Qu'est-ce qu'un actif dans l'ISO 27001 ?

Aperçu

Un actif dans l'ISO 27001 est tout ce qui a de la valeur pour votre organisation et qui nécessite une protection. Les actifs comprennent les informations, les systèmes, l'équipement physique, les services, les personnes et la réputation de l'organisation qui soutiennent les opérations commerciales et nécessitent des garanties de confidentialité, d'intégrité ou de disponibilité.

Ce que cela signifie en pratique

Les actifs sont ce que vous protégez avec votre SMSI. Votre évaluation des risques commence par l'identification des actifs, puis détermine quelles menaces pourraient leur nuire et quels contrôles sont nécessaires pour les protéger.

Types d'actifs

Actifs informationnels

• Données structurées : Bases de données, feuilles de calcul, registres

• Documents : Contrats, politiques, procédures, rapports

• Propriété intellectuelle : Code source, brevets, secrets commerciaux, conceptions

• Données personnelles : Informations clients, dossiers du personnel (régis par le RGPD)

• Données financières : Registres de transactions, coordonnées bancaires, états financiers

• Communications : E-mails, messages de chat, appels enregistrés

Actifs physiques

• Matériel : Serveurs, postes de travail, ordinateurs portables, appareils mobiles

• Supports de stockage : Disques durs, clés USB, bandes de sauvegarde

• Infrastructure : Équipement réseau, câbles, systèmes d'alimentation

• Installations : Centres de données, bureaux, salles serveurs

• Documents papier : Dossiers imprimés, contrats, fichiers confidentiels

Actifs logiciels

• Applications : Logiciels métier, CRM, systèmes ERP

• Systèmes d'exploitation : OS des serveurs et des postes de travail

• Outils de développement : IDE, compilateurs, systèmes de build

• Logiciels sur mesure : Applications développées en interne

• Licences : Droits d'utilisation des logiciels

Services

• Services informatiques : Plateformes cloud, applications SaaS, services gérés

• Services publics : Électricité, climatisation, télécommunications

• Services de support : Contrats de maintenance, surveillance de la sécurité

• Prestataires tiers : Fonctions externalisées, consultants

Personnes

• Expertise spécialisée : Compétences difficiles à remplacer

• Personnel clé : Individus critiques pour les opérations

• Connaissances institutionnelles : Processus non documentés connus de personnes spécifiques

Actifs immatériels

• Réputation : Valeur de la marque, confiance des clients

• Fonds de commerce : Relations commerciales, position sur le marché

• Conformité réglementaire : Licences, certifications

Inventaire des actifs (A.5.9)

Pourquoi l'inventaire est obligatoire

La mesure de contrôle ISO 27001 A.5.9 exige un « inventaire des informations et autres actifs associés ». Vous ne pouvez pas protéger ce que vous ne savez pas posséder. L'inventaire des actifs est le fondement de l'évaluation des risques.

Ce qu'il faut inclure dans l'inventaire

Pour chaque actif, documentez :

• ID de l'actif : Identifiant unique

• Nom/Description de l'actif : Identification claire

• Type d'actif : Information, physique, logiciel, service, etc.

• Propriétaire : Personne responsable de l'actif

• Emplacement : Emplacement physique ou logique

• Classification : Niveau de sensibilité (Public, Interne, Confidentiel, etc.)

• Valeur : Importance pour l'entreprise (optionnel mais utile)

• Dépendances : Autres actifs dont il dépend ou qu'il soutient

Formats d'inventaire

• Feuille de calcul : Simple, convient aux petites organisations

• Base de données : Mieux pour les moyennes/grandes organisations avec de nombreux actifs

• Outil GRC : Intégré à l'évaluation des risques et à la gestion des contrôles

• Base de données de gestion de configuration (CMDB) : Actifs techniques suivis dans les systèmes informatiques

Propriété des actifs

Ce que signifie la propriété des actifs

Le propriétaire de l'actif est responsable de :

• Définir les exigences de classification et de protection

• Approuver l'accès à l'actif

• S'assurer que les contrôles appropriés sont appliqués

• L'examen régulier de la sécurité de l'actif

• Autoriser la mise au rebut ou le déclassement de l'actif

Propriétaire vs Gardien (Custodian)

• Propriétaire (Owner) : Rôle métier responsable de l'actif (généralement un responsable ou un cadre)

• Gardien (Custodian) : Rôle technique gérant la sécurité quotidienne de l'actif (souvent l'équipe informatique)

Exemple : Le VP des Ventes peut être propriétaire de la base de données clients (responsabilité métier), tandis que l'administrateur de base de données en est le gardien (gestion technique).

Classification des actifs (A.5.12)

Pourquoi classer les actifs

La classification garantit que les actifs reçoivent une protection appropriée en fonction de leur sensibilité et de leur valeur. Toutes les données n'ont pas besoin de la même sécurité - la classification permet une sélection proportionnelle des contrôles.

