Groupe de mise en œuvre CIS 1 (IG1) : Hygiène cybernétique essentielle

Le cybercrime est devenu plus répandu depuis le début de la pandémie de COVID-19. En effet, 81 % des organisations dans le monde ont connu une augmentation des menaces cybernétiques et 79 % ont subi des temps d'arrêt dus à des cyberattaques pendant la haute saison, selon un rapport 2021 de McAfee Enterprise et FireEye. Les attaques sont également devenues plus complexes. IBM et le Ponemon Institute rapportent que le temps moyen pour détecter et contenir une violation de données en 2021 était de 287 jours, soit une semaine de plus qu'en 2020.

Heureusement, le Centre pour la sécurité Internet (CIS) propose des Critical Security Controls (CSCs) qui aident les organisations à améliorer la cybersécurité. Ces directives de meilleures pratiques comprennent 18 contrôles recommandés qui offrent des moyens concrets de réduire les risques.

Groupes de mise en œuvre CSC

Auparavant, les CSC étaient divisés en trois catégories : basique, fondamentale et organisationnelle. Cependant, la version actuelle du CSC, la version 8, divise les contrôles en trois groupes de mise en œuvre (IGs), qui prennent en compte la manière dont des facteurs tels que la taille de l'organisation, son type, son profil de risque et ses ressources peuvent affecter le processus de mise en œuvre des contrôles.

• Le Groupe d'Implémentation 1 (IG1)définit le standard minimum d'hygiène cybernétique ; chaque entreprise devrait mettre en œuvre ses 56 mesures de protection. Dans la plupart des cas, une entreprise IG1 est de petite ou moyenne taille ; dispose d'un budget de cybersécurité limité et de ressources informatiques restreintes ; et stocke des informations de faible sensibilité.
• Le groupe de mise en œuvre 2 (IG2) est destiné aux entreprises disposant de plus de ressources et de données modérément sensibles. Ses 74 mesures de protection s'appuient sur les 56 mesures de l'IG1 pour aider les équipes de sécurité à faire face à une complexité opérationnelle accrue. Certaines mesures nécessitent une expertise spécialisée et une technologie de niveau entreprise pour être installées et configurées. Les entreprises IG2 disposent des ressources pour employer des individus pour surveiller, gérer et protéger les systèmes informatiques et les données. Elles stockent et traitent généralement des informations sensibles d'entreprise et de clients, donc elles perdront la confiance du public si des violations de données se produisent.
• Le groupe d'implémentation 3 (IG3) est destiné aux organisations matures possédant des données d'entreprise et de clients hautement sensibles. Il comprend 23 mesures de protection supplémentaires. Les entreprises IG3 sont beaucoup plus grandes que leurs homologues IG2. En conséquence, elles ont tendance à employer des experts en informatique qui se spécialisent dans différents aspects de la cybersécurité, tels que les tests de pénétration, la gestion des risques et l'application. Étant donné que leurs actifs informatiques contiennent des données sensibles et exécutent des fonctions sensibles soumises à la conformité et à la surveillance réglementaire, ces entreprises doivent être capables de prévenir et de contrer des attaques sophistiquées, ainsi que de réduire l'impact des attaques de jour zéro.

CIS IG1 : Quelles mesures de protection sont essentielles pour la sécurité ?

Chaque contrôle IG1 est essentiel sauf pour le 13 (Surveillance et défense du réseau), le 16 (Sécurité des logiciels applicatifs) et le 18 (Tests d'intrusion), car leurs exigences dépendent du niveau de maturité, de la taille et des ressources de votre entreprise. Tous les autres contrôles de base CIS essentiels comprennent des mesures de protection qui constituent l'IG1. Plongeons maintenant dans ces mesures de protection essentielles.

Contrôle CIS 1. Inventaire et contrôle des actifs de l'entreprise

Dans le CIS Control 1, 2 des 5 mesures de protection sont incluses dans IG1 :

1.1 Établir et maintenir un inventaire complet des actifs de l'entreprise. Pour réduire la surface d'attaque de votre organisation, vous avez besoin d'une vue complète de tous les actifs sur votre réseau.

