TypeDoc * : POL, PROC Processus: OPE ====== Gestion des actifs sensibles ====== ===== Politique ===== La politique de gestion des actifs sensibles vise à identifier, décrire et maintenir en état de sécurité les actifs du périmètre du SMSI. ==== Définitions ==== Un **actif sensible** est tout élément physique, logique ou organisationnel dont la défaillance pourrait conduire à la survenue d'un ou plusieurs scénarios de risque. Une **classe d'actifs sensibles** est un ensemble d'actifs sensibles dont le maintien en état de sécurité s'effectue de manière homogène. Une **fiche d'actif sensible** est un document récapitulant, pour une classe d'actif sensible, toutes les informations nécessaires au maintien en état de sécurité des actifs concernés. Un **propriétaire d'actif sensible** est une personne identifiée dans la fiche d'actif sensible, responsable du maintien en état de sécurité des actifs de la classe. Un **suppléant d'actif sensible** est une personne identifiée dans la fiche d'actif sensible, pouvant se substituer au propriétaire en cas d'indisponibilité. ==== Rôles et responsabilités ==== * Le dirigeant de l'Organisation assigne des périmètres d'attribution des actifs sensibles à ses collaborateurs. * Le responsable administratif et financier établit l'inventaire des actifs organisationnels, notamment les personnels et sous-traitants. * Le responsable technique établit l'inventaire des actifs techniques, notamment les systèmes et réseaux, logiciels, services souscrits. * Le pilote du SMSI élabore et maintient, avec le soutien des propriétaires d'actifs sensibles et des personnels compétents, les fiches d'actifs sensibles. * Les propriétaires d'actifs sensibles s'assurent de l'application des règles définies dans leurs fiches d'actifs sensibles. * Tous les intervenants sur un actif sensible connaissent et respectent les règles définies dans la fiche d'actif sensible. ===== Procédure ===== ==== Inventaire des classes d'actifs sensibles ==== Les classes d'actifs sensibles sont identifiées à partir de la [[analyse des risques | démarche d'analyse des risques]]. Pour chaque scénario identifié, l'ensemble des actifs dont la défaillance pourrait causer la survenue du scénario sont identifiés, et le cas échéant une nouvelle classe d'actifs est créée. A l'inverse, les responsables chargés des inventaires d'actifs sensibles évaluent pour chaque actif sous leur responsabilité si sa défaillance pourrait représenter un risque pour les informations à protéger, et dans ce cas si le scénario de risque correspondant est déjà identifié. ==== Contenu d'une fiche d'actif sensible ==== Une fiche d'actif sensible comporte: * Des données structurées, * Des données calculées, * Des sections documentaires === Données structurées === * Intitulé de la classe * Classes de données impactées * Propriétaire et suppléant === Données calculées === * Impact potentiel sur le critères de sécurité, en fonction des scénarios liés et des classes de données * Fournisseurs participant à la gestion de l'actif (acquisition, maintenance, réparation, mise au rebut, etc.) * Actions du SMSI portant sur l'actif * Rapports d'incidents portant sur l'actif === Sections documentaires === Ces sections peuvent comporter la mention "Non applicable" si elles n'ont pas de sens ou de pertinence pour la classe d'actif concernée. * Description * Inventaire: si la classe ne se limite pas à un actif, méthode et localisation de l'inventaire des actifs de la classe * Objectifs * De disponibilité (RTO) * D'intégrité (RPO) * Procédures spécifiques, comportant éventuellement des renvois à des procédures générales ou à des modes opératoires, ainsi qu'aux enregistrements liés. * Acquisition * Mise en service: zones autorisées, redondance, points de contrôle. * Mise à jour: déclenchement, sources, méthode * Journalisation: méthode, contenu, durées de rétention * Sauvegarde: méthode, données sauvegardées, cycles et durées de rétention * Monitoring: méthode, points de contrôle * Maintenance préventive: méthode, fréquence, actions, points de contrôle * Audit: méthode, fréquence, points de contrôle * Fin de vie: actions à mener, points de contrôle * Mise au rebut: méthode * Clauses contractuelles s'appliquant aux fournisseurs ==== Maintenance de la fiche d'actif sensible ==== La fiche d'actif sensible est une procédure du SMSI. Elle peut être mise à jour dans le cadre d'une action du SMSI, quelle qu'en soit la cause de déclenchement.