Schémas de classification courants

Basique (3 niveaux)

• Public : Peut être divulgué librement

• Interne : Pour un usage interne, non public

• Confidentiel : Sensible, accès restreint

Standard (4 niveaux)

• Public : Aucun impact sur la confidentialité en cas de divulgation

• Interne : Faible impact en cas de divulgation

• Confidentiel : Impact moyen à élevé en cas de divulgation

• Secret/Restreint : Impact grave en cas de divulgation

Détaillé (5+ niveaux)

Certaines organisations ajoutent des niveaux tels que « Propriétaire », « Sensible » ou des classifications spécifiques aux réglementations (RPP, DPS, PCI).

Critères de classification

Déterminez la classification en fonction de l'impact sur la CIA s'il est compromis :

• Confidentialité : Impact d'une divulgation non autorisée

• Intégrité : Impact d'une modification non autorisée

• Disponibilité : Impact d'une perte ou d'une indisponibilité

Considérez également :

• Exigences légales/réglementaires (RGPD, HIPAA, PCI DSS)

• Obligations contractuelles (accords de confidentialité clients, accords fournisseurs)

• Valeur commerciale et sensibilité concurrentielle

Évaluation de la valeur des actifs

Pourquoi évaluer les actifs

La valeur des actifs aide à prioriser les efforts de protection et à justifier les investissements dans les contrôles. Les actifs de grande valeur justifient des contrôles plus robustes (et plus coûteux).

Approches d'évaluation

Quantitative (financière)

• Coût de remplacement (matériel, licences logicielles)

• Impact sur les revenus en cas d'indisponibilité

• Amende ou pénalité potentielle en cas de compromission

• Valeur marchande ou valeur de la propriété intellectuelle

Qualitative (impact métier)

• Critique : Essentiel à la survie de l'entreprise

• Haut : Impact commercial significatif

• Moyen : Impact notable mais des alternatives existent

• Bas : Impact minimal en cas de perte ou de compromission

Facteurs affectant la valeur de l'actif

• Coût et effort de remplacement

• Temps de restauration ou de recréation

• Dépendance des revenus

• Importance réglementaire

• Avantage concurrentiel fourni

• Impact réputationnel en cas de compromission

Gestion du cycle de vie des actifs

Acquisition

• Ajouter à l'inventaire des actifs lors de l'acquisition

• Attribuer un propriétaire et classer

• Appliquer les contrôles appropriés en fonction de la classification

Utilisation

• Opérer selon les politiques d'utilisation acceptable (A.5.10)

• Maintenir les contrôles tout au long du cycle de vie

• Revoir périodiquement les autorisations d'accès

Modification

• Mettre à jour l'inventaire lorsque les actifs changent

• Réévaluer la classification si l'utilisation ou la sensibilité change

• Suivre les processus de gestion du changement (A.8.32)

Transfert

• Maintenir la confidentialité pendant le transfert (A.5.14)

• Mettre à jour la propriété dans l'inventaire

• S'assurer que les contrôles restent en place

Mise au rebut

• Supprimer les informations de manière sécurisée (A.8.10)

• Destruction physique si nécessaire

• Retirer de l'inventaire

• Restituer les actifs loués ou sous licence (A.5.11)

Actifs et évaluation des risques

Évaluation des risques centrée sur les actifs

Approche courante d'évaluation des risques :

1. Identifier les actifs

2. Déterminer la valeur/classification de l'actif

3. Identifier les menaces pour chaque actif

4. Identifier les vulnérabilités que les menaces pourraient exploiter

5. Évaluer l'impact si la menace exploite la vulnérabilité

6. Évaluer la probabilité d'occurrence

7. Calculer le niveau de risque (impact × probabilité)

8. Sélectionner les contrôles pour réduire le risque

Dépendances entre actifs

Considérez les dépendances dans l'évaluation des risques. Si l'actif A dépend de l'actif B, les menaces pesant sur l'actif B menacent également l'actif A.

Exemple : Votre application web cliente dépend du serveur de base de données. Les risques liés à la base de données deviennent indirectement des risques pour l'application.

Concepts associés

• Évaluation des risques - Évaluer les menaces pesant sur les actifs

• Classification de l'information - Catégoriser les actifs par sensibilité

• Triade CIA - Objectifs de protection des actifs

• Mesure de contrôle - Mesures protégeant les actifs

• Comment mener l'évaluation des risques ISO 27001 à l'aide de l'IA

Obtenir de l'aide

Utilisez ISMS Copilot pour générer des modèles d'inventaire d'actifs, créer des schémas de classification adaptés à votre entreprise et lier efficacement les actifs aux évaluations des risques.