Gestion des appareils et des actifs
Presque tous les incidents de sécurité graves auxquels j’ai été confronté remontent, à un moment ou à un autre, à un actif dont personne ne soupçonnait l’existence : un serveur oublié fonctionnant encore sous un ancien système d’exploitation, un ordinateur portable qui a quitté les locaux sans jamais avoir été mis hors service, un logiciel « shadow IT » auquel un employé s’est abonné avec son adresse e-mail professionnelle. La gestion des actifs peut sembler ennuyeuse comparée à la détection des menaces ou à la réponse aux incidents, mais elle constitue le fondement sur lequel repose tout le reste. Vous ne pouvez pas corriger, surveiller ou protéger un système dont vous ignorez l’existence.
Lorsqu’elle est correctement mise en œuvre, la gestion des actifs consiste en un inventaire précis et actualisé de chaque appareil et logiciel présent dans votre environnement — non pas un tableur datant de dix-huit mois, mais un document qui reflète la réalité d’aujourd’hui, y compris l’ordinateur portable que quelqu’un a acheté avec sa carte bancaire personnelle et l’outil SaaS auquel une équipe s’est abonnée sans en demander l’autorisation à quiconque.
C’est là que le système tombe généralement en panne
La plupart des organisations ne manquent pas d’outils d’inventaire — ce qui leur manque, c’est un processus garantissant l’exactitude de cet inventaire. Les nouveaux actifs sont ajoutés rapidement (achats, BYOD, informatique fantôme) et retirés lentement, voire pas du tout. La responsabilité de « qui est chargé de tenir cet inventaire à jour » n’incombe souvent à personne, ce qui signifie que l’inventaire se dégrade dès que la personne qui l’a initialement créé passe à un autre projet.
Comment j’aborderais la question
Je commencerais par définir à quoi ressemble réellement un état de référence complet et précis pour votre environnement — matériel, logiciels, ressources cloud et tout ce qui dispose d’un accès au réseau —, en le recoupant avec ce que vos outils existants pensent déjà connaître, car c’est généralement dans l’écart entre ces deux éléments que réside le risque. À partir de là, il s’agit de mettre en place un processus, et non pas simplement un inventaire ponctuel : une responsabilité clairement définie pour maintenir l’inventaire à jour, des déclencheurs liés au cycle de vie pour l’intégration et le retrait des actifs, ainsi qu’une découverte automatisée partout où cela est possible, afin que l’inventaire ne devienne pas obsolète comme le précédent. Je relierais également directement cet inventaire à vos activités de correction, de gestion des vulnérabilités et de conformité, car un inventaire des actifs qui n’alimente pas ces processus n’est qu’un simple document.
Si vous ne savez vraiment pas ce qui est connecté à votre réseau à l’heure actuelle — et c’est le cas de la plupart des organisations, du moins pas entièrement —, contactez-moi et établissons ensemble un inventaire auquel vous pourrez réellement vous fier.