CIS

Que signifie CIS ?

Le Center for Internet Security (CIS) est un organisme sans but lucratif voué à l'amélioration de la cybersécurité. Fondé en 2000, il offre de nombreuses ressources qui promeuvent les pratiques exemplaires en sécurité et aident les organisations à gérer leur risque de cybersécurité. Ces ressources comprennent des guides de pratiques exemplaires, des systèmes sécurisés préconfigurés et des services de soutien aux programmes de cybersécurité des organismes gouvernementaux.

Que fait le CIS ?

Le CIS se consacre à la promotion des pratiques exemplaires en cybersécurité par l'éducation à la cybersécurité. Il élabore et publie diverses ressources gratuites conçues pour servir de guides aux organisations qui cherchent à renforcer leur sécurité.

Les référentiels CIS (CIS Benchmarks)

Souvent, les paramètres et configurations par défaut des systèmes TI (systèmes d'exploitation, environnements infonuagiques, etc.) ne sont pas sécurisés. Les référentiels CIS fournissent un guide pour sécuriser ces systèmes selon les pratiques exemplaires en cybersécurité.

Les référentiels CIS sont le fruit d'un effort communautaire et sont élaborés par des experts de leurs domaines respectifs. Chaque référentiel est classé Basique (niveau 1) ou Renforcé (niveau 2). Un référentiel Basique met en place un système généralement sécurisé et utilisable, tandis que les référentiels Renforcés peuvent offrir une sécurité accrue au prix d'une certaine perte de fonctionnalités.

Les images renforcées CIS (CIS Hardened Images)

Les images renforcées CIS offrent une méthode encore plus simple de mettre en place des systèmes sécurisés. Il s'agit de modèles de machines virtuelles (VM) préconfigurés pour se conformer aux référentiels CIS pertinents.

Les images renforcées CIS peuvent être utilisées partout où une organisation pourrait déployer une VM. Par exemple, elles peuvent servir à sécuriser des déploiements d'infrastructure en tant que service (IaaS) comme Amazon EWS, ou être hébergées dans le centre de données d'une organisation.

Les contrôles CIS (CIS Controls)

Les référentiels et les images renforcées CIS fournissent des conseils pour sécuriser des systèmes précis. Les contrôles CIS constituent une liste de 18 pratiques exemplaires de sécurité conçues pour guider les organisations dans l'amélioration de leurs programmes de sécurité.

Les contrôles CIS sont prescriptifs et conçus pour être simples à comprendre et à mettre en œuvre. Ils comportent aussi des correspondances croisées avec diverses réglementations et normes, comme NIST ou PCI DSS, ce qui aide les organisations à atteindre et à maintenir la conformité aux lois et réglementations applicables.

Le CIS offre également divers outils et ressources permettant aux entreprises de suivre et de soutenir leurs programmes de sécurité. Par exemple, il propose la méthode d'évaluation des risques CIS (CIS RAM) et CIS-CAT Pro pour l'évaluation des configurations.

Engagement communautaire

En plus de fournir des ressources, le CIS s'implique dans la communauté de diverses manières. Les membres de la communauté contribuent à l'élaboration des ressources du CIS, et le CIS participe à divers événements pour sensibiliser les gens aux pratiques exemplaires en cybersécurité.

Le CIS mène aussi des initiatives visant à améliorer la sécurité des entités gouvernementales. Le Multi-State Information Sharing and Analysis Center (MS-ISAC) soutient les entités gouvernementales américaines dans leurs efforts de cybersécurité. L'Elections Infrastructure Information Sharing and Analysis Center (EI-ISAC) offre un soutien en cybersécurité aux bureaux électoraux de divers ordres de gouvernement (étatique, local, tribal et territorial) aux États-Unis.

Conclusion

Le CIS est un organisme sans but lucratif dont le siège est à New York, voué à l'amélioration de la cybersécurité par l'éducation et par des ressources qui promeuvent les pratiques exemplaires en cybersécurité. L'offre du CIS comprend des guides conçus pour aider les organisations à concevoir leurs programmes de sécurité et à configurer correctement leurs logiciels, des VM sécurisées préconfigurées et des programmes de soutien aux efforts de cybersécurité de divers ordres de gouvernement.

L'équipe KZero



Découvrez d'autres contenus instructifs rédigés par l'équipe compétente de KZero dans notre section de blogues et de guides.