Sommaire (4 sections)
Il existe un référentiel de sécurité gratuit, en français, concret, et pourtant sous-utilisé : le guide d'hygiène informatique de l'ANSSI et ses 42 mesures. Pas un cadre théorique de 400 pages, une liste de mesures qu'on peut vérifier une par une : cartographier, cloisonner, sauvegarder, journaliser, gérer les comptes privilégiés… Nous avons fait l'exercice complet sur notre propre infrastructure, en nous notant comme nous noterions un client. Voici la méthode, et ce que l'exercice nous a réellement appris.
D'abord, cadrer ce que l'exercice est (et n'est pas) #
Précision qui évite bien des malentendus commerciaux : ni l'ANSSI ni la CNIL ne « certifient » l'hygiène informatique d'une entreprise. Quiconque vous vend une « certification ANSSI » de ce type vend du vent. Le guide est un référentiel d'auto-évaluation et de progrès ; des dispositifs comme MonAideCyber ou le label ExpertCyber (porté par l'AFNOR) existent pour aller plus loin avec un regard tiers. L'auto-audit, lui, a une vertu propre : il est immédiat, gratuit, et honnête, à condition de jouer le jeu.
La méthode : une grille, des preuves, pas d'indulgence #
- Transformer les 42 mesures en tableau : une ligne par mesure, quatre statuts possibles (conforme, partiel, non conforme, non applicable) et une colonne preuve. Sans preuve tangible (une config, une capture, un document), un « conforme » n'en est pas un.
- Se noter au réel, pas à l'intention : « on devrait avoir une procédure » = non conforme. « C'est dans la tête de quelqu'un » = non conforme. La règle d'or de l'exercice : le but est de trouver des trous, pas de se rassurer : un audit qui finit à 42/42 du premier coup est un audit raté.
- Une demi-journée à deux jours selon la taille : le guide est conçu pour être praticable. Bloquer le créneau, le faire d'une traite, dater le résultat.
- Prioriser en trois lots : ce qui se corrige en une heure (souvent surprenant en volume), ce qui demande un chantier, ce qui relève d'une décision d'organisation.
- Refaire annuellement : la valeur est dans la trajectoire : le delta entre deux audits dit plus que chaque photo isolée.
Ce que notre propre audit a montré #
Le résultat le plus instructif n'est pas un score : c'est où se trouvaient les manques. Sur les mesures techniques (cloisonnement réseau, sauvegardes, chiffrement, durcissement des accès, mises à jour), l'infrastructure tenait bien la grille : c'est notre métier, et les articles de ce blog en documentent les briques. Les points à traiter étaient presque tous du côté du formalisme et de la gouvernance : ce qui existe en pratique mais n'est pas écrit, les procédures qui vivent dans les têtes, les rôles exercés mais jamais nommés. Et c'est, d'expérience, le schéma type des petites structures techniques, l'inverse exact des grandes organisations, où le papier est impeccable et la technique en retard.
Une mesure de sécurité qui n'est pas écrite ne survit ni à un départ, ni à une nuit d'incident, ni à un questionnaire client. L'écrire n'est pas de la bureaucratie : c'est la rendre transmissible.
Ce que ça rapporte concrètement #
- Une priorisation défendable : investir là où la grille montre un manque, pas là où le dernier article de presse a fait peur.
- Des réponses prêtes : questionnaires sécurité des grands comptes, exigences des assureurs cyber, appels d'offres : les mêmes questions reviennent, l'audit y répond avec preuves.
- Un langage commun avec les clients : quand nous auditons une infrastructure, la grille est la même que celle que nous nous appliquons, et nous pouvons montrer notre propre exercice.
La sécurité par référentiel plutôt que par intuition, c'est la même logique que notre veille CVE ou nos sauvegardes 3-2-1 : des listes vérifiables, des preuves, un rythme. Si vous voulez passer les 42 mesures sur votre SI (avec la grille, les preuves et un regard extérieur), c'est un exercice que nous outillons.
