Demandez à un dirigeant combien de serveurs, d’ordinateurs portables et d’équipements réseau compte son entreprise, et la réponse est généralement une estimation. « Une vingtaine ? » Demandez ensuite lesquels reçoivent encore des mises à jour, et le silence s’installe. Ce n’est pas un reproche. Quand on dirige une entreprise, on ne compte pas les switchs. Pour votre sécurité, en revanche, cette zone d’ombre est un vrai problème : un appareil que personne ne connaît, personne ne le protège.

Voilà pourquoi presque toutes les normes de sécurité commencent au même endroit. CyFun place la gestion des actifs en tête de sa fonction Identify. Les questionnaires fournisseurs liés à NIS2 s’ouvrent presque systématiquement sur cette question. Et chaque analyse d’incident que j’ai vue en quinze ans d’environnements enterprise contenait tôt ou tard la phrase : « ce système n’était documenté nulle part. »

Pourquoi le tableur perd toujours

L’approche classique, c’est un fichier Excel. Quelqu’un fait le tour des bureaux un après-midi, note tout, et le résultat s’appelle « inventaire_definitif_v3.xlsx ». Six mois plus tard, un NAS s’est ajouté, deux portables ont été remplacés et un fournisseur a installé une machine virtuelle « provisoirement ». Le tableur n’en sait rien.

Le problème n’est pas l’effort de remplissage. Le problème, c’est qu’une liste statique vieillit dès le jour où vous l’enregistrez, et que personne ne s’en aperçoit. Vous pensez avoir un inventaire. Vous avez une photo du passé.

Ce qu’un inventaire vivant fait autrement

Une plateforme de monitoring comme CheckMK prend le problème à l’envers : elle découvre ce qui est présent sur le réseau et le suit en continu. Un nouveau système apparaît dans la vue d’ensemble. Un système qui disparaît se voit aussi, et ce second signal est souvent le plus intéressant : un serveur « disparu » est parfois simplement éteint, et parfois le début d’un incident.

Pour chaque système, vous savez en outre immédiatement ce que c’est et ce qu’il fait : quel système d’exploitation, quels services y tournent, quels certificats il porte et quand ils expirent. L’inventaire cesse d’être un document à part que quelqu’un doit entretenir. Il devient un sous-produit de la surveillance que vous vouliez de toute façon.

Ce que ça vaut lors d’un audit ou d’un questionnaire

Quiconque parcourt la checklist CyFun Basic rencontre la question de l’inventaire en premier. Avec un inventaire vivant, la réponse est un export du jour même, pas un tableur de l’an dernier. Il en va de même pour les questionnaires fournisseurs que les clients NIS2 envoient de plus en plus souvent : « fournissez-nous un aperçu de vos systèmes » devient une affaire de dix minutes.

Il y a un second gain qui figure rarement dans le questionnaire : les mises à jour ne deviennent gérables que lorsqu’on sait ce qui doit être mis à jour. Une machine obsolète hors du radar reste obsolète pour toujours.

Commencer concrètement

Pas besoin d’un grand projet pour cela. Mettre en place un environnement de monitoring qui scanne votre réseau et construit l’inventaire, c’est une affaire de jours pour une PME, pas de mois. La vraie valeur vient du réglage qui suit : déterminer ce qui est critique, ce qui mérite une surveillance, et qui reçoit une alerte quand quelque chose dévie.

Ce réglage, c’est exactement ce que je fais pour les PME via Althona, rapports inclus, prêts à transmettre à un auditeur ou à un client. Curieux de voir à quoi ressemble votre environnement une fois cartographié ? Planifiez un entretien sans engagement. Ce premier inventaire, vous l’aurez plus vite que vous ne le pensez.