1.2 Traiter les actifs non autorisés. Vous devez gérer activement tous les appareils matériels sur le réseau pour vous assurer que seuls les appareils autorisés aient accès. Tout appareil non autorisé doit être rapidement identifié et déconnecté avant que des dommages ne soient causés.

Contrôle CIS 2. Inventaire et contrôle des actifs logiciels

CIS Control 2 comporte 7 mesures de protection mais seulement les 3 premières sont incluses dans IG1 :

2.1 Établir et maintenir un inventaire logiciel à jour. Il est important de conserver un enregistrement de tous les logiciels sur les ordinateurs de votre réseau, y compris des informations détaillées : titre, éditeur, date d'installation, systèmes pris en charge, objectif commercial, URL associées, méthode de déploiement, version, date de mise hors service, etc.

2.2 Assurez-vous que le logiciel autorisé est actuellement pris en charge. Conserver un logiciel non pris en charge, qui ne reçoit pas de correctifs de sécurité ni de mises à jour, augmente les risques de cybersécurité de votre organisation.

2.3 Traiter les logiciels non autorisés. N'oubliez pas de gérer activement tous les logiciels sur le réseau afin que les logiciels non autorisés ne puissent pas être installés ou soient rapidement détectés et supprimés.

Contrôle CIS 3. Protection des données

CIS Control 3 s'appuie sur CIS Control 1 en soulignant la nécessité d'un plan de gestion et de protection des données complet. Les 6 mesures de protection suivantes sur ses 14 sont essentielles :

3.1 Établissez et maintenez un processus de gestion des données. Gardez un processus documenté à jour qui traite de la sensibilité des données, de la rétention, du stockage, de la sauvegarde et de l'élimination.

3.2 Établir et maintenir un inventaire des données. Vous devez savoir exactement quelles données vous possédez et où elles se trouvent afin de prioriser vos efforts de sécurité des données et protéger adéquatement vos données critiques et assurer la conformité réglementaire.

3.3 Configurer les listes de contrôle d'accès aux données. Restreindre les permissions d'accès des utilisateurs en fonction de leurs fonctions est essentiel. Révisez régulièrement les droits d'accès et mettez en place des processus pour éviter la surallocation.

3.4 Appliquez la rétention des données selon votre processus de gestion des données. Décidez de la durée de conservation des différents types de données en fonction des exigences de conformité et des autres besoins commerciaux, et établissez des processus pour garantir le respect des calendriers de rétention.

3.5. Éliminez les données de manière sécurisée et assurez-vous que les méthodes et processus d'élimination correspondent à la sensibilité des données. Assurez-vous que vos processus d'élimination des données sont adaptés au type de données manipulées.

3.6 Chiffrez les données sur les appareils des utilisateurs finaux tels que les ordinateurs portables et les téléphones. Le chiffrement des données les rend illisibles et donc inutiles pour les acteurs malveillants si l'appareil est perdu ou volé, et peut donc vous aider à éviter les pénalités de conformité.

CIS Control 4. Configuration sécurisée des actifs d'entreprise et des logiciels

CIS Control 4 décrit les meilleures pratiques pour vous aider à maintenir des configurations appropriées pour les actifs matériels et logiciels. Il y a un total de 12 mesures de protection dans cette section. Cependant, seulement les 7 premières appartiennent à IG1 :

4.1 Établissez et maintenez un processus de configuration sécurisée. Développez des configurations standard pour vos actifs informatiques basées sur des directives de meilleures pratiques et mettez en œuvre un processus pour les déployer et les maintenir.

4.2 Établissez et maintenez un processus de configuration sécurisée pour l'infrastructure réseau. Établissez des paramètres standards pour les network devices et surveillez en continu toute déviation ou dérive par rapport à cette base de référence afin de remédier rapidement aux changements qui affaiblissent la sécurité de votre réseau.

