log data from network devices and applications. This helps organizations detect and respond to malicious activity.

Les contrôles CIS sont organisés en 18 contrôles qui couvrent les trois catégories. Les contrôles sont hiérarchisés par ordre d’importance et d’efficacité, afin que les organisations puissent concentrer leurs ressources sur les contrôles les plus importants en premier. Ceux-ci ont été réordonnés et réorganisés par rapport aux sous-contrôles précédents. Ils sont regroupés par différentes activités de cybersécurité et incluent :

1. Inventaire et contrôle des actifs matériels

Ce contrôle implique la maintenance d’un inventaire exact et à jour de tous les actifs matériels, y compris physiques et virtuels, sur le réseau. Cela aide les organisations à comprendre les points d’entrée pour les acteurs malveillants.

2. Inventaire et contrôle des actifs logiciels

Ce contrôle implique la maintenance d’un inventaire exact et à jour de tous les actifs logiciels, y compris open source et commerciaux, sur le réseau. Cela aide les organisations à identifier les composants logiciels vulnérables connus.

3. Gestion des vulnérabilités en continu

Ce contrôle implique le suivi des configurations système et le patching des composants logiciels et firmware vulnérables.

4. Utilisation contrôlée des privilèges administratifs

Ce contrôle implique la restriction de l’accès administratif aux comptes privilégiés uniquement à ceux qui ont un besoin légitime d’accès. Des concepts tels que zero trust sont très importants dans ce contrôle.

5. Configuration sécurisée pour les périphériques réseau

Ce contrôle implique la configuration des périphériques réseau, y compris les routeurs, les commutateurs et les pare-feu, selon les normes et les meilleures pratiques de l’industrie.

6. Défense frontalière

Ce contrôle implique l’établissement d’une stratégie de défense en profondeur pour protéger le réseau en mettant en œuvre de multiples couches de protection.

7. Maintenance, surveillance et analyse des journaux d’audit

Ce contrôle implique la collecte et l’analyse des données de journalisation des périphériques réseau et des applications. Cela aide les organisations à détecter et à réagir aux activités malveillantes.

managing security incidents.

8. Protection des courriels et des navigateurs Web

Ce contrôle implique l’utilisation de solutions anti-malware et de filtrage Web pour protéger l’organisation des courriels et des sites Web malveillants.

9. Défenses contre les logiciels malveillants

Ce contrôle implique l’utilisation de solutions anti-malware pour détecter, prévenir et supprimer le code malveillant du réseau.

10. Limitation et contrôle des ports, des protocoles et des services réseau

Ce contrôle implique la limitation des communications réseau aux seuls ports, protocoles et services nécessaires au fonctionnement de l’organisation.

11. Protection des données

Ce contrôle implique la mise en œuvre de solutions pour protéger les données sensibles contre l’accès, la modification ou la divulgation non autorisés.

12. Contrôle et accès sans fil

Ce contrôle implique la mise en œuvre de solutions pour sécuriser le réseau sans fil de l’organisation contre tout accès non autorisé.

13. Surveillance et contrôle des comptes

Ce contrôle implique la surveillance des comptes d’utilisateur pour détecter des activités suspectes et l’application de politiques de verrouillage des comptes.

14. Mise en œuvre d’un programme de sensibilisation et de formation à la sécurité

Ce contrôle implique la mise en œuvre d’un programme de sensibilisation à la sécurité pour sensibiliser les utilisateurs aux meilleures pratiques de sécurité.

15. Sécurité logicielle des applications

Ce contrôle implique de sécuriser les applications contre les menaces connues et émergentes en mettant en œuvre des pratiques de codage sécurisées, des outils d’analyse statique et dynamique du code et un listage blanc des applications.

16. Réponse et gestion des incidents de sécurité

Ce contrôle implique l’élaboration d’un plan pour répondre et gérer les incidents de sécurité.

Testez l’implémentation des contrôles CIS dans un environnement contrôlé.

Quels outils et ressources sont nécessaires pour mettre en œuvre les contrôles CIS?

Il existe de nombreux outils et ressources pour aider les organisations à mettre en œuvre les contrôles CIS. Ceux-ci incluent:

1. Outil d’évaluation des contrôles CIS

L’outil d’évaluation des contrôles CIS aide les organisations à évaluer leur posture de sécurité existante et à identifier les lacunes.

2. Outil de validation de la sécurité des critères CIS

L’outil de validation de la sécurité des critères CIS est conçu pour aider les organisations à s’assurer que leurs systèmes respectent les contrôles CIS.

3. Kit d’implémentation des contrôles de sécurité critiques CIS

Le kit d’implémentation des contrôles de sécurité critiques CIS fournit aux organisations un guide étape par étape pour mettre en œuvre les contrôles CIS.

4. Base de données des contrôles CIS

La base de données des contrôles CIS fournit aux organisations des informations détaillées sur chaque contrôle, y compris des étapes détaillées, des meilleures pratiques et des ressources.

5. Surveiller

Surveillez régulièrement l’efficacité des contrôles CIS et mettez-les à jour au besoin.

Réseau de contenu privé Kiteworks et contrôles CIS

Les contrôles CIS sont un ensemble important et efficace de meilleures pratiques et de lignes directrices pour les organisations souhaitant se protéger des cybermenaces. La dernière version, la version 8, comprend des mises à jour qui aident les organisations à prendre en compte les dernières cybermenaces et les nouvelles technologies. to learn more.

Les contrôles CIS sont gratuits pour toute organisation qui cherche à améliorer sa propre cybersécurité. Le Kiteworks Private Content Network unifie, suivi, contrôle et sécurise les données de fichier et de courrier électronique dans une plateforme, permettant aux organisations de régir qui a accès aux contenus sensibles, qui peut le modifier, à qui il peut être envoyé et où il peut être envoyé. Kiteworks incarne les meilleures pratiques et cadres de cybersécurité tels que les contrôles CIS, le cadre de cybersécurité du National Institute of Standards and Technology (NIST CSF), le cadre de confidentialité NIST, ISO 27001 et SOC 2.

Planifiez une démonstration personnalisée pour en savoir plus.

Examinez les fonctionnalités de Kiteworks pour voir comment elles s’alignent sur les normes mondiales de cybersécurité telles que les contrôles CIS et pour en apprendre plus sur la façon dont elle fournit le cadre pour que les organisations protègent leurs données en transit et à l’arrêt.

 

Retour au glossaire Risque & Conformité