Hygiène informatique en TPE : 3 chantiers à boucler avant les 42 mesures de l’ANSSI

Le guide d’hygiène informatique de l’ANSSI aligne 42 mesures réparties en 9 thèmes, mais il s’adresse, selon son propre avant-propos, aux structures « dotées d’une DSI ». Une TPE de 1 à 10 postes sans informaticien obtient plus vite un vrai niveau de protection en bouclant d’abord 3 chantiers : mots de passe, sauvegardes, mises à jour. Ils se règlent en un mois, pour moins de 300 €.

Le guide d’hygiène informatique de l’ANSSI est-il fait pour une TPE ?

Publié en janvier 2013, refondu en septembre 2017 (version 2.0), le guide suppose un état des lieux complet avec l’outil de suivi fourni en annexe, l’atteinte du niveau « standard » sur les 42 mesures, puis du niveau « renforcé ». Cloisonnement réseau, poste d’administration dédié, journalisation centralisée : sans prestataire, une TPE cale dès le thème 5.

L’ANSSI renvoie elle-même les petites structures vers un document plus court : le guide CPME-ANSSI de mars 2015, 12 règles sur 44 pages. Les 42 mesures restent la cible ; elles ne sont pas le point de départ.

Le bilan 2025 de Cybermalveillance.gouv.fr confirme l’ordre à suivre : 504 810 demandes d’assistance (+20 %), et le piratage de compte devient la première menace des entreprises, avec 21 % des parcours et une hausse de 52 %.

Chantier 1 : des mots de passe uniques et la double authentification sur 3 comptes

Le piratage de compte part d’un mot de passe réutilisé ou volé par hameçonnage. Seules 26 % des TPE-PME activent la double authentification (baromètre Cybermalveillance 2025).

Installer un gestionnaire de mots de passe : KeePassXC est gratuit, libre et certifié par l’ANSSI ; les offres professionnelles partagées coûtent 3 à 5 € par utilisateur et par mois.

Remplacer chaque mot de passe par un mot de passe unique d’au moins 12 caractères, généré par le gestionnaire.

Activer la double authentification dans cet ordre : messagerie, banque en ligne, comptes administrateurs (Microsoft 365, Google Workspace, hébergeur du site, box). La messagerie d’abord : elle réinitialise tous les autres comptes.

Changer les mots de passe par défaut de la box, de l’imprimante et du NAS.

Erreur fréquente : laisser le navigateur « se souvenir du mot de passe ». L’ANSSI l’exclut au même titre que le fichier Excel et le mail envoyé à soi-même. Pour avancer poste par poste, ce dossier étape par étape détaille la configuration dans une petite structure.

Chantier 2 : une sauvegarde 3-2-1 dont une copie débranchée

78 % des TPE-PME déclarent sauvegarder. Peu ont une copie qu’un rançongiciel ne peut pas atteindre : un disque resté branché est chiffré en même temps que le poste.

Lister les données vitales : comptabilité, fichiers clients, boîtes mail.

Appliquer la règle 3-2-1 : 3 copies, sur 2 supports différents, dont 1 hors ligne ou hors site.

Planifier une sauvegarde automatique quotidienne vers un NAS ou un cloud, et une copie hebdomadaire sur disque externe (2 To : 70 à 90 €), débranché aussitôt et rangé hors du bureau.

Tester une restauration complète une fois par trimestre ; le niveau renforcé de la mesure 37 exige au moins un exercice par an, tracé.

Notre conseil : une sauvegarde jamais restaurée n’existe pas. Chronométrez le premier test : s’il dépasse une journée, la TPE reste à l’arrêt une journée le jour de l’attaque.

Chantier 3 : des mises à jour sous 30 jours et un inventaire des fins de support

La mesure 34 fixe la règle : appliquer les correctifs de sécurité dans le mois qui suit leur publication.

Recenser en une demi-journée postes, smartphones, box, NAS, imprimantes et logiciels métier, avec leur version et leur date de fin de support.

Activer les mises à jour automatiques du système, du navigateur et de la suite bureautique ; vérifier le firmware de la box et du NAS chaque mois.

Remplacer ou isoler tout matériel non supporté, comme l’exige la mesure 35.

Erreur fréquente : garder des PC sous Windows 10, sans correctifs depuis le 14 octobre 2025. L’ESU prolonge les correctifs pour 61 $ par poste la 1re année, 122 $ la 2e, 244 $ la 3e : 427 $ sur trois ans, souvent plus qu’un poste neuf sous Windows 11.

Quel calendrier pour une TPE avant d’attaquer les 42 mesures ?

Quatre semaines suffisent pour 5 postes, sans prestataire.

Échéance Action Coût pour 5 postes Mesures ANSSI couvertes Semaine 1 Double authentification messagerie, banque, comptes admin 0 €, 2 heures 13 Semaines 2-3 Gestionnaire de mots de passe, mots de passe par défaut changés 0 à 300 €/an 11, 12 Semaine 2 Sauvegarde 3-2-1, premier test de restauration 80 € + cloud 5 à 10 €/mois 37 Semaine 4 Inventaire, mises à jour automatiques, plan de remplacement Une demi-journée 1, 34, 35

Ces 3 chantiers bouclés, 7 mesures sur 42 sont atteintes : le dirigeant les coche dans l’outil de suivi. Le guide et son annexe se téléchargent sur la page officielle du guide d’hygiène informatique de l’ANSSI ; viennent ensuite les thèmes 1 (sensibiliser) et 3 (gérer les comptes), avant le réseau.