Gestion des actifs sensibles

La politique de gestion des actifs sensibles vise à identifier, décrire et maintenir en état de sécurité les actifs du périmètres du SMSI.

Un actif sensible est tout élément physique, logique ou organisationnel dont la défaillance pourrait conduire à la survenue d'un ou plusieurs scénarios de risque.

Une classe d'actifs sensibles est un ensemble d'actifs sensibles dont le maintien en état de sécurité s'effectue de manière homogène.

Une fiche d'actif sensible est un document récapitulant, pour une classe d'actif sensible, toutes les informations nécessaires au maintien en état de sécurité des actifs concernés.

Un propriétaire d'actif sensible est une personne identifiée dans la fiche d'actif sensible, responsable du maintien en état de sécurité des actifs de la classe.

Un suppléant d'actif sensible est une personne identifiée dans la fiche d'actif sensible, pouvant se substituer au propriétaire en cas d'indisponibilité.

• Le dirigeant de l'Organisation assigne des périmètres d'attribution des actifs sensibles à ses collaborateurs.
• Le responsable administratif et financier établit l'inventaire des actifs organisationnels, notamment les personnels et sous-traitants.
• Le responsable technique établit l'inventaire des actifs techniques, notamment les systèmes et réseaux, logiciels, services souscrits.
• Le pilote du SMSI élabore et maintient, avec le soutien des propriétaires d'actifs sensibles et des personnels compétents, les fiches d'actifs sensibles.
• Les propriétaires d'actifs sensibles s'assurent de l'application des règles définies dans leurs fiches d'actifs sensibles.
• Tous les intervenants sur un actif sensible connaissent et respectent les règles définies dans la fiche d'actif sensible.

Les classes d'actifs sensibles sont identifiées à partir de la démarche d'analyse des risques. Pour chaque scénario identifié, l'ensemble des actifs dont la défaillance pourrait causer la survenue du scénario sont identifiés, et le cas échéant une nouvelle classe d'actifs est créée. A l'inverse, les responsables chargés des inventaires d'actifs sensibles évaluent pour chaque actif sous leur responsabilité si sa défaillance pourrait représenter un risque pour les informations à protéger, et dans ce cas si le scénario de risque correspondant est déjà identifié.

Une fiche d'actif sensible comporte:

• Des données structurées,
• Des données calculées,
• Des sections documentaires

Portant sur la classe d'actif dans son ensemble:

• Intitulé de la classe
• Classes de données impactées
• Propriétaire et suppléant

Portant une exigence identifiée

• Intitulé de l'exigence
• Liste des scénarios impactés en cas de non-respect

• Fournisseurs et exigences applicables à chaque fournisseur

Ces sections peuvent comporter la mention “Non applicable” si elles n'ont pas de sens ou de pertinence pour la classe d'actif concernée.

• Objectifs
  • De disponibilité (RTO)
  • D'intégrité (RPO)
• Procédures
  • Mise en service: zones autorisées, redondance, points de contrôle, renvoi au mode opératoire.
  • Exploitation:
  • Mise à jour: déclenchement, sources,
  • Journalisation
  • Sauvegarde
  • Monitoring
  • Audit de configuration
  • Fin de vie
  • Mise au rebut
• Journaux