Chapitre 711 minDébutant
Hygiène informatique : les règles de l'ANSSI
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- citer les dix chapitres du guide d'hygiène informatique de l'ANSSI ;
- appliquer le principe du moindre privilège et la séparation des comptes ;
- organiser une procédure d'arrivée et de départ ;
- auditer un SI au regard des règles d'hygiène ;
- vérifier l'efficacité des protections avec des indicateurs.
3 exercices corrigés
L'hygiène informatique est l'ensemble des règles de sécurité élémentaires qu'une organisation applique en permanence pour réduire la plupart des risques : connaître son parc, mettre à jour, limiter les droits, sauvegarder, surveiller. Comme l'hygiène des mains à l'hôpital, elle ne demande pas d'outils sophistiqués mais de la régularité. Ce chapitre présente le guide de l'ANSSI qui sert de référence, détaille les règles qui comptent le plus et explique comment vérifier qu'elles sont réellement appliquées.
Le guide d'hygiène informatique de l'ANSSI
L'ANSSI publie un guide gratuit, « Guide d'hygiène informatique : renforcer la sécurité de son système d'information en 42 mesures » (version de 2017, toujours la référence de base). Il s'adresse aux responsables informatiques des entreprises et des administrations. Ses mesures sont réparties en dix chapitres :
| Chapitre | Exemples de mesures |
|---|---|
| Sensibiliser et former | Former les équipes informatiques, sensibiliser les utilisateurs, maîtriser les risques de l'infogérance |
| Connaître le système d'information | Inventorier les serveurs, logiciels et comptes privilégiés ; organiser les arrivées, départs et changements de poste ; n'autoriser que les équipements maîtrisés |
| Authentifier et contrôler les accès | Comptes nominatifs, distinction utilisateur et administrateur, droits strictement nécessaires, mots de passe robustes, changer les mots de passe par défaut |
| Sécuriser les postes | Configuration de sécurité de référence, contrôle des supports amovibles, pare-feu local, chiffrement des données sensibles |
| Sécuriser le réseau | Cloisonnement, Wi-Fi sécurisé, protocoles sécurisés, passerelle Internet sécurisée, protection de la messagerie |
| Sécuriser l'administration | Réseau ou postes dédiés à l'administration, pas d'accès à Internet depuis les comptes d'administration |
| Gérer le nomadisme | Chiffrement des postes nomades, accès distant par VPN, politique pour les téléphones |
| Maintenir le système d'information à jour | Politique de mise à jour, anticipation de la fin de support des logiciels |
| Superviser, auditer, réagir | Journalisation, sauvegardes, procédure de gestion des incidents, audits réguliers |
| Pour aller plus loin | Mener une analyse de risques formelle, privilégier les produits et services qualifiés par l'ANSSI |
Le guide distingue un niveau standard, que toute organisation devrait atteindre, et un niveau renforcé pour les plus exposées. Pour les entités qui seront soumises à la directive NIS 2, l'ANSSI a publié en mars 2026 une version de travail du ReCyF (Référentiel Cyber France), qui reprend et prolonge ces bonnes pratiques (chapitre 11).
Connaître son système d'information
On ne protège pas ce qu'on ne connaît pas. Un inventaire à jour liste les postes, serveurs, équipements réseau, logiciels et leurs versions, comptes à privilèges, et les données sensibles avec leur emplacement. C'est lui qui permet de répondre en quelques minutes à la question « avons-nous des machines touchées par la faille publiée ce matin ? ».
En BTS SIO, tu le tiens avec un outil de gestion de parc comme GLPI, alimenté automatiquement par un agent d'inventaire (cours GLPI). Une cartographie du réseau (schéma, plan d'adressage, flux autorisés) le complète.
Mettre à jour, et anticiper la fin de support
La plupart des attaques exploitent des failles connues pour lesquelles un correctif existe. Une politique de mise à jour définit :
- quoi : systèmes, logiciels, navigateurs, micrologiciels des équipements réseau, bibliothèques des applications ;
- à quel rythme : en urgence (quelques jours au plus) pour les failles activement exploitées signalées par le CERT-FR, en priorité pour les équipements exposés à Internet, selon un calendrier régulier pour le reste ;
- comment : déploiement centralisé (WSUS ou Intune pour Windows, dépôts de paquets pour Linux), test sur un groupe pilote, vérification que les postes ont bien appliqué les correctifs.
Un logiciel en fin de support ne reçoit plus de correctifs de sécurité : chaque faille découverte reste ouverte pour toujours. Windows 10 n'est plus pris en charge depuis le 14 octobre 2025 (sauf souscription au programme payant de mises à jour de sécurité étendues) : les postes qui l'utilisent encore doivent être migrés ou isolés.