4.3 Configurez le verrouillage automatique des sessions sur les actifs de l'entreprise après des périodes d'inactivité définies. Cette mesure de protection aide à atténuer le risque que des acteurs malveillants obtiennent un accès non autorisé aux postes de travail, serveurs et appareils mobiles si l'utilisateur autorisé s'éloigne sans les sécuriser.

4.4 Implémentez et gérez des pare-feu sur les serveurs. Les pare-feu aident à protéger les serveurs contre les accès non autorisés via le réseau, bloquent certains types de trafic et permettent l'exécution de programmes uniquement à partir de plateformes fiables et d'autres sources.

4.5 Implémentez et gérez des pare-feu sur les appareils des utilisateurs finaux. Ajoutez un pare-feu basé sur l'hôte ou un outil de filtrage de ports sur tous les appareils des utilisateurs finaux dans votre inventaire, avec une règle de refus par défaut qui interdit tout trafic sauf une liste prédéterminée de services et de ports ayant des autorisations explicites.

4.6 Gérez de manière sécurisée les logiciels et les actifs de l'entreprise. Cette mesure de protection suggère de gérer votre configuration via une infrastructure en tant que code contrôlée par version. Elle recommande également d'accéder aux interfaces administratives via des protocoles de réseau sécurisés tels que SSH et HTTPS, et d'éviter les protocoles de gestion non sécurisés comme Telnet et HTTP, qui ne disposent pas d'un support de chiffrement adéquat et sont donc vulnérables aux attaques d'interception et d'écoute clandestine.

4.7 Gérez les comptes par défaut sur les logiciels et actifs d'entreprise. Les comptes par défaut sont des cibles faciles pour les attaquants, il est donc crucial de modifier les paramètres préconfigurés et de désactiver les comptes par défaut lorsque cela est possible.

Contrôle CIS 5. Gestion des comptes

CIS Control 5 fournit des stratégies pour garantir que vos comptes d'utilisateur, d'administrateur et de service sont correctement gérés. Dans ce contrôle, 4 des 6 mesures de sauvegarde sont essentielles :

5.1 Établir et maintenir une liste de comptes. Examinez régulièrement et mettez à jour l'inventaire de tous les comptes pour garantir que les comptes utilisés sont autorisés. Chaque détail, y compris l'objectif du compte, doit être documenté.

5.2 Utilisez des mots de passe uniques. La meilleure pratique pour la sécurité des mots de passe consiste à construire votre politique de mots de passe et procédures en utilisant un cadre approprié et respecté. Une excellente option est la Special Publication 800-63B de l'Institut national des normes et de la technologie (NIST). Ses directives sont utiles pour toute entreprise cherchant à améliorer la cybersécurité.

5.3 Désactiver les comptes dormants (comptes qui n'ont pas été utilisés depuis au moins 45 jours). Scanner régulièrement les comptes dormants et les désactiver réduit le risque que des pirates les compromettent et pénètrent dans votre réseau.

5.4 Limitez les privilèges d'administrateur aux comptes administrateur dédiés. Les comptes privilégiés doivent être utilisés uniquement lorsque nécessaire pour accomplir des tâches administratives.

CIS Control 6. Gestion des contrôles d'accès

Le contrôle 6 établit les meilleures pratiques pour gérer et configurer l'accès et les permissions des utilisateurs. 5 de ses 8 mesures de protection sont incluses dans IG1:

6.1 Établissez un processus d'octroi d'accès. Idéalement, le processus d'attribution et de modification des privilèges devrait être automatisé en fonction de jeux de permissions standards pour chaque rôle d'utilisateur.

6.2 Établissez un processus de révocation d'accès. Garder des permissions inutilisées ou excessives augmente les risques de sécurité, il est donc nécessaire de révoquer ou de mettre à jour les droits d'accès dès qu'un employé quitte l'entreprise ou change de poste.

