Compliance endpoints : règles CIS Level 1 pour macOS, Windows et Linux

Un parc non durci, c'est un risque documenté

Lors d'un audit ISO 27001 ou d'une inspection de conformité PFPDT, la première question posée à un DSI de PME n'est pas « avez-vous un antivirus ? » mais « disposez-vous d'une baseline de configuration vérifiable pour vos endpoints ? ». La majorité des PME romandes de 20 à 150 postes ne peuvent pas répondre positivement : aucune référence documentée, aucun écart tracé, aucun mécanisme de remédiation automatisée. Les CIS Benchmarks Level 1 (L1) comblent exactement ce vide : des profils de configuration auditables, gratuits, reconnus par le NCSC et la FINMA comme état de l'art.

Comprendre les CIS Benchmarks L1 : périmètre et logique

CIS (Center for Internet Security) publie des benchmarks par OS, version et rôle. Le niveau L1 est défini comme « profil applicable sans impact fonctionnel majeur » : il ne casse pas les usages métier courants. Le niveau L2 va plus loin (chiffrement intégral, restrictions réseau strictes) et convient aux postes à haute sensibilité ou aux serveurs. Pour un parc bureautique mixte, L1 est le point de départ non négociable.

Chaque benchmark se décompose en contrôles numérotés (ex. : 1.1.1 Ensure latest OS patches are applied), avec quatre informations critiques : la valeur recommandée, la commande d'audit, la commande de remédiation, et le niveau de risque (Scored/Not Scored). Un contrôle Scored est mesurable automatiquement ; un contrôle Not Scored requiert une vérification manuelle ou organisationnelle.

Versions de référence à date

• macOS 14 Sonoma — CIS Benchmark v1.0.0 (macOS 14), publié en 2024. Compatible Apple Business Manager + MDM profiles.
• Windows 11 23H2 — CIS Benchmark v3.0.0. Applicable via GPO, Intune DCv2 ou scripts PowerShell.
• Ubuntu 22.04 LTS — CIS Benchmark v2.0.0. Applicable via Ansible, shell scripts ou FleetDM policies.
• RHEL/AlmaLinux 9 — CIS Benchmark v1.0.0. Profils disponibles pour OpenSCAP.

macOS : appliquer le CIS L1 via MDM et Apple Business Manager

Sur macOS, la majorité des contrôles CIS L1 s'appliquent via des profils MDM (.mobileconfig) déployés depuis Apple Business Manager (ABM) couplé à un MDM (Jamf, Mosyle, Kandji, ou une solution MDM générique). L'avantage : les profils sont signés, non révocables par l'utilisateur local, et auditables en temps réel.

Contrôles prioritaires macOS L1

• 1.1 — Mises à jour automatiques : AutomaticCheckEnabled = true, AutomaticDownload = true, AutomaticallyInstallMacOSUpdates = true via profil MDM com.apple.SoftwareUpdate. Délai maximal de déploiement des patchs critiques : 72 h selon la politique interne.
• 2.1 — FileVault activé : profil MDM com.apple.MCX.FileVault2 avec escrow de la clé de récupération vers le MDM. Sans escrow, le contrôle est Not Scored.
• 2.5.1 — Pare-feu applicatif : EnableFirewall = true, BlockAllIncoming = false (L1 ; L2 impose true), EnableStealthMode = true.
• 5.2 — Complexité du mot de passe : 15 caractères minimum, 1 majuscule, 1 chiffre, 1 spécial. Historique : 15 derniers mots de passe. Délai d'expiration : 365 jours (L1).
• 6.1.4 — Désactivation de l'accès invité : clé DisableGuestAccount = true dans le profil com.apple.loginwindow.
• 3.1 — Journalisation unifiée : vérifier que auditd est actif et que les logs sont redirigés vers un SIEM ou collecteur centralisé (Syslog TCP/514 ou TLS/6514).