Moindre privilège et séparation des comptes
Le principe du moindre privilège dit que chaque utilisateur, chaque compte de service et chaque application ne reçoit que les droits strictement nécessaires à sa mission, et pas plus. Il limite ce qu'un attaquant peut faire avec un compte volé.
Il se décline en règles concrètes :
- les utilisateurs travaillent avec un compte sans droits d'administration sur leur poste ;
- chaque administrateur a un compte d'administration nominatif, distinct de son compte de bureautique et de messagerie, utilisé uniquement pour administrer ;
- les droits sur les dossiers partagés sont attribués à des groupes (par service, par fonction), jamais au cas par cas, et revus régulièrement ;
- le compte de l'application dans la base de données n'a que les droits dont l'application a besoin (droits SQL et moindre privilège) ;
- les mots de passe par défaut des équipements (imprimantes, caméras, bornes Wi-Fi, routeurs) sont changés dès l'installation.
Gérer les arrivées et les départs
Les comptes d'anciens salariés encore actifs sont une porte d'entrée classique, utilisée par des attaquants ou par l'ancien salarié lui-même. Une procédure écrite, déclenchée par les ressources humaines, prévoit à chaque étape :
| Moment | Actions |
|---|---|
| Arrivée | Création du compte dans les bons groupes, matériel inventorié et attribué, signature de la charte informatique, sensibilisation |
| Changement de poste | Retrait des droits de l'ancienne fonction (sinon les droits s'accumulent), ajout des nouveaux |
| Départ | Désactivation des comptes le jour du départ (annuaire, messagerie, VPN, applications en ligne), restitution du matériel et des badges, changement des mots de passe partagés qu'il connaissait, transfert des fichiers utiles |
Les autres règles qui comptent
| Règle | Pourquoi |
|---|---|
| Sauvegardes régulières, dont une copie hors ligne, et tests de restauration | Survivre à un rançongiciel, une panne ou une erreur (chapitre 4) |
| Antivirus ou EDR à jour sur tous les postes et serveurs | Bloquer ou détecter les logiciels malveillants |
| Pare-feu local activé sur les postes | Limiter la propagation d'un poste à l'autre |
| Verrouillage automatique des sessions inactives | Empêcher l'accès à un poste laissé ouvert |
| Chiffrement des disques des portables et des supports amovibles | Protéger les données en cas de perte ou de vol (chapitre 8) |
| Contrôle des supports amovibles | Empêcher l'introduction de logiciels malveillants et la fuite de données par clé USB |
| Protocoles sécurisés (HTTPS, SSH, SFTP) au lieu de leurs versions en clair (HTTP, Telnet, FTP) | Protéger la confidentialité et l'intégrité des échanges |
| Cloisonnement du réseau (VLAN, pare-feu interne, réseau invités séparé) | Empêcher qu'un poste compromis atteigne tout le reste |
| Journalisation centralisée et horodatée | Détecter une attaque et disposer de preuves |
| Sécurité physique (salle serveur fermée, accès par badge, détection d'incendie, onduleur) | Protéger la disponibilité et empêcher l'accès direct au matériel |
Ces règles sont formalisées dans la politique de sécurité du système d'information (PSSI), un document validé par la direction qui fixe les objectifs, les règles et les responsabilités. La charte informatique en reprend la partie qui concerne les utilisateurs (chapitre 10).
Vérifier l'efficacité de la protection
Le référentiel du BTS demande aussi de vérifier que les protections fonctionnent : une règle écrite mais non appliquée ne protège rien.
| Moyen de vérification | Ce qu'il mesure |
|---|---|
| Tableau de bord de conformité | Pourcentage de postes à jour, avec antivirus actif, chiffrés ; comptes inactifs depuis plus de 90 jours |
| Scan de vulnérabilités (OpenVAS, Nessus) | Les failles connues présentes sur les machines du réseau |
| Audit de l'annuaire (PingCastle, Purple Knight) | Les faiblesses de configuration d'Active Directory |
| Test d'intrusion (pentest) | Ce qu'un attaquant réel parviendrait à faire, mené par un prestataire avec une autorisation écrite |
| Test de restauration | La capacité à remettre en service à partir des sauvegardes, et le temps nécessaire |
| Exercice de faux hameçonnage | La proportion d'utilisateurs qui cliquent ou signalent (chapitre 10) |
| Revue des droits | Les droits accordés correspondent-ils encore aux fonctions ? |
Chaque écart trouvé devient une action corrective datée, avec un responsable : c'est l'amélioration continue.