6.3 Exiger une authentification multi-facteurs (MFA) pour les comptes exposés à l'extérieur. Avec la MFA, les utilisateurs doivent fournir deux facteurs d'authentification ou plus, tels qu'une combinaison identifiant/mot de passe plus un code de sécurité envoyé à leur courriel. Il est nécessaire d'activer la MFA pour les comptes utilisés par les clients ou partenaires.

6.4 Exiger l'authentification multifacteur (MFA) pour l'accès réseau à distance. Lorsqu'un utilisateur tente de se connecter à distance, l'accès doit être vérifié avec MFA.

6.5 Exiger l'authentification multifacteur (MFA) pour l'accès administratif. Les comptes administratifs nécessitent une sécurité supplémentaire, il est donc important d'activer l'MFA pour eux.

Contrôle CIS 7. Gestion continue des vulnérabilités

CIS Control 7 se concentre sur l'identification, la priorisation, la documentation et la correction des vulnérabilités dans un environnement informatique. La gestion continue des vulnérabilités est recommandée car les attaques sont de plus en plus sophistiquées et fréquentes, et il y a plus de données sensibles que jamais auparavant.

4 des 7 mesures de protection sont incluses dans le Groupe d'implémentation 1 :

7.1 Établir et maintenir un processus de gestion des vulnérabilités. Les entreprises doivent décider comment elles identifieront, évalueront, remédieront et rendront compte des éventuelles vulnérabilités de sécurité.

7.2 Établir et maintenir un processus de remédiation. Les entreprises doivent décider de la manière dont elles répondront à une vulnérabilité identifiée.

7.3 Effectuez la gestion des correctifs du système d'exploitation de manière automatisée. Il est important de maintenir tous les systèmes d'exploitation à jour en appliquant les correctifs en temps opportun.

7.4 Effectuez la gestion des correctifs d'application de manière automatisée. Il est tout aussi important de maintenir à jour les correctifs des applications que ceux des systèmes d'exploitation.

CIS Control 8. Gestion des journaux d'audit

CIS Control 8 fournit des directives pour la collecte, l'alerte, la révision et la conservation des journaux d'audit d'événements qui peuvent vous aider à détecter, comprendre et récupérer après des attaques.

Voici des mesures de protection essentielles de ce contrôle :

8.1 Établissez et maintenez un processus de gestion des journaux d'audit. Une entreprise doit décider qui sera chargé de collecter, d'examiner et de conserver les journaux d'audit pour les actifs de l'entreprise, ainsi que quand et comment le processus se déroulera. Ce processus doit être révisé et mis à jour annuellement, ainsi que chaque fois que des changements importants pourraient affecter cette mesure de protection.

8.2 Collectez les journaux d'audit. L'audit des journaux doit être activé sur l'ensemble des actifs de l'entreprise, tels que les systèmes, les dispositifs et les applications.

8.3 Assurez-vous d'avoir un stockage adéquat pour les journaux d'audit. Décidez où et pendant combien de temps les données des journaux d'audit doivent être conservées en fonction des exigences de conformité applicables et des autres besoins commerciaux, et assurez-vous d'allouer suffisamment de stockage pour garantir qu'aucune donnée requise ne soit écrasée ou autrement perdue.

CIS Control 9. Protection des e-mails et des navigateurs Web

CIS Control 9 comporte 7 mesures de protection pour les navigateurs web et email, dont 2 sont essentielles :

9.1 Assurez-vous que seuls les clients de messagerie et navigateurs pleinement pris en charge sont utilisés. Les clients de messagerie et navigateurs doivent être mis à jour et avoir des configurations sécurisées.

9.2 Utilisez des services de filtrage du système de noms de domaine (DNS). Ces services doivent être utilisés sur tous les actifs de l'entreprise pour bloquer l'accès aux domaines malveillants connus, ce qui peut aider à renforcer votre posture de sécurité.

