Les 42 mesures d'hygiène de l'ANSSI comme socle de diagnostic

Face à un dirigeant de PME, le pire angle d'attaque est le référentiel exhaustif. Sortir 93 mesures ISO ou les dix obligations de l'article 21 de NIS2 lors d'un premier rendez-vous produit invariablement le même résultat : sidération, puis report.

Le guide d'hygiène informatique de l'ANSSI résout ce problème. Quarante-deux mesures, formulées en langage compréhensible, couvrant l'essentiel de ce qui bloque réellement une attaque courante. C'est court assez pour être parcouru en réunion, et sérieux assez pour servir de socle à tout le reste.

Pourquoi ce référentiel plutôt qu'un autre#

Il est compris par le dirigeant#

« Mettre en place un niveau de mise à jour régulier des composants du système d'information » se discute avec un dirigeant. « A.8.8 — Gestion des vulnérabilités techniques » ne se discute pas : elle s'endure.

Le vocabulaire compte plus qu'on ne le croit dans une vente de gouvernance. Le référentiel de l'ANSSI a été écrit pour être lu par des non-spécialistes, ce qui en fait un support de conversation et pas seulement un outil d'audit.

Il est gratuit et fait autorité#

L'ANSSI est l'autorité nationale. S'appuyer sur sa publication évite deux écueils : le référentiel maison, que le client soupçonne d'être taillé pour vendre vos prestations ; et le référentiel propriétaire payant, qui ajoute un coût avant même le début de la mission.

Il couvre l'essentiel du risque réel#

Les compromissions les plus fréquentes en PME n'exploitent pas des techniques avancées. Elles passent par un mot de passe faible ou réutilisé, une machine non mise à jour, une sauvegarde absente ou non testée, un compte d'administration utilisé au quotidien, une absence de cloisonnement réseau.

Les 42 mesures traitent ces cas frontalement. Un client qui les applique honnêtement a éliminé la majorité de son exposition — avant tout achat d'outil.

Les cinq domaines qui structurent une mission#

Le guide s'organise autour de grands blocs qui font, dans la pratique, d'excellents chapitres de rapport :

Sensibiliser et former. Connaître son SI, ses utilisateurs, et former les équipes. C'est la mesure la moins chère et la plus systématiquement négligée.

Connaître le système d'information. Inventaire des équipements, des applications, des accès, des interconnexions. Sans cet inventaire, toutes les mesures suivantes reposent sur des suppositions — et c'est très souvent là que le premier diagnostic révèle des surprises.

Authentifier et contrôler les accès. Comptes nominatifs, politique de mot de passe, séparation des privilèges, révocation des départs. Le sujet où l'écart entre le discours et la réalité est le plus large.

Sécuriser les postes et le réseau. Mises à jour, durcissement, cloisonnement, filtrage, chiffrement des postes nomades.

Sécuriser l'administration et superviser. Postes d'administration dédiés, journalisation, sauvegardes testées, procédure d'incident.

Du diagnostic au devis#

Un diagnostic qui se termine par un score n'a aucune valeur commerciale. Le score est un constat ; ce qui se vend, c'est le chemin.

Mesurer un écart, pas une note#

L'utile n'est pas « 47 / 100 ». L'utile est : voici les onze mesures non couvertes, voici les trois qui exposent le plus, voici ce que coûte leur traitement.

Prioriser par l'exposition, pas par la facilité#

La tentation est de commencer par les mesures rapides pour faire monter le score. C'est confortable et malhonnête. Un client dont le score progresse de quinze points sans que sa sauvegarde soit testée n'est pas plus protégé — il est simplement mieux noté.

Priorisez par ce qui bloque une attaque réelle : sauvegardes hors ligne testées, authentification multifacteur sur les accès externes, comptes d'administration séparés, mises à jour.

Chiffrer chaque écart#

C'est le passage qui transforme un rapport en commande. Chaque mesure non couverte devient une ligne : ce qu'il faut faire, combien de temps, combien ça coûte, en licence et en prestation.

Un dirigeant ne valide pas « améliorer la gestion des accès ». Il valide « déployer le MFA sur les 34 accès externes — 2 jours de prestation, 4 €/utilisateur/mois ».

Reconduire le diagnostic#

Un diagnostic annuel qui montre une progression est le meilleur argument de reconduction d'un contrat récurrent. Il rend visible un travail qui, par nature, ne se voit pas quand il fonctionne.

Comment ce socle alimente le reste#

C'est l'argument décisif en faveur de ce référentiel comme point d'entrée : rien n'est perdu ensuite.

• Vers NIS2 : les 42 mesures couvrent une large part des attentes de l'article 21 — hygiène, contrôle d'accès, continuité, gestion d'incident. Le diagnostic devient la première brique du dossier de conformité. Voir le guide NIS2 pour prestataires.
• Vers ISO 27001 : les réponses se transposent directement dans une bonne partie de l'Annexe A. Un client diagnostiqué n'a pas à répondre deux fois. Voir les 93 mesures de l'Annexe A.
• Vers l'assurance cyber : les assureurs demandent très exactement ces éléments — MFA, sauvegardes, mises à jour, sensibilisation.

Un questionnaire, trois débouchés. C'est ce qui rend la démarche rentable pour un prestataire : l'effort de collecte est amorti sur plusieurs livrables facturables.

Les pièges de la mise en œuvre#

Le questionnaire déclaratif non vérifié. « Avez-vous des sauvegardes ? — Oui. » Cette réponse ne vaut rien sans la question suivante : quand la dernière restauration a-t-elle été testée ? La valeur d'un diagnostic tient à la qualité des relances.

Le rapport de 60 pages. Personne ne le lit. Une synthèse d'une page pour le dirigeant, le détail en annexe pour la DSI.

L'absence de date. Une preuve sans date n'est pas une preuve. C'est la première chose que vérifie un auditeur, et la première qui manque.

Le diagnostic sans suite. Un diagnostic livré sans plan d'actions chiffré ni échéance ne produit rien — ni sécurité pour le client, ni chiffre d'affaires pour vous.

En résumé#

Les 42 mesures d'hygiène de l'ANSSI ne sont pas un référentiel de conformité : c'est un outil de conversation, gratuit, faisant autorité, et suffisamment court pour être réellement utilisé.

Pour un prestataire, leur intérêt est structurel : elles constituent le socle de collecte qui alimente ensuite NIS2, ISO 27001 et l'assurance cyber, sans jamais refaire saisir la même information au client.