Le même raisonnement en SLAM et en SISR
En SLAM, l'hygiène s'applique au cycle de développement : dépendances tenues à jour et auditées (npm audit, composer audit), secrets hors du dépôt Git, environnements de développement, de test et de production séparés, comptes de base de données distincts et limités, revue de code avant fusion, analyse automatique du code (SAST) dans l'intégration continue, et messages d'erreur détaillés désactivés en production.
En SISR, l'hygiène se règle dans l'infrastructure : stratégies de groupe (verrouillage de session, pare-feu, blocage des supports amovibles, BitLocker), serveur de mises à jour, modèle d'administration en niveaux (les comptes qui administrent les contrôleurs de domaine ne se connectent jamais sur un poste utilisateur), réseau d'administration dédié, supervision des services et des journaux (cours Supervision).
Pour aller plus loin. Le moindre privilège et la gestion des comptes dans le temps sont traités dans les chapitres RBAC et moindre privilège et Matrice d'habilitations du cours Authentification.
Exercices
Exercice 1 sur 3 Audit express Réussi À revoir
Lors d'une visite chez un client de Soléane, une clinique, tu constates :
- Les secrétaires médicales partagent le même compte Windows
accueil. - Le serveur de fichiers tourne sous Windows Server 2012 R2.
- Le mot de passe de l'interface d'administration de la borne Wi-Fi est
admin. - Le compte d'une infirmière partie il y a six mois est toujours actif.
- Les techniciens consultent leur messagerie et naviguent sur Internet avec leur compte d'administrateur du domaine.
Pour chaque constat, indique le risque et la mesure d'hygiène correspondante.
Voir la réponseMasquer la réponse de l'exercice 1
- Compte partagé : aucune traçabilité (preuve), mot de passe connu de tous. Mesure : un compte nominatif par personne ; pour un poste d'accueil partagé, un changement rapide de session.
- Système en fin de support (Windows Server 2012 R2 ne reçoit plus de correctifs depuis octobre 2023) : failles non corrigées. Mesure : migrer vers une version supportée, ou isoler le serveur en attendant.
- Mot de passe par défaut : n'importe qui sur le réseau peut reconfigurer la borne. Mesure : le changer dès l'installation pour un mot de passe robuste, stocké dans le gestionnaire de l'équipe.
- Compte d'un ancien salarié actif : accès possible par l'ancienne salariée ou un attaquant. Mesure : procédure de départ qui désactive les comptes le jour du départ, et revue régulière des comptes inactifs.
- Usage d'un compte privilégié pour des tâches courantes : un simple hameçonnage donne à l'attaquant les droits d'administration du domaine. Mesure : séparer les comptes, un compte d'administration nominatif utilisé uniquement pour administrer, sans messagerie ni Internet.
Tu avais trouvé ?
Exercice 2 sur 3 Moindre privilège sur un partage Réussi À revoir
Le dossier partagé \\srv-fichiers\Compta doit être modifiable par les quatre comptables, consultable par la directrice financière et le commissaire aux comptes (un prestataire, pendant un mois par an), et inaccessible aux autres.
Propose une organisation des droits qui respecte le moindre privilège.
Voir la réponseMasquer la réponse de l'exercice 2
On attribue les droits à des groupes, pas à des personnes :
- groupe
GG_Compta_Modif(les quatre comptables) : lecture et modification ; - groupe
GG_Compta_Lecture(la directrice financière, et le compte du commissaire aux comptes) : lecture seule ; - aucun droit pour « Utilisateurs du domaine » ni « Tout le monde ».
Le compte du commissaire aux comptes est nominatif, créé avec une date d'expiration à la fin de sa mission, et désactivé ensuite. Personne n'a le contrôle total, sauf les administrateurs via leur compte d'administration. Une revue des membres des groupes est faite au moins une fois par an.
Tu avais trouvé ?
Exercice 3 sur 3 Mesurer l'efficacité Réussi À revoir
Le responsable de la sécurité de Soléane veut présenter à la direction trois indicateurs qui montrent si l'hygiène informatique progresse. Propose-en trois, avec la façon de les mesurer.
Voir la réponseMasquer la réponse de l'exercice 3
Par exemple :
- Taux de postes à jour : pourcentage de postes ayant appliqué les correctifs du mois, lu dans la console de déploiement des mises à jour ou dans GLPI.
- Taux de clic aux exercices de faux hameçonnage, et surtout taux de signalement : mesurés par l'outil de simulation à chaque campagne.
- Résultat des tests de restauration : nombre de restaurations réussies sur le nombre de tests, et temps nécessaire comparé au RTO.
D'autres réponses sont valables : nombre de comptes inactifs depuis plus de 90 jours, part des comptes d'administration protégés par la MFA, nombre de vulnérabilités critiques ouvertes au dernier scan.
Tu avais trouvé ?