Contrôle CIS 10. Défenses contre les logiciels malveillants

CIS Control 10 décrit les méthodes pour prévenir et contrôler l'installation et la propagation de code malveillant, d'applications et de scripts sur les actifs de l'entreprise. 3 de ses 7 mesures de sauvegarde sont essentielles :

10.1. Déployez et maintenez un logiciel anti-malware. Activez les défenses contre les logiciels malveillants à tous les points d'entrée des actifs informatiques.

10.2. Configurez les mises à jour automatiques des signatures anti-malware. Les mises à jour automatiques sont plus fiables que les processus manuels. Les mises à jour peuvent être publiées toutes les heures ou tous les jours, et tout retard dans l'installation peut laisser votre système vulnérable aux acteurs malveillants.

10.3. Désactivez l'exécution automatique et la lecture automatique pour les supports amovibles. Les supports amovibles sont très vulnérables aux logiciels malveillants. En désactivant la fonctionnalité d'exécution automatique, vous pouvez prévenir les infections par des logiciels malveillants qui pourraient causer des violations de données coûteuses ou des temps d'arrêt du système.

Contrôle CIS 11. Récupération de données

CIS Control 11 met en évidence la nécessité de la récupération de données et des sauvegardes. Ce contrôle comprend 5 mesures de protection ; les 4 premières sont essentielles :

11.1. Établissez et maintenez un processus de récupération de données. Mettez en place et maintenez un processus de récupération de données solide qui puisse être suivi dans toute l'organisation. Il doit définir le périmètre de la récupération de données et établir les priorités en déterminant quelles données sont les plus importantes.

11.2. Mettez en place un processus de sauvegarde automatisé. L'automatisation garantit que les données du système sont sauvegardées selon un calendrier sans intervention humaine.

11.3. Protégez les données de récupération. Les sauvegardes nécessitent également une sécurité adéquate. Cela peut inclure le chiffrement ou la segmentation en fonction de votre politique de protection des données.

11.4. Établissez et maintenez des copies isolées des données de sauvegarde. Pour protéger les sauvegardes contre des menaces telles que les rançongiciels, envisagez de les stocker hors ligne ou dans des systèmes ou services cloud ou hors site.

CIS Control 12. Gestion de l'infrastructure réseau

Le contrôle 12 établit des directives pour la gestion des dispositifs réseau afin d'empêcher les attaquants d'exploiter des points d'accès vulnérables et des services réseau. Sa seule mesure de protection dans IG1 vous oblige à établir et maintenir une architecture réseau sécurisée et à tenir votre infrastructure réseau à jour.

CIS Control 14. Sensibilisation à la sécurité et formation des compétences

CIS Control 14 se concentre sur l'amélioration de la sensibilisation et des compétences en cybersécurité des employés. La fréquence et les types de formation varient ; souvent, les organisations exigent que les employés rafraîchissent leur connaissance des règles de sécurité en passant de brefs tests tous les 3 à 6 mois.

8 des 9 mesures de protection sont considérées comme essentielles :

14.1 Établissez et maintenez un programme de sensibilisation à la sécurité. Mettez en place un programme de sensibilisation à la sécurité qui forme les membres du personnel aux pratiques de sécurité essentielles.

14.2 Formez les membres de l'équipe à reconnaître les attaques d'ingénierie sociale. Des exemples incluent le tailgating, le phishing et les arnaques téléphoniques.

14.3 Formez les membres de l'équipe sur les meilleures pratiques d'authentification. Il est important d'expliquer pourquoi l'authentification sécurisée doit être utilisée, y compris les risques et les conséquences de ne pas suivre les meilleures pratiques.

14.4 Formez le personnel sur les meilleures pratiques de manipulation des données. Cette mesure de protection est particulièrement importante pour les données sensibles et réglementées.

14.5 Former les membres du personnel sur les causes d'exposition accidentelle des données. Des exemples incluent la perte d'un appareil portable, l'envoi de données sensibles aux mauvais destinataires et la publication de données où elles peuvent être vues par un public non intentionnel.

