Cycle de vie de la gestion des actifs et CMDB
Bonne lecture et bon apprentissage ! Junior TSAFACK – 09/10/2026 Temps de lecture estimé : 8 minutes
On ne peut pas protéger ce dont on n’a pas connaissance. Cette évidence est pourtant à l’origine d’une grande partie des incidents de sécurité réels : un serveur oublié, jamais patché parce que plus personne ne savait qu’il existait encore ; une base de données de test, laissée accessible, qui contenait en réalité des données de production. La gestion des actifs commence donc par une question simple — que possédons-nous, et où ?
La base de données de gestion de configuration (CMDB)
Section titled “La base de données de gestion de configuration (CMDB)”Une CMDB stocke des informations détaillées utilisées pour le suivi et la gestion des ressources : marque, modèle, numéro de série, numéro de version. Elle fournit aussi un point de restauration en cas de besoin — reconstruire le poste d’un utilisateur dans sa configuration exacte, matériel et logiciel compris.
En substance, une CMDB est un inventaire des ressources qui inclut le détail de leur construction au niveau de l’entreprise : on sait non seulement ce que l’on a, mais comment c’est configuré. Les registres eux-mêmes sont des actifs à part entière, qui doivent être protégés et maintenus à jour au même titre que le matériel qu’ils décrivent.
La propriété des actifs informationnels
Section titled “La propriété des actifs informationnels”Une partie essentielle de la constitution et de la mise à jour de cet inventaire consiste à identifier un propriétaire responsable pour chaque actif. Le propriétaire d’un actif est la personne ou l’unité organisationnelle qui a la responsabilité première de définir les lignes directrices, politiques et exigences de sécurité et de qualité applicables à cet actif.
Le propriétaire fait autorité sur les normes et pratiques à appliquer à cet actif : il définit qui peut l’utiliser, à quel niveau d’autorisation, pendant combien de temps l’information doit être conservée, et si elle peut être partagée avec d’autres fonctions, en interne comme en externe.
Une terminologie qui prête à confusion
Section titled “Une terminologie qui prête à confusion”La profession de la sécurité de l’information ne dispose malheureusement pas d’une définition parfaitement cohérente de la classification et de la catégorisation des actifs — des écoles de pensée différentes ont, sans le vouloir, créé une partie de cette confusion :
- Les communautés militaires et de sécurité nationale utilisent souvent « classification » pour décrire l’attribution de labels comme secret ou très secret.
- D’autres administrations utilisent « catégorisation » pour l’attribution d’étiquettes comme information de santé protégée ou secret commercial, en lien avec des lois spécifiques.
- Les terminologies du NIST, de l’ISO/CEI et d’autres organismes de normalisation décrivent souvent des idées très proches avec des mots différents.
Le NIST (SP 800-60) relie la classification à la sensibilité — une mesure de l’importance accordée à une information par son propriétaire, déterminée par la nature et la criticité des données, leur lien avec la mission de l’organisation, et leur valeur économique. La catégorisation, elle, regroupe des ensembles de données présentant des sensibilités comparables et des besoins de sécurité similaires, selon la loi, un contrat ou un autre régime de conformité — généralement de façon descriptive (haut / moyen / bas), plutôt que strictement hiérarchique.
Dans la pratique, peu importe le vocabulaire exact retenu par une organisation : ce qui compte est la cohérence de son usage, et le fait qu’il permette réellement de prioriser la protection des actifs en fonction de leur valeur réelle.
Synthèse
Section titled “Synthèse”- Une CMDB est l’inventaire structuré qui rend la protection des actifs possible — sans elle, aucune priorisation sérieuse n’est faisable.
- Chaque actif doit avoir un propriétaire clairement identifié, responsable de ses règles de sécurité et de qualité.
- Les termes « classification » et « catégorisation » varient selon les traditions (militaire, réglementaire, normative) — l’essentiel est la cohérence interne de leur usage, pas le vocabulaire choisi.
Prochain chapitre
Section titled “Prochain chapitre”Classification et catégorisation des données
Junior TSAFACK – 09/10/2026