Matériel informatique (Hardware)

Le matériel est la couche physique d'un environnement IT : les ordinateurs utilisés par les salariés, les serveurs qui font tourner les systèmes métier, les commutateurs et points d'accès qui acheminent le trafic, ainsi que les disques et imprimantes qui y sont raccordés. C'est une catégorie d'actif détenue par l'organisation, et la seule qui peut être oubliée dans un train ou dans une chambre d'hôtel.

La plupart des risques liés au matériel ne tiennent pas à l'appareil lui-même. Ils viennent de ce que l'on ignore son existence, la personne qui le détient ou la configuration qu'il exécute. C'est en traitant le matériel comme un registre qui doit rester exact que l'équipe sécurité peut agir.

• Postes de travail, ordinateurs portables et serveurs : ils exécutent les applications et stockent les données métier.
• Équipements réseau : routeurs, commutateurs et points d'accès qui relient les postes et acheminent leur trafic.
• Périphériques : écrans, claviers et imprimantes, qui dépendent du poste auquel ils sont reliés.
• Stockage et mémoire : disques internes et externes, ainsi que la mémoire vive, qui conservent des données ou exécutent des processus actifs.
• Appareils mobiles : ordinateurs portables et supports amovibles qui quittent régulièrement les locaux.

Le matériel est souvent confondu avec deux couches voisines. Le logiciel n'a pas de forme physique, mais il exige une licence et un numéro de version. Le firmware est un code de bas niveau intégré à un composant, comme le BIOS ou l'UEFI d'un ordinateur ou le code d'une carte réseau. Il est livré avec l'appareil, mais il se met à jour comme un logiciel, par son propre canal.

Les trois couches dépendent les unes des autres, mais se gèrent séparément. Le logiciel est suivi par la gestion des actifs logiciels, tandis que le matériel l'est par son numéro de série et son emplacement physique.

Un programme de sécurité ne peut protéger que le matériel qu'il connaît. Un équipement absent du registre ne peut pas être corrigé dans les délais, comparé à sa configuration approuvée ni retrouvé s'il disparaît.

Deux angles morts reviennent régulièrement dans les analyses d'incidents : des appareils non autorisés connectés au réseau, et des équipements de l'entreprise discrètement utilisés à des fins personnelles. Un tableur mis à jour une fois par trimestre ne voit ni l'un ni l'autre. C'est pourquoi la détection des changements matériels en continu est considérée comme un contrôle de base, et non comme un audit ponctuel.

Le matériel se gère de l'achat à la mise au rebut. Il n'est jamais une simple ligne figée dans un tableur :

1. 1

   Acquisition

   L'organisation définit son besoin, achète ou loue l'équipement et l'inscrit au registre avant qu'il n'arrive sur un bureau.

2. 2

   Déploiement

   L'appareil est mis en service et reçoit un responsable, un statut et un emplacement. Sa configuration attendue est fixée comme référence.

3. 3

   Exploitation et maintenance

   L'appareil est utilisé au quotidien. Sa charge, son état et ses composants raccordés sont surveillés et entretenus au besoin.

4. 4

   Changement et déplacement

   L'appareil passe d'un salarié, d'un service ou d'un site à un autre, et son statut évolue entre en usage, en service et hors usage.

5. 5

   Mise au rebut

   L'appareil est retiré du service et ses supports de stockage sont effacés en toute sécurité. La fiche est clôturée sans perdre son historique.

Dans le module Anexet Inventory, l'onglet Appareils de la fiche de chaque poste liste les composants détectés par les agents, avec leur type et leur fabricant. Sur la fiche d'un serveur, des icônes d'avertissement signalent les appareils raccordés qui ne figurent pas dans la liste attendue pour cette machine, si bien qu'un adaptateur inattendu se remarque immédiatement.

La plupart des inventaires échouent aux mêmes endroits. Le registre est constitué une fois, lors d'un renouvellement de parc, puis laissé à l'abandon : les nouveaux appareils et les réaffectations ne l'atteignent jamais.

La détection automatique supprime la plupart de ces erreurs, car le registre se met à jour à partir des appareils eux-mêmes et non de la mémoire des personnes.

• Enregistrer des numéros de série sans propriétaire ni emplacement, si bien qu'un appareil retrouvé ne peut pas être restitué.
• Clôturer une fiche avant l'effacement des supports, ce qui laisse des données sur un disque que personne ne suit.
• Se fier aux listes d'achats, qui ne montrent jamais les équipements ajoutés au réseau sans validation.

Commencez par les appareils qui détiennent le plus de données ou accèdent au plus grand nombre de réseaux, comme les serveurs et les ordinateurs portables qui quittent les locaux, et corrigez d'abord leurs fiches.

Activez ensuite la détection, pour que le registre suive sans que quelqu'un saisisse des numéros de série. Reliez chaque fiche à une personne, un emplacement et une configuration, et conservez son historique. Un registre n'est utile que par sa dernière mise à jour.