Un profil MDM macOS L1 complet représente typiquement 40 à 60 clés de configuration. L'audit de conformité peut être automatisé via des scripts bash déployés par le MDM ou via des outils comme osquery (utilisé par FleetDM).

Windows 11 : GPO, Intune et scripts PowerShell

Sur Windows 11 23H2, le CIS L1 couvre 300+ contrôles. La méthode de déploiement dépend de l'infrastructure : GPO en environnement Active Directory, profils Intune (Configuration Policies, Settings Catalog) pour les postes Azure AD joints, ou scripts PowerShell pour les parcs hybrides.

Contrôles prioritaires Windows 11 L1

• 1.1.1 — Longueur du mot de passe : 14 caractères minimum (Minimum password length dans Local Security Policy). Windows 11 23H2 supporte désormais des passphrase policies natives.
• 2.3.1.1 — Comptes invités désactivés : Accounts: Guest account status = Disabled.
• 9.1.1 — Pare-feu domaine : profil Domain actif, règle par défaut Block inbound. Ports autorisés documentés (ex. : TCP/443, TCP/8443 pour VPN, UDP/123 NTP).
• 18.9.85 — BitLocker : chiffrement TPM 2.0 obligatoire, algorithme AES-256-XTS. Clé de récupération escrow dans Azure AD ou Active Directory (MBAM).
• 19.7.4 — Windows Defender Credential Guard : activé via Intune Device Configuration ou GPO Turn On Virtualization Based Security.
• 17.x — Audit policies : Audit Logon Events (Success/Failure), Audit Account Logon (Success/Failure), Audit Policy Change (Success). Redirection SIEM via WEF (Windows Event Forwarding) sur TCP/5985 ou un agent.

Windows Autopilot permet d'appliquer le profil CIS L1 dès l'enrôlement (Out-Of-Box Experience) via un profil Intune assigné au groupe de déploiement. Le poste arrive sur le bureau de l'utilisateur déjà conforme — zéro intervention manuelle.

Linux : OpenSCAP, Ansible et FleetDM

Les endpoints Linux en PME sont souvent des postes développeurs, des serveurs d'infrastructure légère ou des machines de CI/CD. Le CIS L1 pour Ubuntu 22.04 ou RHEL 9 est techniquement plus granulaire que ses équivalents macOS/Windows.

Méthodes d'application

• OpenSCAP + profil CIS : oscap xccdf eval --profile cis_level1_server --results-arf results.xml /usr/share/xml/scap/ssg/content/ssg-ubuntu2204-ds.xml. Génère un rapport HTML et un score de conformité (0–100%). Seuil recommandé : ≥ 85% avant mise en production.
• Ansible CIS role : rôles communautaires (ex. : ansible-lockdown/UBUNTU22-CIS) permettent un déploiement idempotent. Variables clés : ubtu22cis_level1: true, ubtu22cis_firewall: ufw.
• FleetDM policies : requêtes osquery en SQL pour vérifier l'état des contrôles en temps réel. Exemple : SELECT value FROM system_controls WHERE name = 'kernel.randomize_va_space'; doit retourner 2 (ASLR activé, contrôle CIS 1.5.2).

Contrôles Linux L1 non négociables

• 1.1.x — Partitionnement : /tmp, /var, /var/log, /home sur partitions séparées avec options noexec, nosuid, nodev.
• 4.1.x — Auditd : service actif, règles pour les appels système sensibles (open, chmod, execve). Rétention des logs : 90 jours minimum (nLPD exige une traçabilité suffisante).
• 5.2.x — SSH hardening : PermitRootLogin no, PasswordAuthentication no, Protocol 2, MaxAuthTries 4, port non standard si exposition externe.
• 3.5.x — Protocoles réseau inutiles : désactiver IPv6 si non utilisé (net.ipv6.conf.all.disable_ipv6 = 1), désactiver DCCP, SCTP, RDS via modprobe blacklist.