14.6 Former les membres du personnel à reconnaître et à signaler les incidents de sécurité potentiels. Élaborez un guide détaillé répondant à des questions telles que : Quels pourraient être les signes d'une escroquerie ? Que doit faire un employé en cas d'incident de sécurité ? Qui doit être informé d'un incident ?

14.7 Formez votre personnel à identifier et signaler si les actifs de l'entreprise manquent de correctifs logiciels et de mises à jour de sécurité. Vos employés doivent comprendre pourquoi les mises à jour sont importantes et pourquoi refuser une mise à jour pourrait constituer un risque de sécurité.

14.8 Formez votre personnel sur les dangers liés à la connexion et à la transmission de données sur des réseaux non sécurisés. Tout le monde devrait être conscient des dangers de se connecter à des réseaux non sécurisés. Les travailleurs à distance devraient bénéficier d'une formation supplémentaire pour garantir que leurs réseaux domestiques sont configurés de manière sécurisée.

Contrôle CIS 15. Gestion des fournisseurs de services

CIS Control 15 met en évidence l'importance d'évaluer et de gérer les prestataires de services qui détiennent des données sensibles. Il vous oblige à tenir un inventaire de tous les prestataires de services associés à votre organisation, à créer un ensemble de normes pour évaluer leurs exigences de sécurité, et à évaluer les exigences de sécurité de chaque prestataire.

Seule la première des 8 mesures de protection est essentielle. Elle vous oblige à établir et à maintenir une liste des prestataires de services.

Gestion des incidents selon le Contrôle CIS 17.

Enfin, CIS Control 17 concerne le développement et le maintien d'une capacité de réponse aux incidents pour détecter, se préparer et répondre rapidement aux attaques. Il vous oblige à désigner du personnel pour gérer les incidents, et à établir et maintenir un processus de signalement des incidents. Vous devriez également créer et maintenir des informations de contact pour le signalement des incidents de sécurité.

3 de ses 9 mesures de protection sont essentielles :

17.1 Désigner du personnel pour gérer la gestion des incidents. Cette personne doit être compétente en matière de gestion des incidents et doit être un contact principal connu qui reçoit des rapports sur les problèmes potentiels.

17.2 Établir et maintenir des informations de contact pour signaler les incidents de sécurité. Les employés doivent savoir exactement comment contacter les bonnes personnes concernant les incidents potentiels, et l'équipe responsable de la gestion des incidents doit disposer des coordonnées de ceux ayant le pouvoir de prendre des décisions importantes.

17.3 Établir et maintenir un processus d'entreprise pour le signalement des incidents. Ce processus doit être documenté et régulièrement révisé. Le processus devrait expliquer comment les incidents doivent être signalés, y compris le délai de signalement, les mécanismes de signalement et les informations à rapporter (telles que le type d'incident, l'heure, le niveau de menace, le système ou le logiciel impacté, les journaux d'audit, etc.).

Prochaines étapes

Le groupe d'implémentation des contrôles critiques CIS 1 fournit des orientations de base pour une posture de cybersécurité solide. Les mesures de protection de l'IG1 sont des activités essentielles d'hygiène cybernétique, façonnées par des années d'expérience collective d'une communauté dédiée à l'amélioration de la sécurité par l'échange de concepts, de ressources, de leçons apprises et d'action coordonnée.

Prêt à mettre en œuvre les mesures de protection IG1 ? Netwrix products peuvent aider. Ils offrent une approche globale des défis de la cybersécurité en sécurisant votre organisation sur toutes les principales surfaces d'attaque : les données, l'identité et l'infrastructure.

Découvrez nos meilleures solutions :

• Gouvernance de l'accès aux données — Reprenez le contrôle de l'accès aux données sensibles.
• Sécurité Active Directory — Sécurisez votre AD, sur site et dans le cloud, de bout en bout.
• Protection contre les rançongiciels — Atténuez le risque d'infections par rançongiciels et interceptez les attaques en cours.
• Privileged Access Management — Réduisez le risque lié aux activités privilégiées.
• Gouvernance de l'information — Rendez vos données organisées, découvrables et plus sécurisées.