Cartographier son système : on ne protège que ce qu'on connaît
La cartographie du système d'information est souvent perçue comme une formalité administrative. C'est en réalité l'un des prérequis les plus concrets à toute stratégie de sécurité sérieuse.
01La situation en clair
Beaucoup d'organisations, en particulier lorsqu'elles ont grandi progressivement, ne disposent pas d'une vision complète et à jour de leur propre système d'information : quels serveurs existent, quelles applications sont installées où, quels comptes ont accès à quoi, quels prestataires externes se connectent à quels services. Sans cette vision, la sécurité se pratique à l'aveugle.
Une cartographie complète recense ces éléments et, surtout, les relie entre eux : ce n'est pas qu'une liste d'inventaire, c'est une représentation des dépendances et des chemins possibles entre les différents composants.
02Pourquoi ça compte
En cas de crise, la cartographie permet de répondre immédiatement à des questions vitales : qu'est-ce qui est touché exactement, qu'est-ce qui dépend de ce qui est touché, jusqu'où l'incident peut-il se propager. Sans cartographie, ces questions se répondent dans l'urgence, par tâtonnement, ce qui allonge considérablement le temps de réaction en pleine crise.
03Ce qu'il faut faire
-
1
Commencez par un inventaire simple, pas un projet monumental
Une cartographie ne doit pas être un chantier si lourd qu'il ne démarre jamais. Commencez par recenser les éléments les plus critiques (serveurs, applications essentielles, prestataires ayant un accès), puis élargissez progressivement.
-
2
Cartographiez les dépendances, pas seulement les éléments isolés
Savoir qu'une application existe est utile ; savoir de quels serveurs, comptes et services elle dépend pour fonctionner l'est bien davantage. C'est cette information qui permet de mesurer l'impact réel d'un incident.
-
3
Gardez-la vivante, pas figée sur un document oublié
Un système d'information change en permanence : nouveaux outils, nouveaux prestataires, anciens services jamais désinstallés. Une cartographie qui n'est mise à jour qu'une fois par an lors d'un audit perd rapidement toute utilité opérationnelle.
-
4
Rendez-la lisible pour des personnes non techniques
En pleine crise, ce sont parfois des décideurs non techniques qui doivent comprendre rapidement l'ampleur d'un incident. Une cartographie trop technique, illisible pour eux, perd une partie de sa valeur au moment précis où elle serait la plus utile.
L'erreur à ne pas faire
Traiter la cartographie comme une obligation réglementaire qu'on remplit une fois et qu'on range. C'est un outil de pilotage vivant, à consulter en amont pour prioriser les investissements, et pas seulement à produire pour satisfaire un audit.
En une phrase
On ne protège correctement que ce que l'on connaît précisément : une cartographie à jour est ce qui permet de savoir, en pleine crise, ce qui est vraiment touché.