Objectifs de la leçon
- Inventorier les actifs ;
- Identifier les actifs critiques ;
- Représenter les flux.
On ne protège bien que ce que l'on connaît
La première étape est l'inventaire :
- Matériels : postes, serveurs, équipements réseau, smartphones professionnels, imprimantes, caméras ;
- Logiciels et services : systèmes, logiciels métiers, messagerie, services en ligne (cloud, comptabilité en ligne, CRM), site web ;
- Données : clients, salariés, comptabilité, contrats, données de santé ou financières ;
- Comptes : utilisateurs, administrateurs, comptes de services, comptes partagés ;
- Prestataires qui ont un accès (maintenance, hébergeur, développeur).
Identifier les actifs critiques
Pour chaque processus métier (facturation, ventes, paie, production, relation client), demandez :
- Quelles données et quels outils sont indispensables ?
- Combien de temps l'entreprise peut-elle fonctionner sans eux ?
- Quelles seraient les conséquences d'une fuite ou d'une altération ?
On évalue souvent selon trois critères : Disponibilité, Intégrité, Confidentialité (DIC).
Représenter les flux
Un schéma simple montre : où sont les données, qui y accède, depuis où (bureau, domicile, mobile), et quelles connexions existent vers l'extérieur (Internet, prestataires, cloud). Les flux non maîtrisés (un accès à distance installé par un prestataire et oublié, par exemple) sont des failles fréquentes.
Exemple
Une clinique identifie comme critiques : le logiciel de gestion des dossiers patients (confidentialité et disponibilité maximales), la facturation, la messagerie. Elle découvre lors de l'inventaire qu'un ancien prestataire dispose encore d'un accès à distance au serveur.
À retenir
Inventaire complet, actifs critiques identifiés, flux documentés : la base de toute stratégie de sécurité.
Mise en pratique
Réalisez l'inventaire simplifié du système d'information de votre organisation et identifiez les 5 actifs les plus critiques selon les critères DIC.