Cadre légal suisse : nLPD, FINMA et traçabilité des contrôles

La nLPD (nouvelle Loi fédérale sur la protection des données), en vigueur depuis le 01.09.2023, impose des mesures techniques et organisationnelles appropriées pour protéger les données personnelles. L'adéquation de ces mesures s'évalue notamment par référence à des standards reconnus — les CIS Benchmarks L1 en font partie. Un DSI qui peut démontrer un score de conformité CIS L1 ≥ 85% sur son parc dispose d'un argument solide lors d'un audit ou d'une notification au PFPDT.

Pour les établissements régulés (banques, assurances, gestionnaires de fortune), la FINMA attend une gestion des configurations documentée et vérifiable. La FINMA ne prescrit pas CIS explicitement, mais les circulaires 2023/1 (Risques opérationnels) et 2008/21 (Risques opérationnels banques) font référence à l'état de l'art technique — que CIS L1 représente. En cas d'incident, l'absence de baseline documentée constitue un manquement caractérisé.

Pour signaler un incident de sécurité impliquant des endpoints compromis, le NCSC met à disposition un formulaire de signalement accessible aux PME et aux responsables IT.

Cas pratique : fiduciaire vaudoise, 45 endpoints mixtes

Contexte : Cabinet fiduciaire de 38 collaborateurs à Lausanne, 45 endpoints (22 MacBook Pro sous macOS 14, 18 PC Windows 11 23H2, 5 serveurs Ubuntu 22.04 LTS hébergeant l'ERP et le partage de fichiers). Données traitées : dossiers fiscaux, données salariales, comptabilité clients — classifiées C2 (Confidentiel) dans leur politique interne. Aucune baseline de configuration documentée avant l'intervention.

Démarche en 8 étapes :

1. Audit initial (Semaine 1) : Déploiement de l'agent osquery via FleetDM sur les 45 endpoints. Exécution des policies CIS L1 correspondantes. Score initial : macOS 58%, Windows 61%, Linux 49%. Rapport exporté en CSV pour le RSSI externe mandaté.
2. Priorisation des écarts (Semaine 1-2) : Tri des contrôles Scored non conformes par criticité. Les 3 familles les plus défaillantes : chiffrement disque (FileVault/BitLocker non activé sur 12 postes), politique de mots de passe (longueur < 12 caractères sur tous les postes), journalisation centralisée absente.
3. Déploiement MDM macOS (Semaine 2-3) : Création de 3 profils MDM (.mobileconfig) via le MDM en place : profil sécurité (FileVault escrow, pare-feu, accès invité), profil password policy, profil logging. Déployés via ABM sur les 22 Mac en moins de 4 heures. FileVault activé sur 22/22 postes post-déploiement. Coût : 0 CHF supplémentaire (inclus dans la licence MDM existante).
4. GPO + Intune Windows (Semaine 2-4) : Import du template CIS L1 Windows 11 v3.0.0 dans les GPO. 14 contrôles appliqués automatiquement. BitLocker activé sur 18/18 postes, clés escrow dans Azure AD. 4 contrôles nécessitent une exception documentée (logiciel métier incompatible avec la restriction UAC niveau 5) — exceptions formalisées dans le registre des dérogations.
5. Ansible Linux (Semaine 3-4) : Exécution du rôle Ansible CIS Ubuntu 22.04 L1 sur les 5 serveurs en environnement de test d'abord (VM snapshot). 2 contrôles désactivés : partitionnement /tmp séparé non applicable sur VM cloud (exception documentée), IPv6 conservé (utilisé par l'application ERP). Score post-remédiation : 81%.
6. Collecte de logs centralisée (Semaine 4) : Déploiement d'un collecteur Syslog (port TCP/6514, TLS) sur un serveur Ubuntu dédié. Les 45 endpoints redirigent leurs logs système vers ce collecteur. Rétention : 180 jours (conforme nLPD et au-delà du minimum recommandé par NCSC).
7. Rescan et scoring (Semaine 5) : Scores post-remédiation : macOS 89%, Windows 87%, Linux 81%. Les écarts résiduels sont documentés avec justification métier. Rapport de conformité archivé (PDF signé, daté 15.03.2025) dans le système de gestion documentaire.
8. Processus continu (M+1 et suivants) : FleetDM exécute les policies CIS L1 toutes les 24 heures. Toute dérive génère une alerte dans le tableau de bord du RSSI. Revue trimestrielle des exceptions. Mise à jour des benchmarks lors de nouvelles versions OS (procédure déclenchée par le DSI dans les 30 jours suivant la publication d'un nouveau CIS Benchmark).

