Pourquoi un inventaire

Avant d’aller plus loin dans les Cyberfundamentals, nous allons aborder une problématique qui n’est pas listée explicitement dans les textes, mais qui est fondamentale pour répondre aux exigences suivantes : l’inventaire des actifs. En effet, “comment protéger ce qu’on ne connaît pas?” est un dicton bien connu dans la sécurité.

Le but de ce processus est donc de construire une liste des actifs nécessaires au business dans le cadre de la gestion de l’information : données, matériel, logiciel. Vite dit, moins vite fait. On se retrouve vite avec des centaines d’éléments, des mises à jour trop fréquentes et avec la question de granularité : à quel niveau de détail s’arrête-t-on ? Doit-on aller jusqu’au cordon d’alimentation d’un appareil ?

Processus et structure

Nous allons commencer par le plus simple : le matériel. Asseyez-vous à votre poste de travail, faites la liste de ce que vous utilisez : un ordinateur (y compris son écran, son clavier, sa souris), un disque dur externe, un téléphone. Regardez autour de vous et notez les éléments que vous voyez : une imprimante, éventuellement un autre ordinateur. Suivez les câbles du réseau : un switch (commutateur), un routeur, le modem du fournisseur d’Internet. Continuez si votre infrastructure est plus étendue.

Au fur et à mesure, remplissez une liste semblable à la suivante:

Index	Nom	Type	Marque	Responsable	Emplacement	Etiquette	Note
1	PC boss	Ordinateur	HP	Jean Bon	Bureau central	PC1
2	Imprimante	Imprimante laser	Canon	Jean Bon	Coin du bureau central	IMP1
3	Internet	Routeur	Foutel	Jean Bon	Armoire à côté de la porte d’entrée	ROUT1

Vous pouvez trouver un exemple de tableur ici.

Etiquetage

Vous aurez remarqué une colonne Etiquette. Il est conseillé d’apposer sur le matériel de l’entreprise une étiquette marquant son appartenance et portant un nom ou numéro unique pour faciliter la vérification de l’inventaire. Cela peut aussi être utile en cas de vol. Utilisez de préférence des étiquettes indécollables et des inscriptions indélébiles.

Vérification et mise à jour

Evidemment, une telle liste doit être mise à jour quand de nouveaux appareils sont achetés, ou quand des anciens sont décommissionnés. De plus, une vérification au moins annuelle est recommandée.

Conclusion

L’inventaire des actifs est un élément de base pour pouvoir répondre aux autres exigences de sécurité et s’assurer que les mesures de protection couvrent bien tout le périmètre des actifs.