Gestion des actifs informatiques (ITAM)

L'ITAM couvre tout ce qu'une entreprise possède ou licencie pour faire fonctionner son environnement informatique. Cela inclut les équipements physiques, les composants internes, les périphériques et la couche logicielle qui fonctionne sur l'ensemble.

Chaque actif du registre a une identité (un nom, un numéro de série ou une étiquette d'inventaire) et des attributs qui le rendent exploitable : statut, personne responsable, service, emplacement ou poste de travail.

Le périmètre est volontairement large. La fiche matérielle d'un ordinateur portable n'est utile qu'à moitié si l'on ignore quel logiciel y tourne. Une licence ne peut être auditée que si elle est rattachée à la machine sur laquelle elle est installée. L'ITAM réunit les deux dans un même registre.

L'ITAM repose sur deux disciplines qui fonctionnent en parallèle mais suivent des éléments différents.

La gestion des actifs matériels (HAM) couvre les objets physiques : l'ordinateur, ses composants internes et ses périphériques connectés. Elle répond à ce qui existe, où cela se trouve, et si ce qui est réellement connecté à une machine correspond à la configuration attendue.

La gestion des actifs logiciels (SAM) couvre ce qui tourne sur ce matériel : applications installées, éditeurs et versions, dates d'installation et licences qui en autorisent l'usage. Elle répond à la question des logiciels déployés, de leur licence et de l'apparition éventuelle d'applications non autorisées.

Un programme ITAM mature garde les deux registres liés. Toute application peut être remontée jusqu'au matériel sur lequel elle tourne, et tout équipement jusqu'à tout ce qui y est installé.

Les programmes ITAM suivent les actifs selon cinq étapes récurrentes, appliquées au matériel comme au logiciel :

1. 1

   Acquisition

   Le matériel est acheté ou loué, et le logiciel est sous licence, avant d'arriver au bureau d'un employé. L'élément est enregistré dans le registre à ce moment-là.

2. 2

   Déploiement

   L'actif est mis en service et reçoit un propriétaire, un statut et un emplacement. Pour un ordinateur, une configuration de référence et une base logicielle approuvée sont définies.

3. 3

   Exploitation

   Le matériel est surveillé quant à son état et à sa conformité avec sa configuration de base. Le logiciel est contrôlé en comparant ce qui est installé à ce qui est sous licence et approuvé.

4. 4

   Changement et réaffectation

   L'équipement passe d'un employé, d'un service ou d'un bureau à l'autre, et des logiciels sont ajoutés ou retirés. Les deux registres sont mis à jour pour refléter le changement.

5. 5

   Mise au rebut

   Le matériel est retiré du service et radié. Ses licences sont récupérées ou réaffectées, et l'historique est conservé plutôt que supprimé.

Les fiches d'actifs peuvent être constituées de deux manières. La saisie manuelle consiste à inscrire à la main chaque ordinateur, périphérique et application installée dans un registre. La fiche est exacte au moment de la saisie, mais devient obsolète dès qu'un composant change ou qu'un logiciel est installé sans mise à jour.

La découverte automatisée utilise des agents installés sur les postes ou des analyses réseau pour signaler le matériel réellement connecté et les logiciels réellement installés. Le registre reflète alors la réalité, et non la dernière mise à jour manuelle.

La plupart des programmes ITAM matures combinent les deux. La découverte maintient l'inventaire de base à jour, tandis que les administrateurs ajoutent le contexte métier qu'une analyse ne peut pas déduire : qui possède la machine, à quel service elle appartient et quel statut elle doit avoir.

Sur la fiche d'un poste dans Anexet Inventory, l'onglet Applications liste chaque programme installé avec sa version et sa date d'installation, et l'onglet Computer configuration affiche les processeurs, la mémoire, les périphériques réseau et de stockage. Un programme inattendu ou un composant remplacé apparaît comme une ligne de plus, sans vérification manuelle de la machine.

1 / 2

• 
• 

Un registre à jour et connecté soutient plusieurs fonctions dont dépend une entreprise :

• Sécurité : un matériel ou un logiciel absent du registre ne peut être corrigé, surveillé ni intégré à la réponse aux incidents.
• Shadow IT : comparer ce qui est connecté et installé avec ce qui est approuvé révèle les appareils non autorisés et les applications non validées avant qu'ils ne deviennent un risque caché.
• Perte et usage abusif : savoir quels actifs existent et qui en est responsable facilite la détection et la dissuasion du vol, du retrait non autorisé et de l'usage personnel du matériel ou des logiciels de l'entreprise.
• Cycle de vie et licences : un registre à jour montre quelles machines vieillissent et quelles licences sont sous-utilisées ou arrivent à échéance.
• Audit : de nombreux audits internes et réglementaires demandent quels actifs existent, qui les contrôle et si les logiciels sont sous licence. Un registre à jour transforme cette demande en rapport, et non en inventaire d'urgence.

L'ITAM est facilement confondu avec une base de données de gestion des configurations (CMDB). Les deux sont liés, mais ne sont pas identiques. L'ITAM est la discipline et le registre : quels actifs existent, leur statut, leur propriétaire et leur étape de cycle de vie.

Une CMDB enregistre des éléments de configuration, qui peuvent inclure des actifs non informatiques et des entités abstraites comme les services. Ce qui la distingue, ce sont les relations entre ces éléments, par exemple l'application qui dépend d'un serveur donné.

Les données de l'ITAM alimentent souvent une CMDB comme l'une de ses entrées. La cartographie des relations est une capacité distincte, que ne fournit pas à elle seule une simple liste d'actifs.

Partez du registre que vous avez déjà. Une liste d'ordinateurs avec leurs responsables et leurs services suffit pour démarrer, et la découverte automatisée complète ce que la liste ne voit pas. Ajoutez d'abord le statut et le responsable, car les fiches sans propriétaire ont tendance à devenir obsolètes.

Revoyez le registre selon un calendrier, et pas seulement avant un audit. Une comparaison mensuelle entre ce qui est connecté et installé et la liste approuvée repère les écarts tant qu'ils restent petits.