Le guide d'hygiène de l'ANSSI en plan priorisé : 42 mesures, 30/90/180 jours

Le Guide d'hygiène informatique de l'ANSSI (v2.0, 2017) recense 42 mesures qui arrêtent l'essentiel des attaques courantes : hameçonnage suivi d'un vol de mot de passe, rançongiciel qui se propage sur un réseau à plat, exploitation de vulnérabilités connues depuis des mois. Il est ancien à l'échelle de l'informatique, mais reste le meilleur socle pour une organisation française : ses mesures sont concrètes, vérifiables, et reconnues par l'ANSSI, les auditeurs et les assureurs. Sa limite : une liste de 42 points ne dit pas par où commencer. Cet article les regroupe, isole les gains rapides, définit quoi mesurer et établit la correspondance avec les CIS Controls v8.1 et le NIST CSF 2.0.

Structure du guide

Chaque mesure a un niveau standard ; 22 ont aussi un niveau renforcé. Le guide recommande d'atteindre d'abord le standard partout, puis le renforcé.

Les dix mesures qui portent l'essentiel de la protection

Les 42 mesures ne pèsent pas toutes autant. Dix d'entre elles coupent les chemins d'attaque observés dans la grande majorité des cas de rançongiciels et d'intrusions en PME et collectivités :

Le plan : 30, 90, 180 jours

Jours 1 à 30 : gains rapides. Peu coûteux, visibles, et ils ferment les chemins les plus exploités.

Jours 31 à 90 : structurer.

Jours 91 à 180 : architecture.

Les environnements cloud et Kubernetes appellent la même logique, transposée : rôles d'administration séparés des identités courantes, aucune clé longue durée, cloisonnement par groupes de sécurité et politiques réseau, journalisation centralisée (voir le durcissement Kubernetes et la gestion des identités et des accès).

Que mesurer

Sans indicateurs, un programme d'hygiène dérive. Cinq indicateurs suffisent pour démarrer, revus chaque mois :

L'indicateur de correctifs se calcule ainsi :

$P = \frac{k}{N} \times 100$

où $P$ est la part de correctifs appliqués à temps (en pourcentage), $k$ le nombre de correctifs de sécurité appliqués sous 30 jours après leur publication (nombre) et $N$ le nombre de correctifs de sécurité mesurés sur la période (nombre). Avec 3 correctifs à temps sur 5, $P$ = 60 % : sous la cible.

Correspondance avec CIS Controls v8.1 et NIST CSF 2.0

Les preuves réunies pour une mesure d'hygiène répondent généralement aux autres référentiels utilisés par les auditeurs et les assureurs.

Deux réserves. D'abord, le guide traite peu la fonction Govern du NIST CSF 2.0 (rôles, stratégie de risque, politique fournisseurs) : une couche de gouvernance reste nécessaire. Ensuite, l'hygiène n'est pas la conformité NIS2 : elle couvre de nombreuses mesures de l'article 21, mais ni la responsabilité des dirigeants, ni les délais de notification, ni les obligations envers les fournisseurs (voir notre guide de préparation NIS2).

Erreurs fréquentes

• Évaluer sur déclaration. « MFA : oui » ne veut rien dire sans taux de couverture ; demandez des exports, pas des réponses.
• Oublier le test de restauration. Une sauvegarde jamais restaurée est une hypothèse.
• Traiter le guide comme un exercice ponctuel. Réévaluez chaque année (mesure M38) et après tout changement majeur.
• Oublier l'infogérance. La mesure M3 fait des pratiques de votre prestataire une partie de votre hygiène.

Notre accompagnement

L'évaluation de l'hygiène au regard du guide de l'ANSSI fait partie de l'offre audit de sécurité et conformité de Tadata ; pour les environnements cloud, notre activité sécurité cloud et DevSecOps transpose ces mesures sur AWS, Azure, GCP et Kubernetes. Voir notre page cybersécurité ; la bibliothèque de fiches, gratuite, détaille les 42 mesures avec vérifications et correspondances.