Résultat chiffré : Durée totale : 5 semaines. Charge interne : ~40 h DSI/RSSI. Coût outillage supplémentaire : 0 CHF (FleetDM community edition, OpenSCAP, Ansible sont open source). Le cabinet dispose désormais d'un rapport de conformité opposable lors du renouvellement de son assurance cyber (prime négociée en baisse de ~12% sur la base des preuves de contrôle).

Récapitulatif opérationnel

• Télécharger les benchmarks CIS L1 correspondant à vos OS et versions exactes sur cisecurity.org — ne pas utiliser un benchmark pour une version antérieure de l'OS.
• Auditer avant de remédier : score initial indispensable (osquery/FleetDM, OpenSCAP, ou script PowerShell CIS-CAT Lite) pour prioriser les efforts.
• Distinguer Scored vs Not Scored : les contrôles Scored sont automatisables et auditables ; les Not Scored nécessitent une procédure organisationnelle documentée.
• Formaliser les exceptions : tout contrôle CIS L1 non appliqué doit figurer dans un registre des dérogations avec justification métier, propriétaire, date de révision.
• Escrow systématique des clés de chiffrement : FileVault (MDM), BitLocker (Azure AD/MBAM), LUKS (script de sauvegarde sécurisée). Sans escrow, le chiffrement devient un risque de perte de données.
• Centraliser les logs sur TCP/6514 (TLS) avec rétention minimale 90 jours — exigence de traçabilité nLPD et prérequis SIEM/SOC.
• Automatiser la détection des dérives : FleetDM policies, Intune Compliance Policies ou scripts osquery planifiés — un scan manuel mensuel est insuffisant sur un parc en mouvement.
• Mettre à jour les benchmarks lors des upgrades OS : un poste passé de Windows 10 à Windows 11 doit être réaudité contre le benchmark Windows 11 dans les 30 jours.
• Documenter et dater chaque rapport : le PFPDT et les assureurs cyber exigent des preuves datées, pas des déclarations d'intention.
• Intégrer CIS L1 dans l'onboarding MDM : Autopilot (Windows) et ABM (macOS) permettent d'appliquer la baseline dès l'enrôlement — zéro poste non durci à J0.

SynGuard accompagne les PME romandes dans la mise en œuvre de ces baselines CIS sur parcs mixtes, avec des tableaux de bord de conformité intégrés à leur MDM.

Sources

• CIS Benchmarks — Center for Internet Security — Référentiel officiel des benchmarks de configuration L1/L2 par OS et version.
• nLPD — Fedlex (RS 235.1) — Texte consolidé de la nouvelle Loi fédérale sur la protection des données, en vigueur depuis le 01.09.2023.
• NCSC — Signalement d'incidents pour les entreprises — Procédure officielle de signalement des incidents de sécurité informatique en Suisse.
• PFPDT (Préposé fédéral à la protection des données et à la transparence) — Autorité de surveillance nLPD, ressources sur les obligations des responsables du traitement.
• FINMA — Autorité fédérale de surveillance des marchés financiers — Circulaires sur les risques opérationnels et les exigences de sécurité informatique pour les établissements régulés.