Inventaire des Composants du Système d'Information

Un inventaire des composants du système d'information est la liste faisant autorité des éléments qui forment ensemble un système : les serveurs et postes de travail sur lesquels il fonctionne, les équipements réseau qui les relient, les systèmes d'exploitation et applications installés, ainsi que le firmware sous-jacent. Le terme vient de la gestion de configuration. Dans le NIST SP 800-53, le catalogue de contrôles qui sous-tend FISMA, FedRAMP et une grande part de la politique de sécurité fédérale et sous-traitante américaine, il est formalisé sous le contrôle CM-8, Information System Component Inventory. La même idée apparaît ailleurs sous d'autres noms, comme un inventaire des actifs dans l'ISO/IEC 27001 ou une liste d'éléments de configuration dans la gestion de configuration selon ITIL.

Ce qui définit l'inventaire, c'est son exactitude et sa mise à jour, et non le simple fait d'avoir une liste. Un tableur établi une seule fois pour un audit et jamais actualisé ne satisfait pas l'exigence. Sa valeur tient à ce qu'il reflète le système tel qu'il est aujourd'hui, y compris les composants qu'une personne a ajoutés la semaine dernière sans en parler à quiconque.

Un inventaire de composants qui respecte l'objectif du contrôle va bien au-delà d'une liste de noms. Pour chaque composant, l'enregistrement comporte généralement les attributs suivants :

Un inventaire des composants est un prérequis à presque tous les autres contrôles de sécurité. La gestion des vulnérabilités ne peut pas corriger un logiciel dont l'organisation ignore la présence. La réponse aux incidents ne peut pas délimiter une compromission sans connaître les systèmes existants et ce qu'ils exécutent. Le contrôle d'accès ne peut pas être considéré comme complet si certains composants n'ont jamais été examinés. Chacune de ces activités suppose implicitement que l'inventaire est complet et exact.

La même exigence figure dans d'autres référentiels sous des noms différents. FedRAMP hérite directement du contrôle CM-8. La norme PCI DSS exige un inventaire des composants du système inclus dans le périmètre des données de cartes. L'ISO/IEC 27001 exige un inventaire des actifs avec responsables désignés. La formulation varie, mais l'exigence de fond reste la même : savoir ce que l'on possède avant d'essayer de le protéger.

Les programmes matures combinent l'enregistrement manuel et la découverte automatisée, puis vérifient les résultats selon un calendrier :

1. 1

   Enregistrement manuel

   Les composants sont saisis à leur acquisition et à leur déploiement, avec un responsable désigné dès le premier jour.

2. 2

   Découverte automatisée

   Des agents ou des analyses réseau détectent en continu les composants connectés, y compris le matériel et les logiciels que le processus manuel a manqués ou qui sont arrivés en dehors de lui.

3. 3

   Rapprochement

   Les résultats de la découverte sont comparés à l'inventaire enregistré selon un calendrier défini. Tout composant observé sur le réseau et absent de l'inventaire est examiné, et non ajouté silencieusement.

4. 4

   Fréquence de revue

   Le NIST SP 800-53 laisse à l'organisation le soin de fixer l'intervalle exact, mais attend qu'il soit défini dans la politique et respecté. Les cycles trimestriels et mensuels sont courants, selon le risque du système.

L'inventaire matériel d'Anexet construit cet enregistrement à partir de la découverte. Chaque fiche d'équipement contient le type, le numéro de série, la personne responsable et l'emplacement, et la liste des applications de chaque ordinateur présente l'inventaire logiciel avec les versions et les dates d'installation.

1 / 2

• 
• 

L'écart entre un inventaire nominal et un inventaire fiable se manifeste par quelques schémas récurrents. Un registre mis à jour uniquement pendant les audits devient obsolète en quelques semaines. Les composants ajoutés par les utilisateurs hors des achats, comme des appareils personnels, des logiciels non approuvés ou un routeur de secours branché sur un commutateur, n'entrent jamais dans le registre. C'est le problème du shadow IT et des équipements non autorisés que l'inventaire doit faire apparaître. Les champs de responsabilité deviennent aussi obsolètes lorsque le personnel change d'équipe, laissant des composants listés sans responsable. Les inventaires qui ne couvrent qu'une partie de l'environnement laissent le reste sans protection et créent un faux sentiment d'exhaustivité.

Les auditeurs et les équipes de sécurité appliquent le même test que celui qui définit le contrôle. L'organisation peut-elle produire, sur demande, une liste exacte de ce qu'elle possède, de qui est responsable de chaque élément et de la date de sa dernière vérification ? La réponse doit provenir d'un enregistrement tenu à jour en routine, et non de la mémoire ou d'une estimation.

Pour aller plus loin : Automatisation de la sécurité de l'information.