Ensemble de pratiques et mesures de sécurité informatique minimales que toute organisation devrait mettre en place pour réduire son exposition aux cybermenaces courantes.
L'hygiène cyber désigne le socle de pratiques de sécurité informatique considérées comme nécessaires et non négociables pour toute organisation, indépendamment de sa taille ou de son secteur. Ce socle comprend généralement la mise à jour régulière des logiciels et systèmes, l'authentification multifacteur pour les accès sensibles, la gestion rigoureuse des sauvegardes et leur test régulier, le cloisonnement des réseaux, la sensibilisation des utilisateurs aux risques de hameçonnage, et la gestion des identités et des accès privilégiés. Dans le contexte réglementaire, la directive NIS2 a formalisé ce socle en droit européen via son article 21, qui liste dix catégories de mesures obligatoires pour les entités essentielles et importantes. Pour les assureurs cyber, l'hygiène cyber est le premier filtre de souscription, le niveau en deçà duquel un risque devient soit insouscriptible, soit souscrit à des conditions très restrictives. Le concept a évolué avec la menace, l'hygiène de 2020 incluait rarement la surveillance continue des comportements ou la segmentation des accès par le principe du moindre privilège, qui font désormais partie du minimum attendu. NIS2 confère à l'hygiène cyber une dimension légale, en faisant de son absence non plus seulement un facteur aggravant à la souscription mais un manquement réglementaire sanctionnable.
Lors du renouvellement de sa police cyber, une PME industrielle présente un questionnaire de souscription révélant l'absence d'authentification multifacteur sur ses accès distants et l'absence de sauvegardes testées depuis dix-huit mois. L'assureur refuse de renouveler aux conditions précédentes, invoquant un niveau d'hygiène cyber insuffisant. Il propose une police avec une franchise doublée et une sous-limite pour les incidents liés aux accès non protégés, et conditionne le retour aux conditions normales à la mise en place de l'authentification multifacteur dans les trois mois suivant la prise d'effet.
cyberhygiène, bonnes pratiques cyber, socle de sécurité, baseline security