Inventaire des actifs et exposition aux menaces : comment savoir où en est réellement l’organisation ?

Établir un diagnostic

Un actif absent de l’inventaire peut rester vulnérable sans jamais entrer dans les campagnes de correction.

Classer les informations en trois états : constaté, déclaré mais non confirmé, et inconnu. Cette distinction rend les prochaines vérifications plus utiles qu’une note de maturité attribuée sans preuve.

Comparer un périmètre technique autorisé aux actifs déclarés et expliquer les différences.

Suivre actifs sans propriétaire, versions inconnues, services exposés non suivis et couverture des contrôles.

Application à votre contexte

Confrontez les entretiens, les documents et au moins une observation de fonctionnement. Conservez les divergences : elles sont souvent plus instructives qu'un score de maturité calculé trop tôt.

Confrontez la politique à une preuve de fonctionnement : configuration, test autorisé, traitement d'alerte ou exercice. Les tests offensifs doivent rester dans un périmètre expressément autorisé. Une absence de détection n'est pas une preuve d'absence d'incident.

Trois actions de départ

• Rapprocher les inventaires disponibles
• Attribuer un propriétaire et une criticité
• Vérifier l’exposition et les écarts de couverture