Ce qui constitue un actif
Un actif est tout élément dont la perte, l'endommagement ou la compromission nuirait à l'organisation. La définition ne se limite pas aux ordinateurs : une base de données clients, une clé de signature ou un compte administrateur peuvent être des actifs, et chacun doit avoir un responsable désigné. La gestion des actifs informatiques (ITAM) part de cette liste.
La difficulté porte sur la frontière. Un élément entre dans le registre lorsque l'organisation en est responsable : un compte cloud personnel utilisé pour des fichiers clients reste donc hors du registre tant que personne ne l'y intègre. Les données qu'un actif contient déterminent le niveau de protection requis, et chaque fiche devrait donc indiquer la classification des données de ce qu'elle stocke.
Cinq groupes d'actifs
La plupart des registres combinent cinq groupes :
| Groupe | Exemples |
|---|---|
| Matériel | Postes de travail, ordinateurs portables, serveurs, équipements réseau et d'impression, appareils mobiles |
| Logiciels | Systèmes d'exploitation, applications métier, outils de développement et leurs licences |
| Données et informations | Bases de données, dépôts de documents, identifiants, clés cryptographiques |
| Personnes | Salariés et prestataires, avec leurs compétences et leurs droits d'accès |
| Services et installations | Services cloud, locaux, alimentation électrique et connectivité |
Actifs corporels et incorporels
La distinction la plus courante repose sur la forme physique. Les actifs corporels, comme les ordinateurs, les appareils, les câbles, les baies serveurs et les supports imprimés, portent un numéro de série, peuvent être étiquetés, et leur disparition apparaît lors d'un inventaire.
Les actifs incorporels, comme les licences, les données, la propriété intellectuelle et la réputation, n'ont aucune forme physique. On les suit grâce aux enregistrements, aux clés de licence et aux étiquettes de classification, et ils sont plus faciles à copier discrètement qu'à perdre. Les logiciels et leurs licences forment un domaine à part, traité dans la gestion des actifs logiciels.
Les actifs se classent aussi selon leur criticité : critiques pour la mission, importants ou de support. Le budget de protection étant limité, le registre indique quels actifs méritent les contrôles les plus stricts.
Cycle de vie d'un actif
Les actifs se gèrent tout au long d'un cycle de vie, et non comme des fiches figées. Un modèle courant comporte cinq étapes :
- 1
Planification et achat
Définissez les besoins de l'organisation, achetez ou louez le bien et enregistrez-le dans le registre.
- 2
Déploiement
Mettez l'actif en service et attribuez-lui un responsable, un statut et un emplacement. Pour les ordinateurs, fixez une configuration de référence.
- 3
Exploitation
Suivez l'usage, la supervision, la maintenance et les mises à jour. Pour les logiciels, suivez les versions et la couverture des licences.
- 4
Changements
Enregistrez les déplacements entre postes et services, les réaffectations et les changements de statut, comme « en service » ou « mis au rebut ».
- 5
Mise hors service
Retirez l'actif, effacez ses données de façon sécurisée et radiez-le. La fiche se clôt sans perdre son historique.
À quoi ressemble le registre dans Anexet
Le module inventaire informatique tient une fiche par ordinateur, avec son statut, son responsable, son organisation, son service et son poste de travail. Chaque modification de la fiche est consignée dans le journal d'audit, ce qui permet de vérifier le registre a posteriori.
Responsabilité et contrôle
Quelques contrôles transforment une liste d'objets en base d'actifs gouvernée. Dans les grands environnements, le registre devient une base de gestion de configuration (CMDB), qui enregistre aussi les dépendances entre actifs. Trois rôles garantissent son exactitude :
| Rôle | Responsabilité | Accès |
|---|---|---|
| Propriétaire de l'actifResponsable de l'entité métier | Répond de l'état, de l'usage et de la sécurité de l'actif | Valide les déplacements et les mises au rebut |
| Gardien de l'actifAdministrateur informatique | Maintient la fiche à jour et la configuration du poste | Modifie la fiche d'inventaire |
| Responsable sécuritéÉquipe sécurité | Traite les alertes d'écart par rapport à la configuration de référence | Consulte les alertes et le journal d'audit |
Erreurs fréquentes
Le registre échoue de façons prévisibles. La plupart des lacunes viennent du Shadow IT, c'est-à-dire d'outils qui fonctionnent bien et ne sont jamais enregistrés. Trois autres erreurs reviennent souvent :
Un actif absent du registre ne peut être ni corrigé, ni supervisé, ni couvert par la réponse aux incidents.
- Saisir les actifs à la main une seule fois, sans jamais les mettre à jour : le registre s'éloigne de la réalité dès la première réorganisation.
- Traiter la découverte comme un audit ponctuel. Un appareil non autorisé connecté après l'audit reste invisible jusqu'au suivant.
- Supprimer la fiche lors de la mise au rebut au lieu de la clôturer, ce qui efface l'historique dont l'audit a besoin.
Par où commencer
Commencez par les actifs dont la perte causerait le plus de dégâts, puis ajoutez pour chacun un responsable, un emplacement et un statut. La découverte automatique maintient la liste à jour entre deux revues, et les utilisateurs corrigent les détails qu'ils emploient au quotidien.
Révisez le registre selon un calendrier, et pas seulement après un incident, car il n'est utile que s'il correspond à l'environnement réel.
Pour aller plus loin : Sécurité de l'information : définition, exigences, modèles et étapes.
Un actif que vous ne voyez pas est un actif que vous ne pouvez pas protéger.
Anexet TeamComment Anexet traite ce sujet
Anexet aborde les actifs comme quelque chose à comptabiliser automatiquement plutôt qu'à saisir à la main. Son module Inventory construit la base d'actifs à partir des données collectées par les agents sur les terminaux, de sorte que les relevés matériels et logiciels apparaissent et restent à jour sans saisie manuelle :
La plateforme étant déployée on-premise, le registre des actifs, son historique d'audit et les données de configuration collectées restent au sein de l'infrastructure propre de l'organisation.
Ordinateurs et appareils
les agents découvrent les postes de travail, PC, portables, serveurs, et leurs composants, et un assistant d'importation transfère le matériel découvert vers l'inventaire. Chaque fiche contient le statut (en usage, hors usage, en maintenance, à réformer), le responsable, le service et le poste. Une vingtaine de types d'appareils sont pris en charge, des écrans et disques aux équipements réseau et imprimantes, et plusieurs composants peuvent être réunis en un appareil composé portant un numéro d'inventaire commun.
Inventaire logiciel
pour chaque ordinateur, le module consigne les applications installées avec l'éditeur, la date d'installation, la taille, la version et l'emplacement, les données nécessaires au contrôle des licences et des mises à jour.
Détection des écarts
une configuration de référence peut être fixée pour chaque ordinateur ; lorsqu'un appareil hors configuration est connecté, ou qu'un appareil configuré est introuvable parmi les appareils connectés, le module signale l'écart et avertit le responsable sécurité en temps réel.
Plan des bureaux
un plan peut être chargé et les équipements y être placés, afin que les ordinateurs, leurs utilisateurs actifs et les indicateurs d'écart soient visibles à leur emplacement physique.
Gestionnaire d'appareils
un outil dédié relie les appareils aux fiches des ordinateurs et gère la composition des configurations.
Piste d'audit et export
chaque opération, ajout, suppression, déplacement, configuration, changement de statut ou de responsable, entre dans le journal d'audit ; les listes d'ordinateurs, d'appareils et le plan des bureaux peuvent être exportés en xlsx ou pdf.
Anexet Inventory
En savoir plus