La maturité ANSSI en cinq paliers, et pourquoi elle bat le pourcentage
Un pourcentage traite tous les écarts à égalité. Un modèle de maturité à cinq paliers, non : il dit ce qui est réellement acquis, et quel écart isolé bloque le palier suivant. Il fait aussi un bien meilleur plan de remédiation — et un bien meilleur objectif contractuel.
La limite d'un pourcentage
Un score pondéré est un vrai progrès par rapport à un ratio brut, mais il résume quand même tout en un seul chiffre. Or un compte de service dans les administrateurs du domaine et un paramètre de diagnostic manquant ne sont pas deux occurrences de la même chose, et en faire la moyenne produit un chiffre à la fois exact et inutile.
Le modèle de maturité ANSSI répond autrement. Chaque contrôle est placé sur une échelle de 1 à 5 selon sa catégorie, des fondations d'identité jusqu'à la gouvernance et au durcissement avancé. Le résultat n'est pas un score mais un niveau — et un niveau est une phrase plutôt qu'un nombre.
Les cinq paliers
| Palier | Active Directory | |
|---|---|---|
| 1 | Comptes à privilèges, délégations, les objets qui donnent le contrôle du domaine | Attributions de rôles, rôles personnalisés, administrateurs classiques, principaux de service propriétaires |
| 2 | Authentification, Kerberos, politique de mots de passe, LAPS | Key Vault et secrets, chiffrement, coffres de sauvegarde, immuabilité |
| 3 | Durcissement des services, protocoles hérités, modèles de certificat | Réseau, stockage, bases de données, App Service, machines virtuelles, conteneurs, services d'IA |
| 4 | Journalisation, supervision, détection | Paramètres de diagnostic, rétention, journaux de flux, Defender for Cloud |
| 5 | Gouvernance et durcissement avancé |
La répartition est en soi une information. Sur Active Directory, le poids est bas : le risque est dans les chemins d'escalade, pas dans les services.
La règle est volontairement sévère
Le niveau atteint est le plus haut palier N tel qu'aucun contrôle non conforme ne subsiste aux paliers 1 à N. Pas un pourcentage du palier 1, pas une moyenne : aucun. Deux écarts au palier 1 et le niveau est zéro, quel que soit l'état du reste du parc.
Pourquoi si strict ? Parce que l'alternative encourage exactement le mauvais réflexe. Un modèle qui laisserait revendiquer le palier 3 avec un écart résiduel au palier 1 récompenserait le polissage de la couche visible en laissant les fondations ouvertes. Il n'existe pas de bonne supervision sur un annuaire où n'importe quel utilisateur peut devenir administrateur.
Les contrôles en erreur ou non évalués sont exclus du décompte, comme pour le score. Un palier sans aucun contrôle évalué est considéré comme propre — ce qu'il faut garder en tête quand une attribution de rôle manque et que la moitié d'un palier remonte non évaluée.
Quatre façons de s'en servir
- Comme fil directeur de la restitution. « Votre parc est au niveau 1 sur 5 » porte là où « votre conformité est de 58 % » ne porte pas. Présentez le niveau avant le pourcentage.
- Comme plan de remédiation naturel. Traitez le palier 1 en premier. Sur Active Directory, cela signifie fermer les chemins d'escalade avant de toucher aux protocoles.
- Comme objectif contractuel. « Atteindre le niveau 3 sous six mois » est mesurable et vérifiable par un contre-audit. « Améliorer notre posture de sécurité » ne l'est pas.
- En complément de l'exposition. Le palier donne la profondeur, le graphe des chemins d'attaque donne l'urgence. Ensemble, ils font la restitution ; séparément, chacun se discute.
Ce qu'il ne fait pas
Le modèle n'est pas une certification et n'a aucune portée juridique. C'est une grille de lecture — une façon d'ordonner les constats qui correspond à la manière dont un attaquant procède réellement. Sa valeur est de transformer un audit en suite de décisions plutôt qu'en liste de griefs, et de survivre au contact d'un comité de direction, ce qu'un tableau contrôle par contrôle ne fait pas.