Les recommandations de l'ANSSI : le guide d'hygiène informatique pour les PME

L'ANSSI, l'Agence nationale de la sécurité des systèmes d'information, est l'autorité française de référence en cybersécurité. Son guide d'hygiène informatique recense un socle de mesures simples et non exhaustives, mais qui suffisent à écarter la plupart des scénarios d'incident les plus courants observés en entreprise.

Pourquoi s'appuyer sur les recommandations de l'ANSSI

Ces recommandations ne s'obtiennent pas comme une certification : elles se mettent en œuvre, et rien ne vient formellement attester qu'elles le sont. C'est à la fois leur force et leur limite. Elles sont gratuites, publiques et pensées pour des organisations de toute taille, y compris les plus petites structures sans compétence technique interne, mais elles ne délivrent aucun label opposable face à un client, un assureur ou un partenaire, contrairement à une certification ISO 27001.

Ce que montrent les chiffres sur l'urgence d'agir

Dans son Panorama de la cybermenace 2024, l'ANSSI a traité 4 386 événements de sécurité, en hausse de 15 % sur un an, et confirmé 144 compromissions par rançongiciel. Les PME représentent 37 % des victimes de rançongiciel recensées, davantage que toute autre catégorie d'organisation. Du côté de Cybermalveillance.gouv.fr, le dispositif public d'assistance aux victimes de cyberattaques, le nombre de demandes d'assistance a dépassé 420 000 en 2024, en hausse de près de 50 % sur un an, et le phishing reste la première menace citée par les entreprises. Or selon l'étude OpinionWay « Cyber Impact » commandée par Cybermalveillance, 68 % des PME consacrent moins de 2 000 € par an à leur sécurité informatique. Ce sont précisément les mesures les plus simples et les moins coûteuses du guide ANSSI, comme l'authentification à plusieurs facteurs ou des sauvegardes testées, qui font le plus souvent défaut.

Les mesures prioritaires à mettre en place

Aller plus loin : d'autres mesures utiles du guide ANSSI

Le guide complet de l'ANSSI compte 42 recommandations, regroupées en grands axes. Au-delà du socle prioritaire, plusieurs mesures complémentaires méritent d'être mises en œuvre dès que les fondamentaux sont en place :

• Tenir à jour un inventaire des comptes utilisateurs et privilégiés, et le réviser à chaque départ ou changement de poste.
• Limiter au strict nécessaire les droits d'administration sur les postes de travail, y compris pour les équipes techniques.
• Séparer les usages personnels et professionnels sur les équipements et les comptes de messagerie.
• Chiffrer les données sensibles sur les postes nomades et les supports amovibles.
• Définir une procédure de gestion des incidents connue de tous, même sommaire, plutôt que de l'improviser le jour venu.
• Encadrer contractuellement les prestataires ayant accès au système d'information, notamment sur les clauses de sécurité et de notification d'incident.

Une mise en oeuvre progressive plutôt qu'exhaustive

1. Identifier les mesures déjà en place, sans jugement de valeur.
2. Prioriser les mesures dont l'absence expose au risque le plus élevé (authentification, sauvegardes).
3. Planifier la mise en oeuvre des mesures manquantes sur plusieurs mois plutôt que de viser une exhaustivité immédiate.
4. Documenter les mesures appliquées, pour pouvoir les démontrer en cas de besoin (assurance cyber, appel d'offres, audit).

Erreurs fréquentes

• Considérer que la cybersécurité est réservée aux grandes entreprises.
• Mettre en place des outils sans revoir les pratiques : un antivirus ne remplace pas une politique de sauvegarde.
• Ne former les équipes qu'une seule fois, sans rappel régulier.
• Traiter le guide comme une liste à cocher une fois pour toutes, alors qu'il suppose une vigilance continue face à des menaces qui évoluent.

Vérifier, mesure par mesure, lesquelles de ces recommandations sont déjà appliquées et lesquelles restent à traiter en priorité donne une feuille de route bien plus utile qu'une liste de bonnes intentions jamais vérifiées.